NIS2 Zulieferer Anforderungen: Was Kunden 2026 verlangen

NIS2 verpflichtet Ihren Kunden, die Sicherheit seiner Lieferkette zu lenken, und er gibt diese Pflicht per Vertrag und Fragebogen an Sie weiter. Das sind die NIS2 Zulieferer Anforderungen, die im Mittelstand ankommen. Der Fragebogen liegt auf dem Tisch, die Frist läuft, und von den Antworten hängt die Lieferantenfreigabe ab. Wer viele Fragen mit „in Planung“ beantwortet, rutscht in der Lieferantenbewertung nach unten und kann im ungünstigen Fall den Auftrag verlieren. Dieser Leitfaden zeigt, welche Nachweise üblich sind, was das Gesetz dahinter verlangt und welche Technik typische Lücken schließt. Den Grundschutz Ihrer Rechner bilden dabei Lösungen aus der Kategorie Endpoint Security.

Warum Sie als Zulieferer betroffen sind, auch ohne eigene NIS2-Pflicht

Das deutsche Umsetzungsgesetz zu NIS2 steht im BSI-Gesetz (BSIG) in der Fassung von 2025. § 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu Risikomanagementmaßnahmen. Absatz 2 Satz 2 Nummer 4 nennt ausdrücklich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte“ der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.

Das BSI stellt auf seiner Seite #nis2know Sichere Lieferkette klar: Das BSIG verpflichtet nicht jeden Zulieferer indirekt. Regulierte Einrichtungen müssen ihre Zulieferer aber zur Einhaltung entsprechender Sicherheitsanforderungen verpflichten. Für Sie heißt das: Die Pflicht kommt nicht vom Gesetzgeber, sondern über Vertrag, Fragebogen und gegebenenfalls Audit des Kunden.

Ob Ihr Unternehmen zusätzlich selbst unter NIS2 fällt, hängt von Branche und Größe ab. Maßgeblich sind die Sektoren in den Anlagen 1 und 2 des BSIG. Als wichtige Einrichtung gilt dort nach § 28 BSIG unter anderem, wer mindestens 50 Beschäftigte hat. Alternativ reichen jeweils über 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Verbundene Unternehmen können nach der KMU-Empfehlung der EU-Kommission mitzählen (§ 28 Abs. 4). Prüfen Sie das mit der kostenlosen NIS-2-Betroffenheitsprüfung des BSI. Unsere NIS2-Checkliste für KMU führt durch die Pflichten, falls Sie selbst betroffen sind.

Was müssen kleine Zulieferer tun, wenn ihre Kunden unter NIS2 fallen?

Kleine Zulieferer sollten als Erstes klären, welche Daten und Zugänge sie beim Kunden berühren. Danach dokumentieren sie ihre Sicherheitsmaßnahmen so, dass ein Fragebogen belegbar beantwortet werden kann. Häufig gefragt werden Mehr-Faktor-Anmeldung, Virenschutz mit Angriffserkennung, Backups, Patch-Prozess, Meldewege bei Vorfällen und geschulte Mitarbeitende. Ein Zertifikat ist selten Pflicht, ein nachvollziehbarer Nachweis fast immer.

NIS2 Zulieferer Anforderungen: Diese Nachweise fordern Auftraggeber

Fragebögen orientieren sich meist am Maßnahmenkatalog, den der Kunde selbst nach § 30 Abs. 2 Satz 2 BSIG erfüllen muss. Die Tabelle ordnet häufige Themen den Nummern des Gesetzes zu. Die Zuordnung ist unsere Einordnung, keine amtliche Liste.

Viele Auftraggeber lassen sich außerdem vertraglich zusichern, dass Sie Vorfälle schnell melden. Hintergrund ist die eigene Meldepflicht des Kunden nach § 32 BSIG. Ein erheblicher Sicherheitsvorfall muss unverzüglich, spätestens 24 Stunden nach Kenntnis, als frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK gehen. Spätestens nach 72 Stunden folgt die eigentliche Meldung. Rechnen Sie deshalb mit kurzen Meldefristen in Ihrem Vertrag. Wie Sie im Ernstfall vorgehen, beschreibt unser Leitfaden zur Incident Response nach einem Cyberangriff.

Das BSI empfiehlt Einrichtungen zudem Vereinbarungen mit Zulieferern zu Risikomanagement, Vorfallbewältigung und Patchmanagement. Dazu kommen Security by Design und Security by Default, also Sicherheit ab Werk und sichere Grundeinstellungen. Rechnen Sie damit, dass diese Punkte in Lieferantenverträgen auftauchen.

In sieben Schritten zum belastbaren Lieferanten-Nachweis

Der folgende Ablauf ist eine praxisnahe Reihenfolge für kleine und mittlere Zulieferer. Er ersetzt keine Rechtsberatung, macht Fragebögen aber schneller und ehrlicher beantwortbar.

1. Kundenbezug klären: Welche Systeme, Daten und Fernzugänge des Kunden nutzen Sie? Daraus ergibt sich, wie genau er prüfen wird.
2. Bestand aufnehmen: Welche Rechner, Server, Cloud-Dienste und Konten gibt es? Ohne Liste lässt sich keine Frage sicher beantworten.
3. MFA flächendeckend einführen: Als Erstes für E-Mail, Fernzugang und Administratoren. Hardware-Schlüssel nach FIDO2, einem offenen Standard für Anmeldeschlüssel, gelten als phishing-resistent.
4. Endgeräteschutz mit Erkennung einsetzen: Klassischer Signatur-Virenschutz reicht vielen Kunden nicht mehr. Gefragt ist eine Lösung, die verdächtiges Verhalten erkennt und meldet.
5. Netzgrenze absichern: Eine Firewall mit laufendem Sicherheitsabonnement, getrennten Netzen und abgesichertem VPN.
6. Backup testen und Notfallplan schreiben: Ein dokumentierter Wiederherstellungstest wiegt mehr als jedes Versprechen.
7. Nachweismappe pflegen: Richtlinien, Berichte und Schulungslisten an einem Ort, einmal im Jahr überprüft.

Für die Bestandsaufnahme bietet sich der CyberRisikoCheck nach DIN SPEC 27076 an, ein standardisierter Kurz-Check der IT-Sicherheit von KMU. Das BSI sieht ihn lediglich als Ersteinschätzung, eine NIS2-Konformität erreichen Sie damit allein nicht. Sie wollen wissen, welche Produkte welche Frage abdecken? Schicken Sie uns die Technikfragen aus Ihrem Fragebogen über unser Kontaktformular.

Welche Technik typische Lücken schließt

Häufige Lücken in Fragebögen sind fehlende MFA, reiner Signatur-Virenschutz und eine veraltete Firewall. Für alle drei gibt es überschaubare Lösungen.

Anmeldung absichern: Hardware-Schlüssel aus unserer Kategorie Multi-Faktor-Authentifizierung schützen Konten auch dann, wenn ein Passwort abgefischt wurde. Der Swissbit iShield Key 2 FIDO2 kostet laut Shop ab 20,20 € zzgl. MwSt. (Stand 11.11.2026). Warum NIS2 hier phishing-resistente Verfahren nahelegt, erklärt unser Beitrag zur MFA-Pflicht unter NIS2.

Endgeräte überwachen: WatchGuard Endpoint Security Elite verbindet Virenschutz mit EDR (Endpoint Detection and Response), also der Erkennung und Untersuchung auffälliger Abläufe auf dem Rechner. Laut Shop kostet es ab 95,28 € zzgl. MwSt. (Stand 11.11.2026). Ohne eigene Fachleute für die Auswertung lohnt ein Blick in die Kategorie MDR. Dort bewertet ein externes Team die Alarme rund um die Uhr.

Netzgrenze modernisieren: Eine Firewall aus der Kategorie Firewalls (NGFW) mit aktivem Sicherheitsabonnement deckt Netztrennung, VPN und Angriffserkennung ab. Was NIS2 an der Netzgrenze verlangt, beschreibt unser Artikel zu den NIS2-Firewall-Anforderungen.

Häufige Fragen zu NIS2 in der Lieferkette

Muss ich als Zulieferer ein ISO-27001-Zertifikat vorweisen?

Nicht zwingend. Viele Auftraggeber akzeptieren eine Selbstauskunft mit Nachweisen, ein Weg zur Zertifizierung steht in unserem Beitrag zu ISO 27001 für KMU. Branchen wie die Automobilindustrie verlangen eigene Prüfungen, etwa TISAX nach VDA-ISA.

Darf der Kunde mich auditieren?

Ob und wie weit, ergibt sich in der Regel aus Ihrem Vertrag. Das BSI nennt die Prüfung der Wirksamkeit von Maßnahmen, Audits und gemeinsame Krisenübungen als Herausforderung in der Zusammenarbeit mit Zulieferern.

Gilt NIS2 auch für IT-Dienstleister mit Fernzugriff?

Das hängt vom Dienstleister ab. § 30 Abs. 3 BSIG nennt Managed Service Provider und Managed Security Service Provider als eigene Einrichtungsarten, sie können also selbst unter NIS2 fallen. Wer Fernzugang zu Kundensystemen hat, sollte mit detaillierten Fragen zu Zugängen, MFA und Protokollierung rechnen.

Was passiert, wenn ich den Fragebogen nicht erfülle?

Das regelt der Vertrag, nicht das Gesetz. Denkbar sind Nachbesserungsfristen, im ungünstigen Fall wählt der Kunde einen anderen Lieferanten.

Reicht ein kostenloser Virenschutz für den Nachweis?

Oft nicht. Fragebögen fragen nach zentraler Verwaltung, Erkennung auffälligen Verhaltens und Berichten. Das leisten kostenlose Einzelplatzlösungen in der Regel nicht.

Fazit: Nachweisbar statt perfekt

Sofern Sie nicht selbst unter NIS2 fallen, sind die NIS2 Zulieferer Anforderungen kein Gesetzestext für Sie, sondern die Erwartung Ihres Kunden an belegbare Sicherheit. Wer MFA, Endgeräteschutz, Firewall, Backup und Meldeweg dokumentiert, kann viele Fragen eines Fragebogens mit Nachweis beantworten. Welche Lösung zu Ihrer Unternehmensgröße passt, klärt unser Produktberater. Schicken Sie uns gern die Technikfragen aus Ihrem Kundenfragebogen über das Kontaktformular: Wir sagen Ihnen, welche Produkte welche Frage abdecken, ohne Rechtsberatung. Welche Lücke steht in Ihrem nächsten Fragebogen ganz oben?

Quellen: § 28 BSIG, § 30 BSIG, § 32 BSIG, BSI: Sichere Lieferkette, BSI: NIS-2-Betroffenheitsprüfung (abgerufen 11.11.2026). Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.