Verfasst vom NIS2Compass Team ·
Für Zulieferer gibt es zwei Wege zu NIS2. Direkt betroffen sind Sie, wenn Ihre eigene Tätigkeit einer Einrichtungsart aus Anlage 1 oder 2 BSIG entspricht und Ihr Unternehmen mindestens 50 Mitarbeitende oder jeweils über 10 Mio. € Jahresumsatz und Jahresbilanzsumme hat. Das gilt etwa für viele Hersteller von Maschinen, Elektronik oder Kraftwagenteilen. Indirekt betroffen sind Sie, wenn NIS2-pflichtige Kunden nach §30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette gewährleisten müssen und diese Anforderungen an Sie weitergeben. NIS2Compass hilft, beides sauber zu trennen und Kundenanfragen mit belastbaren Nachweisen zu beantworten.
Eigene Tätigkeit prüfen
Entscheidend ist Ihre eigene Tätigkeit, nicht die Ihres Kunden. Wer etwa Maschinen (NACE 28), elektrische Ausrüstungen (27) oder Kraftwagenteile (29) herstellt, steht in Anlage 2 BSIG. Managed Services Provider stehen in Anlage 1. Entspricht Ihre Tätigkeit keiner Einrichtungsart der Anlagen, sind Sie nicht direkt erfasst.
Größenschwelle
Direkt pflichtig sind Sie erst ab 50 Mitarbeitenden oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. € (§28 Abs. 2 BSIG). Daten verbundener Unternehmen werden nicht hinzugerechnet, wenn Ihre IT unabhängig betrieben wird (§28 Abs. 4 BSIG).
Indirekt über die Lieferkette
Auch unterhalb der Schwellen oder außerhalb der Sektoren erreichen Sie Anforderungen Ihrer Kunden: Fragebögen, Nachweise wie ISO 27001 oder TISAX und Vertragsklauseln. Rechtsgrundlage ist die Pflicht des Kunden, keine eigene Pflicht nach BSIG.
Viele Zulieferer halten die Pflicht des Kunden für eine eigene. Umgekehrt übersehen Hersteller aus Anlage 2, dass sie selbst registrierungs- und meldepflichtig sind.
Jeder Kunde fragt anders: eigene Excel-Listen, Lieferantenportale, Selbstauskünfte. Ohne zentrale Antwortbasis entstehen widersprüchliche Angaben gegenüber verschiedenen Kunden.
Rahmenverträge werden um Sicherheitsanforderungen ergänzt, etwa Informationspflichten bei Vorfällen, Nachweise und Auditrechte. Was Sie unterschreiben, müssen Sie im Alltag auch einhalten können.
NIS2-pflichtige Kunden müssen erhebliche Sicherheitsvorfälle spätestens 24 Stunden nach Kenntniserlangung melden (§32 BSIG). Betrifft ein Vorfall bei Ihnen deren Dienste, sind sie auf Ihre schnelle Information angewiesen.
Selbstauskünfte genügen nicht jedem Kunden. Nachweise wie ein ISO-27001-Zertifikat oder ein TISAX-Label werden herangezogen, beantworten aber nicht automatisch jede Frage zu §30 BSIG.
Fragen zur Lieferkette enden nicht bei Ihnen. Das BSI empfiehlt Kunden, die Lieferkette einschließlich der Sub-Zulieferer zu verstehen. Erwarten Sie deshalb Fragen zu Ihren Cloud-Anbietern, Softwarelieferanten und Fernwartungszugängen.
Beispiel: Ein Dienstleister für Oberflächenbeschichtung (NACE 25) mit 180 Mitarbeitenden beliefert einen Automobilhersteller. Seine eigene Tätigkeit entspricht keiner Einrichtungsart der Anlagen des BSIG, eine direkte NIS2-Pflicht besteht nicht. Trotzdem schickt der Kunde einen Sicherheitsfragebogen und einen neuen Vertragsanhang mit Informationspflichten bei Vorfällen. Mit NIS2Compass klärt die IT-Leitung zuerst, was der Kunde nach §30 Abs. 2 Nr. 4 BSIG selbst leisten muss und welche Fragen daraus folgen. Anschließend baut sie anhand der Vorlagen aus der Template Library (Lieferanten-Sicherheitsfragebogen, Vertragsklauselset, Lieferantensicherheitsrichtlinie) eine Antwortbasis mit Belegen auf, die sie für weitere Kunden wiederverwendet.
Knowledge Hub
40+ Fachartikel, u. a. zu Lieferkettensicherheit und Vertragsklauseln
Template Library
Lieferanten-Fragebogen, Vertragsklauselset, Lieferanteninventar
NIS2 Guide
Struktur entlang der zehn Maßnahmen nach §30 BSIG
Das BSIG verpflichtet den NIS2-pflichtigen Kunden, die Sicherheit seiner Lieferkette zu gewährleisten, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu seinen unmittelbaren Anbietern und Diensteanbietern. Einen bestimmten Fragebogen oder ein bestimmtes Zertifikat schreibt das Gesetz nicht vor. Wie der Kunde die Pflicht umsetzt, legt er selbst fest.
Die NIS2-Richtlinie konkretisiert: Einrichtungen berücksichtigen die spezifischen Schwachstellen jedes unmittelbaren Anbieters sowie die Gesamtqualität seiner Produkte und seiner Cybersicherheitspraxis, einschließlich der Sicherheit seiner Entwicklungsprozesse. Daraus erklären sich Fragen zu Ihrem ISMS, Ihren Prozessen und Ihrer Softwareentwicklung.
Im Webinar #nis2know (April 2026) nennt das BSI für die sichere Lieferkette vier Maßnahmen: vertragliche Vereinbarungen mit Zulieferern zu Risikomanagement, Vorfallbewältigung und Patchmanagement, Security by Design und by Default, die Beachtung von BSI-Empfehlungen und ein ISMS auf Basis bestehender Standards wie ISO 27001. Auf diese Punkte sollten Sie vorbereitet sein.
Ihr Kunde muss erhebliche Sicherheitsvorfälle in einer Kaskade melden: 24 Stunden, 72 Stunden, ein Monat. Sind Sie selbst keine Einrichtung nach §28 BSIG, besteht für Sie keine Meldepflicht nach §32. Ihre Informationspflicht gegenüber dem Kunden ergibt sich dann aus dem Vertrag.
Fallen Sie selbst unter §28 BSIG, gelten alle Pflichten unmittelbar: Registrierung beim BSI innerhalb von drei Monaten (§33), Risikomanagementmaßnahmen (§30), Meldepflicht (§32) und Pflichten der Geschäftsleitung (§38). Kundenfragebögen beantworten Sie dann aus Ihrer eigenen Umsetzung heraus.
| Kriterium | NIS2Compass | Klassische Beratung | ISMS-Tool | Selbstumsetzung |
|---|---|---|---|---|
| Monatskosten | 29 € | 700-1.600 €/Tag | 200-2.000 €/Monat | 0 € |
| Fragebogen-Antworten strukturiert | ja (Fachartikel + Vorlagen) | individuell (teuer) | häufig nicht Kernfokus | Einzelantworten pro Kunde |
| Eignet sich für mehrere Kunden | ja, wiederverwendbar | pro Projekt abgerechnet | ja, aber teuer | selbst |
| Einordnung von Vertragsklauseln | ja (Knowledge Hub) | ja | selten | selbst |
| Onboarding | 10 Minuten | Tage bis Wochen | Tage + Setup | Monate |
| Skalierung bei wachsender Kundenzahl | kostenneutral | linear steigend | linear steigend | linear steigend |
Einordnung, Vorlagen aus Kundensicht und eine wiederverwendbare Antwortbasis für 29 €/Monat, monatlich kündbar.
TISAX® ist eine eingetragene Marke der ENX Association. NIS2Compass steht in keiner wirtschaftlichen Verbindung zur ENX Association, ist kein von der ENX zugelassener Prüfdienstleister und führt keine TISAX-Assessments durch.