NIS2 für Zulieferer: Wie Lieferkettenklauseln auch kleine Betriebe treffen
Unter 50 Mitarbeiter und trotzdem NIS2-Anforderungen im Vertrag? Warum regulierte Kunden ihre Pflichten an Zulieferer weiterreichen — und wie Sie reagieren sollten.
Nicht betroffen — und trotzdem verpflichtet
Die Schwellenwerte der NIS2-Richtlinie sind klar: Direkt reguliert sind in der Regel erst Unternehmen ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz in einem der erfassten Sektoren. Viele kleinere Betriebe wähnen sich deshalb in Sicherheit. Übersehen wird dabei ein Mechanismus, der in der Praxis längst wirkt: die vertragliche Weitergabe von Sicherheitsanforderungen entlang der Lieferkette.
Warum Ihre Kunden Sie in die Pflicht nehmen
Betroffene Einrichtungen müssen nach § 30 BSIG auch die Sicherheit ihrer Lieferkette gewährleisten — einschließlich der unmittelbaren Anbieter und Dienstleister. Ein reguliertes Unternehmen kann diese Pflicht nur erfüllen, wenn es seinen Zulieferern nachweisbare Mindeststandards auferlegt. Das Ergebnis sind Sicherheitsanhänge in Rahmenverträgen, Lieferantenfragebögen und Auditrechte, die zunehmend auch Handwerksbetriebe, Softwaredienstleister und Logistiker unter 50 Mitarbeitern erreichen.
Typische Klauseln in Lieferantenverträgen
- Mindestmaßnahmen: Multi-Faktor-Authentifizierung, Patch-Management, Verschlüsselung und Backup-Konzepte als vertragliche Pflicht
- Meldepflichten: Sicherheitsvorfälle beim Zulieferer sind dem Kunden binnen 24 oder 48 Stunden anzuzeigen
- Nachweis- und Auditrechte: Der Kunde darf Zertifikate, Selbstauskünfte oder Vor-Ort-Prüfungen verlangen
- Kündigungs- und Haftungsklauseln: Verstöße gegen die Sicherheitsanlage berechtigen zur außerordentlichen Kündigung oder lösen Vertragsstrafen aus
Unterschreiben oder verhandeln?
Lieferkettenklauseln sind Verhandlungssache — anders als das Gesetz selbst. Prüfen Sie vor der Unterschrift, welche Maßnahmen Sie realistisch umsetzen können, und verhandeln Sie Fristen, Wesentlichkeitsschwellen für Meldungen und die Haftungsobergrenze. Eine pauschal übernommene 24-Stunden-Meldepflicht ohne internes Verfahren ist ein Haftungsrisiko, kein Vertriebsargument.
Die Chance hinter der Pflicht
Wer als kleiner Betrieb grundlegende Sicherheitsmaßnahmen dokumentiert vorweisen kann, verschafft sich einen Vorteil bei Ausschreibungen regulierter Kunden. Ob Ihr Kunde selbst unter NIS2 fällt, klären Sie über die Übersicht der betroffenen Sektoren; eine strukturierte Selbsteinschätzung Ihrer eigenen Lage bietet der NIS2-Check.
Häufige Fragen
Kann mich das BSI als Zulieferer direkt sanktionieren?
Nein. Bußgelder nach dem BSIG treffen nur die regulierten Einrichtungen selbst. Als nicht direkt betroffener Zulieferer haften Sie ausschließlich vertraglich gegenüber Ihrem Kunden — etwa über Vertragsstrafen, Schadenersatz oder die Kündigung des Vertrags bei Verstößen gegen vereinbarte Sicherheitsanlagen.
Muss ich als Zulieferer jede Sicherheitsklausel akzeptieren?
Nein, die Klauseln sind frei verhandelbar. Üblich und meist tragbar sind grundlegende technische Maßnahmen und eine Meldepflicht für erhebliche Vorfälle. Kritisch prüfen sollten Sie unbegrenzte Auditrechte, sehr kurze Meldefristen ohne Wesentlichkeitsschwelle und Haftungsklauseln ohne Obergrenze.
Reicht eine ISO-27001-Zertifizierung als Nachweis?
In den meisten Fällen ja — eine ISO-27001-Zertifizierung deckt die typischen Anforderungen aus Lieferantenfragebögen weitgehend ab und ersetzt oft aufwendige Einzelnachweise. Für kleine Betriebe ist alternativ ein dokumentiertes Sicherheitskonzept nach anerkannten Standards wie dem BSI-Grundschutz oder der DIN SPEC 27076 häufig ausreichend.
Welche Maßnahmen sollte ich als kleiner Betrieb zuerst umsetzen?
Beginnen Sie mit den Maßnahmen, die in nahezu jedem Lieferantenfragebogen abgefragt werden: Multi-Faktor-Authentifizierung für alle Fernzugriffe, regelmäßige Updates und Backups, ein benannter Ansprechpartner für Sicherheitsvorfälle und ein kurzes, dokumentiertes Meldeverfahren. Diese vier Punkte decken den Großteil der vertraglichen Anforderungen ab.
Weiterführende Artikel
NIS2: Wer ist betroffen und was jetzt zu tun ist
Ein praktischer Leitfaden zur Betroffenheitsanalyse und den zentralen Pflichten nach dem BSIG.
CybersicherheitDie 7 teuersten Compliance-Fehler deutscher KMU
Von der fehlenden LUCID-Registrierung bis zur verspäteten Datenpannen-Meldung: Diese sieben Versäumnisse kosten den Mittelstand regelmäßig fünf- bis siebenstellige Beträge.