NIS2 für Lieferanten: Sind Sie indirekt betroffen?

Verfasst von der NIS2Compass Redaktion / Stand: November 2026

Als Lieferant sind Sie nur dann selbst von NIS2 betroffen, wenn Ihre eigene Tätigkeit und Größe unter § 28 BSIG fallen. Sonst sind Sie nur indirekt betroffen: Das BSIG verpflichtet Ihre regulierten Kunden (laut BSI Ende September 2026: 20.141 registrierte Einrichtungen), Sie selbst bindet nur, was Sie vertraglich zusagen. Die Vorlagen von NIS2Compass zeigen, wie Lieferantenfragebögen aufgebaut sein können.

Sind Sie als Lieferant selbst von NIS2 betroffen oder nur mittelbar?

Prüfen Sie zuerst Ihre eigene Betroffenheit: Entscheidend sind Ihre Tätigkeit nach den Anlagen 1 und 2 BSIG und Ihre Größe, nicht die Branche Ihres Kunden. Erst wenn § 28 BSIG nicht greift, wirkt NIS2 nur mittelbar über Verträge. Die Betroffenheitsprüfung von NIS2Compass hilft bei der Einordnung.

Der Fragebogen Ihres Kunden beweist nichts. Ein solches Schreiben sagt weder, dass Sie betroffen sind, noch dass Sie es nicht sind. Es zeigt nur, dass der Kunde seine eigene Pflicht bearbeitet.

Bis 30.09.2026 haben sich 20.141 Einrichtungen beim BSI registriert. Für die Lieferanten nennt das BSI keine Zahl, sondern schreibt im Infopaket zur Lieferkette, „eine große Anzahl von Unternehmen“ sei als Lieferant oder Dienstleister „indirekt betroffen“.

• Direkt betroffen: Ihre eigene Tätigkeit steht in Anlage 1 oder 2 BSIG, und Ihr Unternehmen erreicht die Schwelle aus § 28 BSIG: mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro. Ohne Größenschwelle erfasst sind etwa Betreiber kritischer Anlagen, DNS-Diensteanbieter, TLD Name Registries und Vertrauensdiensteanbieter, Telekommunikationsanbieter ebenfalls in jeder Größe. Dann gelten die Pflichten aus §§ 30 ff. BSIG für Sie selbst.
• Mittelbar betroffen: Sie fallen nicht unter § 28 BSIG. Sie haben dann keine eigenen Pflichten aus §§ 30 bis 38 BSIG, aber Forderungen Ihrer Kunden. Was Sie davon vertraglich zusagen, bindet Sie trotzdem.

Ein Hersteller von Kfz-Teilen mit 80 Mitarbeitern ist wichtige Einrichtung (Anlage 2). Ein Kunststoffverarbeiter mit 80 Mitarbeitern, der an denselben Kfz-Bau liefert, ist nicht betroffen, wenn seine Tätigkeit NACE C22 zuzuordnen ist, denn diese Abteilung steht in keiner Anlage (Schwellen und Beispiele im KMU-Beitrag). Das gilt, sofern keine weitere Tätigkeit vorliegt, die einer Einrichtungsart der Anlagen zuzuordnen ist. Vernachlässigbare Nebentätigkeiten können nach § 28 Abs. 3 BSIG unberücksichtigt bleiben.

Managed Services Provider stehen in Anlage 1. IT-Dienstleister sollten deshalb besonders sorgfältig prüfen, ob sie selbst erfasst sind.

Was passiert, wenn Sie sich falsch einstufen?

Wer sich vorschnell als „nur Lieferant“ einstuft, obwohl er selbst unter § 28 BSIG fällt, übersieht eigene Pflichten: Registrierung, Meldewege und Risikomanagement. Bußgelder nach § 65 BSIG sind dann möglich. Wer schon bei Inkrafttreten am 6. Dezember 2025 erfasst war, musste sich bis zum 6. März 2026 registrieren. Wer später hineinwächst, hat dafür drei Monate (§ 33 Abs. 1 BSIG).

Einen Überblick gibt NIS2 in der Lieferkette: Was Zulieferer wissen müssen.

Was darf Ihr Kunde wegen NIS2 von Ihnen verlangen, und auf welcher Grundlage?

Soweit Sie nicht selbst unter § 28 BSIG fallen, verpflichtet das BSIG Ihren Kunden, nicht Sie: § 30 Abs. 2 Nr. 4 BSIG verlangt die Sicherheit der Lieferkette gegenüber unmittelbaren Anbietern. Fragebogen, Nachweis oder Klausel schreibt das Gesetz nicht vor. Was Sie schulden, entsteht erst durch den Vertrag, den Sie unterschreiben.

Laut Bitkom (1.002 Unternehmen ab 10 Beschäftigten, 07.11.2025) wissen 9 % von Angriffen auf ihre Zulieferer in den vergangenen zwölf Monaten, 19 % haben einen Verdacht. Von den Unternehmen beider Gruppen spürten 41 % Auswirkungen im eigenen Unternehmen.

Die Forderungen stützen sich auf fünf Stufen, die unterschiedlich verbindlich sind:

• Gesetz (bindet den Kunden): § 30 Abs. 2 Nr. 4 BSIG verlangt für die Lieferkette (Supply Chain) die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Seit dem 6. Dezember 2025 (NIS2UmsuCG) ist das gesetzliche Pflicht regulierter Kunden.
• Richtlinie und Begründung (erklären die Tiefe): Art. 21 Abs. 2 lit. d der NIS2-Richtlinie ist die europäische Grundlage. Die Gesetzesbegründung (BT-Drs. 21/1501, Zu § 30 Abs. 2) nennt als Beispiele „vertragliche Vereinbarungen mit Zulieferern und Dienstleistern“ zu Risikomanagement, Vorfallbewältigung und Patchmanagement sowie Security by Design. Das sind Kann-Beispiele, kein Pflichtkatalog.
• BSI (Behördenauslegung, kein Gesetzestext): Das BSIG verpflichte „nicht etwa alle Zulieferer oder Dienstleister indirekt“, vielmehr könnten die Einrichtungen „ggf. nicht mehr mit jedem Unternehmen zusammenwirken“, „ohne Pflichtverstöße zu riskieren“ (BSI-Infopaket). Einrichtungen „müssen“ laut BSI ihre Zulieferer zur Einhaltung entsprechender Sicherheitsanforderungen verpflichten. Das geht über den Gesetzeswortlaut hinaus und erklärt, warum Kunden auf Klauseln bestehen. Die Pflicht trifft auch hier den Kunden, nicht Sie.
• Durchführungsverordnung (für einen Teil der Kunden): Die DVO (EU) 2024/2690 konkretisiert Lieferketten-Vorgaben für bestimmte digitale Dienste wie Cloud, Rechenzentren, MSP und MSSP, laut BSI „nur für einen ausgewählten Teil“ der Einrichtungen. Kunden aus diesen Gruppen können Inhalte vertraglich weitergeben.
• Vertrag (bindet Sie): Erst hier entsteht Ihre Pflicht. Der Kunde darf fragen und Bedingungen stellen, Sie dürfen verhandeln oder ablehnen. Das BSI nennt es „auch eine wirtschaftliche Entscheidung“, ob ein Zulieferer noch an solche Einrichtungen liefert.

Welche NIS2-Pflichten haben Sie als nur indirekt betroffener Lieferant, und welche nicht?

Fallen Sie nicht selbst unter § 28 BSIG, haben Sie keine Registrierungspflicht, keine Meldepflicht ans BSI und aus der Kundenbeziehung kein Bußgeldrisiko nach § 65 BSIG. Vertraglich zugesagte Pflichten binden Sie trotzdem. Ein Verstoß hat Folgen gegenüber dem Kunden, nicht gegenüber dem BSI.

Das gilt nicht, solange Sie nicht selbst unter § 28 BSIG fallen:

• § 33 BSIG zur Registrierung richtet sich an besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister.
• § 32 BSIG zur Meldung gilt für Sie nicht, auch nicht wegen einer vertraglichen 24-Stunden-Frist. Freiwillig melden können Sie über § 5 Abs. 2 BSIG.
• Aus § 30 BSIG folgt keine eigene gesetzliche Umsetzungspflicht, aus § 38 BSIG keine Geschäftsleitungspflicht.
• Die einschlägigen Tatbestände in § 65 BSIG knüpfen an Pflichten an, die Einrichtungen nach § 28 BSIG treffen. Die mittelbare Wirkung allein löst deshalb kein Bußgeld aus.

Das gilt trotzdem: Zugesagte Informationsfristen, Patchfristen, Prüfrechte und die Weitergabe an Unterauftragnehmer binden Sie, und falsche Angaben in einer Selbstauskunft können vertragliche Folgen haben. Art. 33 DSGVO und der CRA bei eigenen Produkten bleiben unberührt.

Das BSI empfiehlt, verpflichtet aber nicht: Wer die eigene Betroffenheit ausschließen kann, für den „kann es sich anbieten, die unternehmensinterne Einhaltung von Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG für etwaige Vereinbarungen mit den Auftraggebern zu prüfen“ (BSI-FAQ).

Kein Bußgeld heißt nicht folgenlos. Mögliche Folgen sind je nach Vertrag Ausschluss aus Vergabeprozessen, Auftragsverlust, Vertragsstrafe, Schadensersatz oder Kündigung. Ihr Kunde muss erhebliche Vorfälle spätestens nach 24 Stunden melden und ist dafür auf Ihre Information angewiesen.

21 % der von Datendiebstahl, Industriespionage oder Sabotage betroffenen Unternehmen berichten von Auswirkungen auf andere Unternehmen, etwa Produktionsausfällen bei Geschäftspartnern oder Reputationsschäden bei Auftraggebern (Bitkom Wirtschaftsschutz 2026).

Wie beantworten Sie einen NIS2-Lieferantenfragebogen, ohne für jeden Kunden neu anzufangen?

Legen Sie eine Antwortbasis an: eine gepflegte Übersicht entlang der zehn Bereiche aus § 30 Abs. 2 BSIG mit Umsetzungsstand, Beleg und Datum. Neue Fragebögen gleichen Sie dagegen ab, statt neu zu beginnen. Das BSI begrüßt Vorstöße für einen einheitlichen Fragenkatalog, jeder Kunde kann aber eigene Formate nutzen.

Fiktives Beispiel: Ein Kunststoffverarbeiter mit 80 Mitarbeitern ist nach § 28 BSIG nicht betroffen. Sein Kunde, ein als wichtige Einrichtung registrierter Hersteller von Kfz-Teilen, schickt mit Verweis auf § 30 Abs. 2 Nr. 4 BSIG einen Excel-Fragebogen mit zwei Wochen Antwortfrist. Einen Monat später kommt von einem zweiten Kunden ein Portal-Formular mit anderen Fragen. Der IT-Leiter hat zwei Personen im Team und keinen Compliance-Hintergrund.

1. Einordnung festhalten. Halten Sie Tätigkeit, Größe und Ergebnis nach § 28 BSIG in einem datierten Vermerk fest. Das beantwortet die häufige Einstiegsfrage „Sind Sie selbst NIS2-pflichtig?“.
2. Antwortbasis anlegen. Gliedern Sie nach den zehn Bereichen aus § 30 Abs. 2 BSIG, je Bereich mit Umsetzungsstand, zugehörigem Dokument, Verantwortlichen und Prüfdatum. Bei mittelbarer Betroffenheit ist das freiwillige Orientierung und keine gesetzliche Pflicht.
3. Abgleichen statt neu schreiben. Ordnen Sie jede Kundenfrage einem Eintrag zu. Nur Abweichungen klären Sie neu und übernehmen sie danach in die Basis. So widersprechen sich Ihre Antworten an verschiedene Kunden nicht.
4. Genau antworten. Schreiben Sie „Teilweise umgesetzt, abgeschlossen bis [Datum]“ statt pauschal „Ja“. Eine Selbstauskunft kann Vertragsgrundlage werden.
5. Belege dosieren. Geben Sie Zusammenfassungen statt des internen Sicherheitskonzepts heraus und klären Sie die Vertraulichkeit vorab.
6. Freigeben und pflegen. Lassen Sie die Geschäftsführung freigeben. Prüfen Sie die Basis mindestens bei Änderungen und vor jeder neuen Antwort.

Als Orientierung nennt die BSI-FAQ die UP-KRITIS-Empfehlungen für Anforderungen an Lieferanten (Version 4.0, 07.11.2023). Das Dokument richtet sich an Betreiber Kritischer Infrastrukturen und ist eine Empfehlung, kein Standard für alle.

Kapitel 6 der NIS2-Vorlagen von NIS2Compass enthält unter anderem den Lieferanten-Sicherheitsfragebogen und das Lieferanteninventar. Beide sind für die Einkäufer-Seite gebaut, eine fertige Antwortvorlage gibt es nicht. Als Lieferant nutzen Sie den Fragebogen für Perspektivwechsel und Selbsttest, das Inventar für Ihre eigenen Unterauftragnehmer. Kein Kunde muss genau diese Fragen stellen.

Mit dem NIS2-Lieferantennachweis können Pro-Nutzer ihren in NIS2Compass dokumentierten Bearbeitungsstand per Verifikations-Code teilen. Das ist eine Eigenangabe: NIS2Compass prüft die Angaben nicht, der Nachweis ist weder Zertifikat noch Konformitätsaussage, und Ihr Kunde entscheidet, ob ihm das genügt.

Welche NIS2-Vertragsklauseln prüfen Sie vor der Unterschrift?

Prüfen Sie vor der Unterschrift vor allem Meldefristen, Patchfristen, Audit- und Nachweisrechte, Weitergabe an Unterauftragnehmer und pauschale Verweise auf das BSIG. Entscheidend ist, ob Ihr Betrieb jede einzelne Zusage tatsächlich einhalten kann. Haftung und Vertragsstrafen sollte vorab eine Rechtsberatung prüfen.

Vorbilder für solche Klauseln finden sich in der BSI-Checkliste Sichere Lieferkette (Stand 01.10.2025) und in Anhang Nr. 5.1.4 der DVO (EU) 2024/2690, die nur für bestimmte digitale Dienste gilt.

• Vorfallinformation: Was löst die Frist aus, ein Verdacht oder erst die Bestätigung? Wie lang ist sie, wer ist Empfänger, und wer meldet nachts und am Wochenende? Für eine 24-Stunden-Klausel hilft der Beitrag zum Meldeablauf bei Dienstleistern.
• Schwachstellen und Patches: Sind die Fristen betrieblich erreichbar, und wann beginnt die Zeit? Die UP-KRITIS-Empfehlung, Tabelle 2 nennt als Beispiel 3 Stunden bis zur Neutralisierung (Workaround genügt) bei CVSS 9,0 bis 10,0 und 3 Tage bei 7,0 bis 8,9. Das sind Beispiele einer Empfehlung für Kritische Infrastrukturen, keine gesetzlichen Fristen. Wer das unterschreibt, braucht Bereitschaft außerhalb der Bürozeiten.
• Audit- und Nachweisrechte: Geht es um Prüfungen vor Ort oder um Berichte? Wie sind Umfang, Vorlauf, Kosten und Vertraulichkeit geregelt?
• Unterauftragnehmer: Können Sie Anforderungen an Ihren Cloud-Anbieter tatsächlich weiterreichen? Die UP-KRITIS-Empfehlung verlangt die schriftliche Weitergabe und die Überwachung durch den Auftragnehmer. Nach Einschätzung der Redaktion ändern gerade große Anbieter ihre Standardbedingungen oft nicht.
• Pauschale Normverweise: Steht dort „Der Lieferant erfüllt alle Anforderungen des BSIG“? Nach Einschätzung der Redaktion macht dieser Satz aus einer mittelbaren Wirkung eine umfassende Vertragspflicht. Besser sind konkret benannte Maßnahmen.
• Rechtsfolgen: Stehen Vertragsstrafe, Haftung und Kündigungsrecht im Verhältnis zum Auftrag?

Ordnen Sie jede Zusage einem internen Verantwortlichen zu. Was niemand verantworten kann, verhandeln Sie vor der Unterschrift. Dieser Beitrag ist keine Rechtsberatung.

Lohnt sich ein ISO-27001-Zertifikat, wenn Kunden nur NIS2-Nachweise verlangen?

Das hängt an der konkreten Kundenforderung, nicht an der Höhe des Angebots. Ein allgemeines Zertifikat zum Nachweis der NIS2-Anforderungen gibt es laut BSI nicht, und auch ISO 27001 beurteilt jede Einrichtung selbst. Lohnend wird das Zertifikat, wenn Kunden es ausdrücklich fordern oder eine Selbstauskunft nicht akzeptieren.

Prüfen Sie zuerst Ihre Einstufung. Mit 50 Mitarbeitern und einer Tätigkeit, die einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist, sind Sie selbst betroffen. Dann reicht ISO 27001 allein nicht, denn § 32, § 33 und § 38 BSIG bleiben.

Lesen Sie danach den Wortlaut der Forderung. Steht ein Zertifikat im Vertrag oder als Vergabebedingung, oder genügt eine Auskunft? Laut BSI-FAQ beurteilt jede Einrichtung ISO 27001 „individuell“ im Risikomanagement. Verlangt ein Kunde ein „NIS2-Zertifikat“, hilft der Beitrag zu Zertifizierung, Audit und Nachweisen, der auch die Kosten behandelt.

Laut ENISA Good Practices for Supply Chain Cybersecurity (Juni 2023, Studie von 2022 unter 1.081 Betreibern wesentlicher Dienste und Anbietern digitaler Dienste in der EU) verlangen 61 % der Befragten Sicherheitszertifizierungen von Lieferanten, 43 % nutzen Security-Rating-Dienste, 37 % Due-Diligence oder Risikobewertungen.

• Dafür spricht: Mehrere Kunden fordern das Zertifikat ausdrücklich, Ausschreibungen setzen es voraus, der Geltungsbereich deckt Ihre Leistung ab und die jährliche Pflege ist tragbar.
• Dagegen oder für Abwarten spricht: Kunden akzeptieren eine strukturierte Selbstauskunft, nur ein einzelner Fragebogen ist Anlass, oder der angebotene Geltungsbereich passt nicht zu Ihrer Leistung.

Auch mit Zertifikat können Einzelfragen offen bleiben. Der NIS2-Lieferantennachweis von NIS2Compass ersetzt kein Zertifikat. Ob eine Selbstauskunft oder ein Nachweis genügt, entscheidet allein der Kunde.

Klären Sie vor dem nächsten Angebotsgespräch schriftlich drei Dinge mit Ihrem Kunden: welche Nachweise er akzeptiert, für welchen Leistungsumfang und bis wann. Danach lässt sich jedes Zertifizierungsangebot am tatsächlichen Bedarf messen.

Häufig gestellte Fragen

Muss ich mich als Lieferant beim BSI registrieren?

Nur wenn Ihr Unternehmen selbst unter § 28 BSIG fällt. Die Registrierungspflicht nach § 33 BSIG trifft besonders wichtige und wichtige Einrichtungen, nicht Lieferanten als solche. Eine Kundenanfrage oder Vertragsklausel begründet keine Registrierung. Prüfen Sie deshalb zuerst Ihre eigene Tätigkeit und Größe, denn auch Hersteller und IT-Dienstleister können selbst erfasst sein.

Muss ich einen NIS2-Fragebogen meines Kunden beantworten?

Das BSIG verpflichtet Sie dazu nicht, solange Sie nicht selbst erfasst sind. Eine Pflicht kann sich aber aus Ihrem Vertrag ergeben. Antworten Sie nicht, kann der Kunde die Zusammenarbeit überdenken, weil er die Sicherheit seiner Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG gewährleisten muss. Wenn Sie antworten, dann richtig und mit dem tatsächlichen Stand.

Gibt es ein NIS2-Zertifikat für Lieferanten?

Nein. Das BSI stellt in seiner FAQ klar: „Ein allgemeines Zertifikat zum Nachweis der Anforderungen gibt es nicht.“ Kunden können Zertifikate wie ISO 27001 berücksichtigen, müssen diese aber im eigenen Risikomanagement beurteilen. Verlangt ein Kunde ein „NIS2-Zertifikat“, fragen Sie nach, welchen Beleg er tatsächlich meint.

Gilt NIS2 auch für die Unterauftragnehmer eines Lieferanten?

Gesetzlich nicht automatisch: § 30 Abs. 2 Nr. 4 BSIG spricht von unmittelbaren Anbietern und Diensteanbietern Ihres Kunden. Anforderungen erreichen Unterauftragnehmer nur, wenn sie vertraglich weitergegeben werden. Das BSI empfiehlt regulierten Einrichtungen in seinem Infopaket, auch Sub-Zulieferer zu verstehen. Prüfen Sie daher, was Sie selbst weiterreichen können.

Genügt der NIS2-Lieferantennachweis von NIS2Compass meinem Kunden?

Das entscheidet Ihr Kunde. Der Nachweis zeigt Ihren in NIS2Compass selbst dokumentierten Bearbeitungsstand und wird über einen Verifikations-Code geteilt. Er ist eine Eigenangabe, keine Prüfung durch NIS2Compass, kein Zertifikat und keine Aussage zur Konformität. Klären Sie vorab, ob Ihr Kunde eine Selbstauskunft akzeptiert oder eine unabhängige Prüfung erwartet.