Das World Economy Forum (WEF) stuft in seinem aktuellsten Global Risks Report „Cyber Insecurity“ als eines der größten (Platz 6 Short-Term) globalen Risiken ein – und für Einkaufsverantwortliche ist es laut Hackett Group sogar Risikofaktor Nummer 1. Mit der neuen NIS-2-Richtlinie rückt zudem klar in den Fokus: Cybersicherheit betrifft die gesamte Lieferkette und endet nicht an den eigenen Werkstoren. Zeit also, sich konkret Cybersicherheit in der Lieferkette anzusehen und Cyberrisiken konsequent aus Einkaufs- und Lieferkettenperspektive zu denken.

Das Wichtigste zu Cybersicherheit in der Lieferkette

Was versteht man unter Cybersicherheit in der Lieferkette?

Cybersicherheit in der Lieferkette beschreibt alle Maßnahmen zur Sicherstellung von IT-Sicherheit und Informationssicherheit bei externen Dienstleistern, Zulieferern und Drittanbietern, die Zugriff auf Systeme, Daten oder kritische Prozesse haben. Cybersicherheit in der Lieferkette umfasst damit die systematische Absicherung der gesamten Supply Chain gegen digitale Bedrohungen.

Warum ist Cybersicherheit in der Supply Chain wichtig?

Moderne Lieferketten sind hochgradig vernetzt: Unternehmen arbeiten mit Cloud-Providern, IT-Dienstleistern, Logistikern, Beratungen, Outsourcing-Partnern und vielen weiteren Akteuren zusammen. Daten fließen über Systemgrenzen hinweg, externe Partner greifen auf unternehmensinterne Anwendungen zu, kritische Prozesse hängen von Drittparteien ab. Gerade in global vernetzten Supply Chains entstehen dadurch neue digitale Angriffsflächen.

Genau diese Vernetzung macht die Supply Chain anfällig für Cyberangriffe. Eine einzige Schwachstelle – etwa ein schlecht gesicherter Dienstleister mit VPN-Zugang oder ein Software-Zulieferer mit unzureichenden Sicherheitsstandards – kann ausreichen, um Angreifern den Weg ins eigene Unternehmen zu ebnen. Dieses sogenannte Third-Party-Cyber-Risiko ist heute einer der zentralen Treiber für Sicherheitsvorfälle in Unternehmen und damit ein Kernproblem der Cybersicherheit in der Lieferkette.

So sagt Bitkom-Präsident Dr. Ralf Wintergerst:

„Angreifer suchen sich die schwächste Stelle aus. Gerade bei besonders gut geschützten Unternehmen sind das häufig weniger gut geschützte Zulieferer. (…) Zur Verbesserung der Cybersicherheit muss es darum gehen, Geschäftspartner entlang der Lieferkette zu sensibilisieren, Schutzmaßnahmen zu vereinbaren und gemeinsam zu implementieren.“

Die Folgen reichen von Betriebsunterbrechungen über finanzielle Schäden bis hin zu massiven Reputationsverlusten. Cybersicherheit in der Lieferkette bedeutet daher: Nicht nur das eigene Unternehmen muss widerstandsfähig sein, sondern das gesamte Supply-Chain-Ökosystem, in dem es sich bewegt.

Die Herausforderungen von Cybersicherheit in der Lieferkette

In der Theorie ist klar: Lieferkettenrisiken – auch solche, die mit IT-Sicherheit zu tun haben – müssen systematisch erfasst und gesteuert werden. In der Praxis scheitert das aber selten am fehlenden Willen, sondern an fehlenden Strukturen. Gerade hier zeigt sich, wie anspruchsvoll Cyber-Risikomanagement tatsächlich ist.

Typische Herausforderungen:

• Fehlende Transparenz über relevante Lieferanten
  Viele Unternehmen wissen nicht genau, welche Lieferanten aus IT-Sicht besonders kritisch sind. Systemzugriffe, Datenflüsse oder Abhängigkeiten sind oft nicht zentral erfasst. Dadurch bleibt unklar, wo ein Angriff besonders wehtun würde.
• Unterschiedliche Reifegrade bei Lieferanten
  Während einige Partner etablierte Sicherheitsstandards und Zertifizierungen vorweisen können, verfügen andere kaum über dokumentierte Maßnahmen oder Sicherheitsniveaus. Diese Heterogenität erschwert eine einheitliche Bewertung von Risiken und Maßnahmen und macht sichtbar, dass es keine One-Size-Fits-All-Lösung gibt: Stattdessen sind dedizierte Lieferanten-Engagement-Gespräche notwendig.
• Manuelle und unstrukturierte Abfragen
  Informationen zu Sicherheitsvorkehrungen werden häufig per E-Mail, Excel oder individuellen Fragebögen eingeholt. So eine manuelle Risikoanalyse ist aufwendig, fehleranfällig und nicht skalierbar – insbesondere bei großen Lieferantenportfolios.
• Fehlende Aktualität der Informationen
  Einmal erhobene Daten werden selten regelmäßig aktualisiert. So bleiben Veränderungen – etwa bei der IT-Landschaft eines Lieferanten, bei Vorfällen oder bei neuen Zertifizierungen – häufig unentdeckt.
• Mangelnde Nachweisfähigkeit im Prüfungsfall
  Selbst wenn Maßnahmen umgesetzt werden, sind sie oft nicht konsistent dokumentiert. Kommt es zu Audits, regulatorischen Prüfungen oder Sicherheitsvorfällen, fehlt ein zentraler, belastbarer Überblick.

Diese Punkte machen deutlich: Cybersicherheit in der Lieferkette lässt sich nicht mit einzelnen, punktuellen Maßnahmen lösen. Was fehlt, sind strukturierte, wiederholbare und nachvollziehbare Risikobewertungen, die Transparenz schaffen und Risiken dauerhaft steuerbar machen.

Cyber Risk Management als Grundlage für Cybersicherheit in der Lieferkette

Um Cyber-Risiken in der Lieferkette wirksam zu adressieren, braucht es einen ganzheitlichen Ansatz. Cybersicherheit in der Lieferkette ist dabei kein isoliertes IT-Thema, sondern Teil des strategischen Supply-Chain-Risikomanagements.

Wichtige Überlegungen sind:

• Strukturiertes Risikomanagement für Lieferanten
  Lieferanten sollten nicht nur nach Preis, Qualität und Lieferfähigkeit bewertet werden, sondern auch nach ihrem Cyber-Risikoprofil. Dazu gehören standardisierte Risikoanalysen, klare Kriterien und einheitliche Bewertungslogiken.
• Verbindliche Sicherheitsanforderungen an Dritte
  Sicherheitsstandards – etwa zu Zugriffen, Verschlüsselung, Incident-Management oder Patch-Management – sollten vertraglich verankert werden. Nur so wird Cybersicherheit zu einem festen Bestandteil der Zusammenarbeit.
• Klare Kommunikations- und Eskalationswege
  Im Ernstfall zählt jede Minute. Unternehmen benötigen definierte Ansprechpartner, Meldewege und Prozesse, um Vorfälle bei Lieferanten schnell zu erkennen, zu bewerten und gemeinsam zu beheben.
• Regelmäßige Überprüfung und Aktualisierung
  Bedrohungslagen verändern sich, ebenso wie IT-Landschaften, Lieferantenbeziehungen und Risikobewertungen. Cyber-Risiken müssen deshalb kontinuierlich überprüft und Bewertungen regelmäßig aktualisiert werden – nicht nur einmalig beim Onboarding eines Lieferanten.

Wie stellt man Cyber-Sicherheit in der Lieferkette sicher?

Wie können Unternehmen nun konkret vorgehen, um Cybersicherheit als Lieferkettenrisiko systematisch zu managen? Bewährt hat sich ein schrittweises Vorgehen:

1. Relevante Lieferanten, Zugriffe und Abhängigkeiten identifizieren und priorisieren

Zu Beginn muss Transparenz darüber geschaffen werden, welche externen Partner aus Cyber-Sicht tatsächlich kritisch sind. Entscheidend sind dabei nicht nur Vertragsbeziehungen, sondern konkrete Systemzugriffe, Datenflüsse und operative Abhängigkeiten – also der tatsächliche potenzielle Impact auf Verfügbarkeit, Integrität und Vertraulichkeit. Das ist zu tun, damit Sie die wirklich relevanten Partner und Abhängigkeiten gezielt segmentieren:

• Alle externen Systemzugriffe (z. B. VPN, APIs, Cloud-Integrationen) zentral erfassen
• Lieferanten anhand ihres Zugriffs- und Daten-Impacts in Kritikalitätsklassen einteilen
• Besonders sensible oder geschäftskritische Abhängigkeiten (Single Points of Failure) identifizieren
• Nicht mehr benötigte oder überprivilegierte Zugänge konsequent reduzieren (Least-Privilege-Prinzip)

2. Risiken kontinuierlich überwachen und transparent machen

Cyber-Risiken in der Lieferkette verändern sich fortlaufend – durch neue Bedrohungen, veränderte IT-Landschaften oder Anpassungen in der Zusammenarbeit. Bewertungen sollten daher nicht nur regelmäßig aktualisiert, sondern auch übergreifend steuerbar gemacht werden:

• Regelmäßige Re-Assessments für kritische Lieferanten etablieren
• Anlassbezogene Neubewertungen bei Vorfällen oder wesentlichen Änderungen durchführen
• Aggregierte Risiko-Dashboards zur Portfolio-Steuerung einführen
• Zentrale KPIs (z. B. offene High-Risk-Findings, Remediation-Quote, Assessment-Abdeckung, Security Monitoring) kontinuierlich überwachen
• Einhaltung regulatorischer Compliance-Anforderungen inkl. Dokumentation für NIS-2-Compliance

3. Maßnahmen dokumentieren und Nachweisfähigkeit sicherstellen

Alle Bewertungen, Entscheidungen und Maßnahmen sollten zentral dokumentiert werden. So lässt sich nachweisen,

• dass Risiken erkannt und adressiert wurden,
• welche Anforderungen an Lieferanten gestellt wurden,
• wie auf Vorfälle reagiert wurde.

Diese Nachweisfähigkeit ist nicht nur für Audits und Regulatorik wichtig, sondern auch für das interne Vertrauen in den eigenen Sicherheitsansatz.

* Bei diesen Informationen handelt es sich um redaktionell zusammengefassten Content, der nicht als Rechtsberatung zu verstehen ist. VERSO übernimmt keine Haftung. 

Die PPWR (Packaging and Packaging Waste Regulation) – auch bekannt als neue EU-Verpackungsverordnung – bringt umfassende Anforderungen für Unternehmen entlang der gesamten Verpackungswertschöpfungskette. Sie betrifft Design, Recyclingfähigkeit, Kennzeichnung, erweiterte Herstellerverantwortung (EPR) sowie die Reduktion von Verpackungsabfällen. Hier finden Sie die wichtigsten PPWR-Fragen und erfahren, welche Pflichten ab 2026 gelten.

1. Was ist die PPWR (Packaging and Packaging Waste Regulation)?

Die PPWR (Packaging and Packaging Waste Regulation) ist ein zentraler Baustein des europäischen Green Deal. Als einheitliches, direkt geltendes Rahmenwerk ersetzt sie die bisherige Verpackungsrichtlinie. Ziel der Verordnung ist es, in der EU die Kreislaufwirtschaft zu stärken und Verpackungsabfälle zu reduzieren, Recyclingfähigkeit und Materialeffizienz zu erhöhen und die bisherigen Vorschriften EU-weit zu harmonisieren.

2. Ab wann gilt die PPWR?

Die PPWR ist am 11.02.2025 in Kraft getreten, gilt ab dem 12.08.2026 in der Anwendung und wird bis 2040 schrittweise ausgeweitet – mit wichtigen Meilensteinen in den Jahren 2028 und 2030.

3. Wen betrifft die PPWR?

Die PPWR gilt für alle Verpackungen und verpackten Produkte, die auf dem EU-Markt in Verkehr gebracht werden. Ab dem 12. August 2026 dürfen Waren in Verpackungen, die der Verordnung nicht entsprechen, in der EU nicht mehr vermarktet werden. Für Verpackungen gefährlicher Güter, Medizinprodukte, kontaktkritischer Lebensmittel und innovative Verpackungen gelten Ausnahmen und Sonderregelungen, die dort Flexibilität bieten, wo Sicherheits- oder Innovationsaspekte dies rechtfertigen.

Bleibt die Frage nach der konkreten Rolle in der PPWR: Die PPWR hat einen enorm breiten Anwendungsbereich. Deshalb betrifft sie zahlreiche Unternehmen, darunter:

• Lieferanten von Verpackungen oder Verpackungsmaterialien
• Hersteller von Verpackungen oder verpackten Produkten
• Distributoren, Importeure und Fulfillment-Dienstleister
• Markeninhaber, die verpackte Waren auf dem EU‑Markt in Verkehr bringen
• Nicht-EU-Lieferanten, die Produkte oder Verpackungen für die EU liefern

Folgende Sektoren sind besonders betroffen:

• FMCG / Konsumgüter des täglichen Bedarfs (Lebensmittel, Getränke, Körperpflege)
• Einzelhandel, E‑Commerce und Online-Marktplätze
• Verpackungsherstellung
• Logistik, Fulfillment und Transportverpackungen
• Textilien, Bekleidung und Schuhe (Aspekte der Verpackung)
• Gastronomie, Bewirtung und Take-away (HORECA)

4. Welche Rollen definiert die PPWR?

Die PPWR legt klare Verpflichtungen für jeden Wirtschaftsakteur entlang der Lieferkette fest und unterscheidet grundsätzlich zwischen Erzeugern, Importeuren, Vertreibern und Lieferanten.

Erzeuger

Eine natürliche oder juristische Person, die Verpackungen oder ein verpacktes Produkt fertigt oder unter eigenem Namen oder eigener Marke entwickeln oder fertigen lässt. (Bedeutet Verpackungshersteller oder Unternehmen wie Amazon).

Lieferant

Jede natürliche oder juristische Person, die Verpackungen oder Verpackungsmaterialien an einen Erzeuger liefert.

Importeur

Jede natürliche oder juristische Person in der EU, die Verpackungen aus einem Nicht‑EU‑Land auf den EU‑Markt bringt.

Vertreiber

Jede natürliche oder juristische Person in der Lieferkette (außer Erzeuger/Importeur), die Verpackungen oder verpackte Produkte auf dem Markt bereitstellt.

5. Was bedeutet die PPWR-Rolle „Producer” bzw. „Hersteller” und was ist der Unterschied zum Erzeuger?

Diese Frage taucht bei der PPWR besonders häufig auf. Als Hersteller gelten alle Erzeuger, Importeure oder Vertreiber – unabhängig vom Sitz –, die Verpackungen oder verpackte Produkte erstmals in einem Mitgliedstaat auf den Markt bringen. Sie haben dann noch zusätzliche Pflichten, z.B. die erweiterte Herstellerverantwortung (EPR) für Sammlung und Recycling. Der Begriff ist nicht zu verwechseln mit dem „Erzeuger”. Der Erzeuger ist eine der Rollen, die unter den Sammelbegriff „Hersteller” fallen. Auch im Englischen besteht Verwechslungsgefahr: Hier wird der Hersteller übrigens Producer genannt und der Erzeuger Manufacturer.

Es ist wichtig zu verstehen, dass es in einer Verpackungswertschöpfungskette nur einen Erzeuger gibt, aber durchaus mehrere Hersteller geben kann (hier ist pro Mitgliedsstaat zu prüfen, ob man Erstinverkehrbringer ist).

6. Was bedeutet “Erweiterte Herstellerverantwortung” im Kontext der PPWR?

Ein wichtiger Bestandteil der PPWR ist das Prinzip der erweiterten Herstellerverantwortung, auch als Extended Producer Responsibility oder kurz EPR bekannt. Die EPR-Compliance verpflichtet Hersteller nicht nur zur Verantwortung für die Herstellung und den Vertrieb ihrer Produkte, sondern auch für die Entsorgung der damit verbundenen Verpackungen.

Ein Beispiel: Online-Händler aus Deutschland, die Waren nach Österreich an einen Endkunden verkaufen, sind verpflichtet, dort einen Bevollmächtigen zu ernennen, um sich im nationalen Herstellerregister zu registrieren und entsprechende Gebühren zu bezahlen.

7. Wie verändern sich mit der PPWR die EPR-Gebühren?

Ab 18 Monate nach Veröffentlichung der EU-Kriterien werden die EPR-Gebühren nach der Umweltfreundlichkeit der Verpackung gestaffelt (=modulierte Gebühren). Sie sind dann z. B. günstiger, wenn die Recyclingfähigkeit höher ist.

8. Welche Pflichten bringt die PPWR für Unternehmen mit sich?

Die PPWR führt umfassende Nachhaltigkeits- und Informationspflichten für Unternehmen entlang der gesamten Wertschöpfungskette ein. Sie betreffen sowohl das Design und die Materialwahl von Verpackungen als auch Dokumentation, Kennzeichnung, Rückverfolgbarkeit und Berichterstattung.

Zu den zentralen Pflichten, die je nach Rolle variieren, gehören:

1. Konformität & chemische Sicherheit (ab 2026)

• Einhaltung von Grenzwerten für besorgniserregende Stoffe (z. B. PFAS, Schwermetalle), insbesondere bei Lebensmittelkontakt
• Durchführung von Konformitätsbewertungsverfahren
• Erstellung technischer Dokumentationen
• Ausstellung einer EU-Konformitätserklärung (DoC)

2. Kennzeichnung & Transparenz (ab 2028 ff.)

• Harmonisierte Kennzeichnung zur Materialzusammensetzung
• Angaben zu Kompostierbarkeit, Rücknahme- oder Pfandsystemen
• Kennzeichnung von Mehrwegverpackungen
• Bereitstellung von Informationen gegenüber Behörden und Marktüberwachung
• Registrierung und Pflichten im Rahmen der erweiterten Herstellerverantwortung (EPR)

3. Design- und Nachhaltigkeitsanforderungen (schrittweise bis 2040)

• Minimierung von Gewicht, Volumen und Leerraum (max. 50 % bei Transport- und E-Commerce-Verpackungen ab 2030)
• Verbot bestimmter Einwegkunststoffverpackungen
• Vorgaben zur Recyclingfähigkeit (mind. 70 % ab 2030, 80 % ab 2038)
• Design for Recycling (werkstoffliches Recycling ermöglichen)
• Mindestrezyklatanteile in Kunststoffverpackungen (10–35 % ab 2030, bis zu 65 % ab 2040)
• Erfüllung verbindlicher Wiederverwendungsquoten
• Industrielle Recyclingfähigkeit im großen Maßstab (ab 2035)

4. Spezifische Vorgaben für bestimmte Verpackungen

• Kompostierbarkeit bestimmter Anwendungen (z. B. Tee- oder Obstetiketten)
• Wiederverwendungsangebote im Take-away-Bereich
• Nutzung eigener Behälter ermöglichen

9. Welche Anforderungen gelten ab 2026 konkret?

Wenn Sie Erzeuger der Verpackungen bzw. der verpackten Produkte sind:

• müssen Sie ein Konformitätsbewertungsverfahren durchführen sowie die technischen Dokumentation und Konformitätserklärung erstellen,
• dürfen Sie keine besorgniserregenden Stoffen in Verpackungsmaterial (PFAS, Schwermetalle) verwenden und
• haben Sie eine allgemeine Kennzeichnungspflicht.

Wenn sie nachgelagert von einem Erzeuger bzw. von Ihren Lieferanten Verpackungen oder verpackte Produkte einkaufen, dann haben Sie Prüfpflichten u.a. hinsichtlich der Konformität der Verpackungen und der Kennzeichnungspflichten.

10. Welche Vorgaben gibt es hinsichtlich Leerraum und Überverpackung?

Ab dem 01.01.2030 dürfen Gruppen-, Transport- und E-Commerce-Verpackungen maximal 50 % Leerraum aufweisen, wobei auch Füllmaterial als Leerraum gilt. Das Gewicht bzw. Volumen der Verpackung muss dann auf das Nötige reduziert sein und kosmetische Tricks (z. B. Doppelwände, falsche Böden) sind bis auf wenige Ausnahmen verboten.

11. Welche Auswirkungen hat die PPWR auf die Lieferkette?

Die PPWR erhöht die Datenanforderungen an Lieferanten und Verpackungshersteller entlang der gesamten Verpackungslieferkette, verlangt klare Verantwortlichkeiten in der Verpackungswertschöpfungskette und führt zu einem höheren Abstimmungsaufwand zwischen Einkauf, Nachhaltigkeit, Qualität und Lieferanten. Gleichzeitig steigen die Risiken durch unvollständige oder veraltete Lieferantendaten, weshalb Transparenz und eine digitale, jederzeit verfügbare Datenbasis an Bedeutung gewinnen.

12. Wie sollten sich Unternehmen jetzt auf die PPWR vorbereiten?

Unternehmen sollten frühzeitig Transparenz über betroffene Verpackungen und Lieferanten schaffen, bestehende Daten und Nachweise prüfen sowie klare Prozesse für Datenerhebung und -pflege definieren. Entscheidend ist zudem, Lieferanten rechtzeitig einzubinden und digitale Strukturen aufzubauen, um die Anforderungen skalierbar und revisionssicher zu erfüllen.

Unsere Herangehensweise:

1. PPWR-Readiness der Lieferkette feststellen
2. Lieferanten sensibilisieren und schulen – ohne Mehraufwand
3. Verpackungsdaten automatisiert einholen und auswerten
4. Optionale Beratung zur strategischen und operativen Umsetzung

13. Wie hängt die PPWR mit anderen ESG-Anforderungen zusammen?

Dekarbonisierung der Lieferkette

Die PPWR fördert recyclingfähige und materialeffiziente Verpackungen, wodurch der Einsatz von Primärrohstoffen sinkt und energieintensive Produktionsschritte reduziert werden – ein direkter Hebel zur Reduktion von Scope-3-Emissionen.

REACH / RoHS

Die PPWR baut auf bestehenden Chemikalienregulierungen auf und konkretisiert Stoffanforderungen für Verpackungen, etwa durch Grenzwerte für PFAS und Schwermetalle, um Umwelt- und Gesundheitsrisiken systematisch zu reduzieren.

ESRS E5 – Kreislaufwirtschaft

Die PPWR operationalisiert die Anforderungen des ESRS E5, indem sie verbindliche Kriterien zur Recyclingfähigkeit, Materialzusammensetzung und Wiederverwertbarkeit von Verpackungen definiert und damit belastbare ESG-Kennzahlen ermöglicht.

EUDR – Rückverfolgbarkeit

Wie die EUDR verlangt auch die PPWR eine transparente Rückverfolgbarkeit von Materialien und Lieferanten, um regulatorische Konformität entlang der Lieferkette nachweisen zu können.

Digital Product Passport (DPP)

Die PPWR liefert zentrale Datenpunkte für den Digital Product Passport, insbesondere zu Materialzusammensetzung, Stoffen, Recyclingfähigkeit und Konformität, und schafft damit die Grundlage für eine digitale, standardisierte Produkt- und Verpackungstransparenz.

14. Warum sollten Unternehmen die PPWR frühzeitig umsetzen?

Unternehmen sollten die PPWR frühzeitig umsetzen, um Compliance-, Haftungs- und Marktzugangsrisiken zu senken und kurzfristige Umsetzungs- sowie Lieferkettenengpässe zu vermeiden. Wer jetzt handelt, baut belastbare Datenstrukturen statt manueller Ad-hoc-Lösungen auf und positioniert sich besser gegenüber Kunden, Handel und Behörden. Gleichzeitig lässt sich die PPWR als Hebel für effiziente, nachhaltige Verpackungsstrategien nutzen, während notwendige Anpassungen in Forschung und Entwicklung ausreichend Zeit für Planung, Tests und Skalierung erhalten.

15. Welche Strafen sind bei PPWR-Verstößen zu beachten?

In Deutschland muss für fehlende Konformitätserklärungen, technische Dokumentationen, Registrierungen, Lizenzierungen oder falschen Angaben mit bis zu 200.000 Euro Strafe gerechnet werden. Zusätzlich können auch Vertriebsverbote verhängt werden. Die ganz konkreten Strafen für einzelne PPWR-Pflichten werden noch durch weitere Rechtsakte festgelegt.

* Bei diesen Informationen handelt es sich um redaktionell zusammengefassten Content, der nicht als Rechtsberatung zu verstehen ist. VERSO übernimmt keine Haftung. 

Was ist die NIS-2-Richtlinie und was bedeutet sie für die Lieferkette?

Mit der NIS‑2-Richtlinie verschärft die EU die Anforderungen an die Cyber-Resilienz von Unternehmen. Im Fokus steht dabei nicht nur die eigene IT, sondern die gesamte Lieferkette: Dienstleister, Zulieferer und IT- oder Cloud-Provider werden zunehmend zum Einfallstor für Angriffe. Unternehmen müssen daher ihre Abhängigkeiten kennen, Risiken systematisch bewerten und geeignete Sicherheitsmaßnahmen auch bei Partnern und Dienstleistern umsetzen. Die Lieferkette wird so zu einem zentralen Hebel für die Einhaltung der Richtlinie und für die digitale Resilienz des Unternehmens.

Welche Einrichtungen und Unternehmen sind von NIS-2 betroffen?

Betroffen sind nicht mehr nur klassische Betreiber kritischer Infrastrukturen, sondern zahlreiche sogenannte „besonders wichtige” und „wichtige” Einrichtungen – darunter viele Unternehmen aus Industrie, Produktion, IT, Logistik, Energie, Gesundheit und digitalen Diensten ab 50 Mitarbeitenden bzw. ab 10 Mio. Euro Umsatz. Die „besonders wichtigen” Einrichtungen, in der Tabelle dargestellt, haben die strengsten Anforderungen umzusetzen.

Die „wichtigen” Einrichtungen haben zwar – je nach Größe und Branche – nicht ganz so weitreichende Pflichten und werden nicht per se als kritisch eingestuft, dennoch müssen sie NIS-konform handeln. Dazu zählen:

• Lebensmittelproduktion
• Post- und Kurierdienste
• Chemische Industrie
• Fertigungsindustrie
• Digitale Dienste
• Forschungseinrichtungen
• Abfallwirtschaft

Ab wann gilt die NIS-2 für Unternehmen und ihre Lieferketten?

Alle EU-Staaten hätten die NIS-2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen müssen, doch viele, darunter Deutschland, haben die Frist verpasst. In Deutschland gilt NIS-2 daher erst seit Dezember 2025 als Gesetz.

Ob in einem Land früher oder später, Fakt ist: Unternehmen in der EU müssen ihre Sicherheitsmaßnahmen im Unternehmen und in der Lieferkette nun an NIS-2 anpassen. Dabei gilt es aufzupassen: NIS-2 betrifft deutlich mehr Unternehmen als die Vorgänger-Richtlinie NIS-1. In Deutschland fallen mit der rund 30.000 Organisationen unter NIS-2, von NIS-2 waren weniger als 2.000 betroffen.

Der Unterschied zwischen NIS-2 und ISO-27001

Im Unterschied zu etablierten Informationssicherheitsstandards wie der ISO/IEC 27001 geht NIS-2 deutlich weiter: Im Fokus steht nicht nur die Absicherung der eigenen IT, sondern ein ganzheitliches Risikomanagement, das das gesamte Unternehmensumfeld inklusive der Lieferkette einbezieht.

Was fordert NIS-2 von Unternehmen und Lieferketten?

Die NIS-2-Richtlinie hebt Cybersicherheit auf ein neues Niveau – organisatorisch, technisch und strategisch. Im Kern lassen sich die Anforderungen in drei zentrale Handlungsfelder gliedern:

1. Systematisches Risikomanagement etablieren: Einsatz technischer Schutzmaßnahmen wie Multi-Faktor-Authentifizierung (MFA), dokumentierte Kryptographierichtlinien, etablierte Incident-Response- und Notfallpläne, regelmäßige Schulungen zur Sensibilisierung der Mitarbeitenden

2. Klare Verantwortlichkeiten auf Führungsebene: Aktive Mitgestaltung und Freigabe der Cybersecurity-Maßnahmen, verpflichtende Weiterbildungen, persönliche Haftung bei groben Pflichtverletzungen

3. Verbindliche Meldepflichten & Business Continuity: Frühwarnmeldung innerhalb von 24 Stunden bei schwerwiegenden Vorfällen, detaillierter Bericht nach 72 Stunden mit Ursachenanalyse und ersten Gegenmaßnahmen, Abschlussbericht innerhalb eines Monats inklusive langfristiger Präventionsmaßnahmen

Anforderungen von NIS-2 ans Lieferkettenmanagement

Besonders relevant ist bei der NIS-2, dass die Anforderungen bis in die Lieferkette hineinreichen. Unternehmen müssen nachvollziehbar darlegen können, welche Lieferanten und Dienstleister Zugriff auf Systeme, Daten oder kritische Prozesse haben – und wie die damit verbundenen Risiken gesteuert werden. Das betrifft insbesondere IT- und Cloud-Dienstleister, Softwareanbieter, externe Dienstleister mit System- oder Datenzugriff und Lieferanten mit digital angebundenen Prozessen.

Die konkreten Anforderungen an das Lieferkettenmanagement:

Risikomanagement für Drittparteien

Unternehmen müssen Risiken identifizieren, die sich aus der Zusammenarbeit mit Lieferanten und Dienstleistern ergeben – insbesondere dort, wo externe Partner Zugriff auf Systeme, Daten oder kritische Prozesse haben.

• Beispiel: Ein externer IT-Dienstleister hat Remote-Zugriff auf produktive Systeme oder administriert Cloud-Infrastrukturen. Unternehmen müssen bewerten, welche Auswirkungen ein Ausfall, ein Sicherheitsvorfall oder unzureichende Schutzmaßnahmen bei diesem Dienstleister hätten.

Bewertung von Sicherheitsmaßnahmen bei Lieferanten

Es reicht nicht aus, sich auf vertragliche Zusicherungen zu verlassen. Unternehmen müssen nachvollziehen können, welche Sicherheitsmaßnahmen bei relevanten Lieferanten tatsächlich bestehen und ob diese zum eigenen Risikoprofil passen.

• Beispiel: Ein Softwareanbieter bestätigt „angemessene Sicherheitsmaßnahmen“. NIS-2-konform ist erst dann, wenn klar ist, ob z. B. Zugriffskontrollen, Patch-Management, Incident-Response-Prozesse oder Zertifizierungen vorhanden sind – und wie aktuell diese sind.

Dokumentation und Nachweisfähigkeit

Bewertungen, Entscheidungen und Maßnahmen müssen strukturiert dokumentiert sein. Im Prüfungs- oder Vorfallsfall zählt nicht nur, was umgesetzt wurde, sondern dass Risiken systematisch bewertet, Entscheidungen begründet und Maßnahmen nachvollziehbar festgehalten wurden.

• Beispiel: Warum ein bestimmter Lieferant als „vertretbares Risiko“ eingestuft wurde – oder warum zusätzliche Maßnahmen erforderlich sind – muss auch Monate später noch transparent erklärbar sein.

Regelmäßige Überprüfung statt einmaliger Abfragen

NIS-2 versteht Cyber-Sicherheit als laufenden Prozess. Informationen aus der Lieferkette dürfen daher nicht einmalig erhoben werden, sondern müssen regelmäßig überprüft und aktualisiert werden.

• Beispiel: Bei Vertragsverlängerungen, neuen Systemzugriffen, geänderten Leistungen oder sicherheitsrelevanten Vorfällen muss die Risikobewertung angepasst werden – nicht erst beim nächsten Audit.

Wie Unternehmen NIS-2-Compliance (auch in der Lieferkette) sicherstellen

NIS-2 kann auf den ersten Blick komplex wirken, doch mit einem klaren Fahrplan lassen sich die Anforderungen systematisch umsetzen. Diese Schritt-für-Schritt-Anleitung zeigt, welche Maßnahmen Unternehmen jetzt ergreifen sollten – von der Risikobewertung bis zur Audit-Vorbereitung.

1. NIS-2-Betroffenheit klären

Zu Beginn sollte geprüft werden, ob Ihr Unternehmen vom Anwendungsbereich der Richtlinie betroffen ist. Auch wer Teil der Lieferkette ist, kann unter die Vorgaben fallen.

2. Gap-Analyse durchführen

Überprüfen Sie insbesondere Risikomanagement und Incident Response: Gibt es klare Prozesse zur Erkennung und Meldung von Vorfällen? Sind Zugriffsrechte, Verschlüsselung und MFA umgesetzt? Wie gut sind Ihre Dienstleister abgesichert, und sind Notfall- sowie Wiederanlaufpläne aktuell?

3. Risikomanagement-Strategie entwickeln

Ein wirksames Risikomanagement bildet die Basis jeder NIS-2-Strategie.
Kernbausteine sind:

• regelmäßige Risikobewertungen zur frühzeitigen Identifikation von Schwachstellen
• starke Zugangskontrollen (inkl. MFA)
• Verschlüsselung
• konsequentes Patch-Management
• regelmäßige Penetrationstests
• strukturierten Incident-Response-Plan und Meldeprozess etablieren

Wer diese Maßnahmen proaktiv umsetzt, reduziert Risiken nachhaltig und stärkt die Cybersicherheit im gesamten Unternehmen.

4. Governance und Verantwortlichkeiten klären und stärken

Cybersecurity wird durch NIS-2 klar zur Führungsaufgabe. Die Geschäftsleitung trägt die Verantwortung, Sicherheitsrichtlinien aktiv zu gestalten, zu verabschieden und regelmäßig zu überprüfen.

Zentrale Elemente dabei sind:

• verpflichtende Schulungen für Führungskräfte
• eindeutig geregelte Zuständigkeiten (z. B. ein benannter Security-Beauftragter)
• ein systematisches Review der gesamten Sicherheitsstrategie
• eine laufend gepflegte und vollständige Sicherheitsdokumentation

So sorgt eine starke Governance nicht nur für weniger Sicherheitsrisiken, sondern verringert zugleich persönliche Haftungsrisiken für das Management.

5. Lieferkette absichern

Drittanbieter und Dienstleister entwickeln sich zunehmend zu einem zentralen Cyber-Risikofaktor – und stehen mit NIS-2 ebenfalls klar in der Verantwortung.

Um Ihre Lieferkette abzusichern, sollten Sie insbesondere:

• Sicherheitsniveau und Schutzmaßnahmen Ihrer Dienstleister systematisch prüfen
• NIS-2- und Compliance-Anforderungen verbindlich in Verträgen verankern
• Laufende Monitoring- und Kontrollmechanismen etablieren, um Risiken frühzeitig zu erkennen

So wird die Lieferkette zu einem wirksamen Schutzschild: Ihr Unternehmen reduziert sowohl die reale Angriffsfläche als auch das regulatorische Risiko.

* Bei diesen Informationen handelt es sich um redaktionell zusammengefassten Content, der nicht als Rechtsberatung zu verstehen ist. VERSO übernimmt keine Haftung.