Volljurist und Compliance-Experte
December 19, 2025
5 Minuten
.svg)
Unternehmen müssen die Cybersicherheitsrisiken ihrer Lieferanten aktiv bewerten und kontinuierlich überwachen.
Vertragliche Sicherheitsanforderungen und klare Meldepflichten sind ein zentraler Bestandteil einer NIS2-konformen Lieferkette.
Kritische Dienstleister benötigen regelmäßige Audits und Kontrollen, um die Einhaltung der vereinbarten Sicherheitsmaßnahmen sicherzustellen.
Eine starke Lieferkettensicherheit wird unter NIS2 zum Wettbewerbsvorteil, weil sie Vertrauen schafft und Haftungsrisiken reduziert.
Aktualisierung vom 21.11.2025: NIS2 gilt in Deutschland ab dem Tag der Veröffentlichung des Umsetzungsgesetzes im Bundesgesetzblatt, was derzeit für Ende 2025 oder Anfang 2026 erwartet wird. Dann werden die Pflichten für Unternehmen rechtlich verbindlich.
Stellen Sie sich vor, Ihr Unternehmen ist eine Festung. Sie haben die Mauern verstärkt, die Tore gesichert und wachen sorgfältig über jeden Zugang. Doch eines Tages bricht ein Feuer aus – nicht weil jemand Ihr Tor durchbrochen hat, sondern weil ein externer Lieferant, der Baumaterial für den Turm lieferte, unwissentlich einen Brandbeschleuniger mitgebracht hat.
Genau dieses Szenario beschreibt die neue Realität der Cybersicherheit unter der NIS2-Richtlinie. Ihre digitale Sicherheit endet nicht mehr an der eigenen Firmentür. Sie erstreckt sich auf Ihr gesamtes Ökosystem: auf jeden Cloud-Anbieter, jeden Software-Entwickler und jeden externen Dienstleister, der Zugriff auf Ihre Systeme oder Daten hat. Für die Geschäftsführung bedeutet das eine erweiterte Verantwortung – und ein persönliches Haftungsrisiko, das man nicht ignorieren kann.
Dieser Leitfaden ist Ihr vertrauenswürdiger erster Ansprechpartner. Wir übersetzen das komplexe Juristendeutsch in verständliche, umsetzbare Schritte und zeigen Ihnen, wie Sie Ihre Lieferkette nicht nur absichern, sondern sie zu einem echten Wettbewerbsvorteil machen.
Bisher lag der Fokus der Cybersicherheit primär auf den eigenen Systemen. NIS2 ändert das grundlegend. Die Richtlinie erkennt an, dass viele Sicherheitsvorfälle ihren Ursprung bei externen Partnern haben. Deshalb wird die Verantwortung erweitert: Betroffene Unternehmen sind nun verpflichtet, die Cybersicherheit ihrer direkten Zulieferer und Dienstleister aktiv zu managen.
Doch wer ist überhaupt ein „Zulieferer“ im Sinne von NIS2? Die Definition ist bewusst weit gefasst und umfasst weit mehr als nur klassische IT-Anbieter:
Der Schlüssel zur Umsetzung der NIS2 ist der risikobasierte Ansatz. Sie müssen nicht jeden Lieferanten mit den gleichen strengen Maßnahmen überziehen. Vielmehr geht es darum, das Risiko individuell zu bewerten und die Sicherheitsanforderungen entsprechend anzupassen. Denken Sie an den Unterschied zwischen dem Lieferanten für Büromaterial und dem Anbieter Ihrer zentralen Cloud-Plattform. Beide sind Teil Ihrer Lieferkette, aber das von ihnen ausgehende Risiko ist fundamental verschieden.
Die Theorie ist das eine, die Praxis das andere. Wie setzt man diese Anforderungen nun konkret um? Der folgende Prozess hilft Ihnen dabei, Ihre Lieferanten systematisch zu bewerten und die Sicherheit Ihrer Lieferkette zu gewährleisten.
Der erste und wichtigste Schritt ist die Bestandsaufnahme. Erstellen Sie eine vollständige Liste all Ihrer externen Dienstleister und Zulieferer. Bewerten Sie anschließend jeden Partner anhand seines potenziellen Risikos für Ihr Unternehmen. Stellen Sie sich folgende Fragen:
Eine gründliche NIS2 Risikobewertung hilft Ihnen, Ihre Ressourcen auf die Partner zu konzentrieren, die das größte Risiko darstellen.
Ihre Verträge sind Ihr wichtigstes Werkzeug. Sie müssen sicherstellen, dass Ihre Cybersicherheitsanforderungen klar und verbindlich festgehalten sind. Zukünftige und bestehende Verträge mit kritischen Lieferanten sollten mindestens folgende Punkte enthalten:
Ein Vertrag allein reicht nicht aus. Sie müssen die Einhaltung der Vereinbarungen auch aktiv überprüfen. Dies kann auf verschiedene Weisen geschehen:
Selbst die beste Vorbereitung kann einen Sicherheitsvorfall nicht zu 100 % ausschließen. Entscheidend ist, wie Sie reagieren. Entwickeln Sie gemeinsam mit Ihren kritischen Partnern einen Plan für den Ernstfall. Klären Sie, wer wen wann und wie informiert und welche Sofortmaßnahmen ergriffen werden. Dies ist entscheidend, um die eigenen NIS2 Meldepflichten fristgerecht zu erfüllen.
Für Zulieferer und Dienstleister klingen diese neuen Anforderungen zunächst nach zusätzlichem Aufwand. Doch hier verbirgt sich eine gewaltige Chance. Unternehmen, die proaktiv ihre NIS2-Konformität nachweisen können, schaffen sich einen entscheidenden Wettbewerbsvorteil.
Wenn Sie als Dienstleister belegen können, dass Ihre Cybersicherheit auf höchstem Niveau ist und Sie die Anforderungen Ihrer Kunden verstehen, werden Sie zum bevorzugten Partner. NIS2-Compliance wird so von einer lästigen Pflicht zu einem wertvollen Qualitätsmerkmal und Verkaufsargument.
Die Absicherung Ihrer Lieferkette ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess. Mit den folgenden fünf Schritten legen Sie ein solides Fundament:
Die Sicherheit Ihrer Lieferkette ist zu einem zentralen Baustein Ihrer gesamten Unternehmenssicherheit geworden. Es ist ein komplexes, aber beherrschbares Thema. Indem Sie es proaktiv angehen, schützen Sie nicht nur Ihr Unternehmen vor Angriffen, sondern erfüllen auch gesetzliche Pflichten und stärken das Vertrauen Ihrer Kunden.
Dieser Leitfaden hat Ihnen den Einstieg erleichtert. Um Ihr Wissen zu vertiefen, ist es sinnvoll, sich nun mit den allgemeinen NIS2 Anforderungen vertraut zu machen und zu verstehen, wie eine Automatisierung von EU-Compliance-Anforderungen Ihnen helfen kann, diesen Prozess effizient und nachhaltig zu gestalten.
NIS2 betrifft Unternehmen ab einer bestimmten Größe (in der Regel ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz) in vielen Sektoren, die als „wesentlich“ oder „wichtig“ eingestuft werden. Dazu gehören Energie, Verkehr, Gesundheit, digitale Infrastruktur, aber auch produzierendes Gewerbe und Lebensmittelindustrie. Wenn Ihr Unternehmen unter NIS2 fällt, sind Sie für Ihre Lieferkette verantwortlich. Fällt Ihr Kunde unter NIS2, werden Sie als NIS2 Lieferant automatisch Teil seiner Compliance-Pflichten.
Das ist eine wichtige Unterscheidung. Das LkSG konzentriert sich auf die Einhaltung von Menschenrechten und Umweltstandards in der globalen Lieferkette. NIS2 hingegen fokussiert sich ausschließlich auf die Cybersicherheit und die Resilienz der digitalen Lieferkette. Beide Gesetze können parallel für ein Unternehmen gelten, adressieren aber unterschiedliche Risikobereiche.
NIS2 nimmt die Leitungsebene explizit in die Pflicht. Geschäftsführer sind persönlich dafür verantwortlich, die Cybersicherheitsmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Bei grober Fahrlässigkeit oder Verstößen können Bußgelder und im schlimmsten Fall sogar eine persönliche Haftung drohen. Eine saubere Dokumentation der Prozesse zur Lieferkettensicherheit ist daher für jedes NIS2 KMU unerlässlich, um Sorgfalt nachweisen zu können.
Während NIS2 die Cybersicherheit von Unternehmen und deren Dienstleistungen regelt, zielt der CRA auf die Produktsicherheit ab. Er legt Sicherheitsanforderungen für Hersteller von Hard- und Software fest (z. B. "Security by Design"). Es gibt eine klare Abgrenzung zwischen NIS2 vs Cyber Resilience Act: NIS2 regelt den sicheren Betrieb von IT, der CRA die sichere Beschaffenheit von IT-Produkten.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Erfahren Sie, wie KMU im Energiesektor NIS2-Anforderungen auditieren und Vorfälle richtig melden können.
Viele deutsche Unternehmen und Einrichtungen stehen vor den Auswirkungen der neuen NIS2-Richtlinie. Ab 2024 wird in der gesamten EU ein hohes Maß an Cybersicherheit für Betreiber kritischer Infrastrukturen (KRITIS) durchgesetzt. Allerdings besteht nach wie vor viel Unsicherheit darüber, welche Unternehmen tatsächlich von der NIS 2 betroffen sind und welche bereits Maßnahmen ergreifen sollten. In diesem Artikel erfahren Sie, für wen die neue EU-Richtlinie NIS2 gilt und wie SECJUR die betroffenen Unternehmen bei der Umsetzung unterstützt.
Der EU AI Act macht die Konformitätsbewertung für Hochrisiko-KI zum entscheidenden Marktzugangsfaktor. Erfahren Sie, wie der „KI-TÜV“ funktioniert, welche Rolle Notifizierte Stellen spielen und welche Anforderungen an QMS und technische Dokumentation gestellt werden. Dieser Leitfaden zeigt praxisnah, wie Sie Ihre KI sicher, rechtskonform und zukunftsfähig zertifizieren.
.svg)
.svg)
.svg){kind=small}