Was bedeutet die Cybersicherheitsrichtlinie NIS-2 für die Lieferkette?
NIS-2 verschärft die Anforderungen an die Cybersicherheit – erstmals steht die gesamte Lieferkette im Fokus, von Ihren Dienstleistern bis zu Cloud-Providern. Erfahren Sie, welche Unternehmen betroffen sind und wie Sie Schritt für Schritt ein wirksames Risikomanagement für Ihre Lieferkette und NIS-2-Compliance aufbauen.
Was ist die NIS-2-Richtlinie und was bedeutet sie für die Lieferkette?
Mit der NIS‑2-Richtlinie verschärft die EU die Anforderungen an die Cyber-Resilienz von Unternehmen. Im Fokus steht dabei nicht nur die eigene IT, sondern die gesamte Lieferkette: Dienstleister, Zulieferer und IT- oder Cloud-Provider werden zunehmend zum Einfallstor für Angriffe. Unternehmen müssen daher ihre Abhängigkeiten kennen, Risiken systematisch bewerten und geeignete Sicherheitsmaßnahmen auch bei Partnern und Dienstleistern umsetzen. Die Lieferkette wird so zu einem zentralen Hebel für die Einhaltung der Richtlinie und für die digitale Resilienz des Unternehmens.
Welche Einrichtungen und Unternehmen sind von der NIS-2 betroffen?
Betroffen sind nicht mehr nur klassische Betreiber kritischer Infrastrukturen, sondern zahlreiche sogenannte „besonders wichtige” und „wichtige” Einrichtungen – darunter viele Unternehmen aus Industrie, Produktion, IT, Logistik, Energie, Gesundheit und digitalen Diensten ab 50 Mitarbeitenden bzw. ab 10 Mio. Euro Umsatz. Die „besonders wichtigen” Einrichtungen, in der Tabelle dargestellt, haben die strengsten Anforderungen umzusetzen.
| Besonders wichtige Einrichtungen | Einrichtungen / Beispiele |
|---|---|
| Energie | Strom, Gas, Öl, Fernwärme/-kälte, Wasserversorgung, Ladeinfrastruktur für E-Fahrzeuge |
| Transport & Logistik | Luft-, Schienen-, Straßen- und Schifffahrtsverkehr, inklusive Reedereien und Hafenbetreibern |
| Finanzwesen | Banken, Handelsplattformen, Marktinfrastrukturen, Versicherungen |
| Gesundheitswesen | Krankenhäuser, Forschungseinrichtungen, Pharmaunternehmen, Medizintechnik |
| Wasserversorgung | Trink- und Abwasserwirtschaft |
| Digitale Infrastruktur | DNS-Dienste, Betreiber von Top-Level-Domains |
| Öffentliche Verwaltung | Behörden und andere staatliche Einrichtungen |
Die „wichtigen” Einrichtungen haben zwar – je nach Größe und Branche – nicht ganz so weitreichende Pflichten und werden nicht per se als kritisch eingestuft, dennoch müssen sie NIS-konform handeln. Dazu zählen:
- Lebensmittelproduktion
- Post- und Kurierdienste
- Chemische Industrie
- Fertigungsindustrie
- Digitale Dienste
- Forschungseinrichtungen
- Abfallwirtschaft
Ab wann gilt die NIS-2 für Unternehmen und ihre Lieferketten?
Alle EU-Staaten hätten die NIS-2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen müssen, doch viele, darunter Deutschland, haben die Frist verpasst. In Deutschland gilt NIS-2 daher erst seit Dezember 2025 als Gesetz.
Ob in einem Land früher oder später, Fakt ist: Unternehmen in der EU müssen ihre Sicherheitsmaßnahmen im Unternehmen und in der Lieferkette nun an NIS-2 anpassen. Dabei gilt es aufzupassen: NIS-2 betrifft deutlich mehr Unternehmen als die Vorgänger-Richtlinie NIS-1. In Deutschland fallen mit der rund 30.000 Organisationen unter NIS-2, von NIS-2 waren weniger als 2.000 betroffen.
Der Unterschied zwischen NIS-2 und ISO-27001
Im Unterschied zu etablierten Informationssicherheitsstandards wie der ISO/IEC 27001 geht NIS-2 deutlich weiter: Im Fokus steht nicht nur die Absicherung der eigenen IT, sondern ein ganzheitliches Risikomanagement, das das gesamte Unternehmensumfeld inklusive der Lieferkette einbezieht.
| Aspekt | ISO 27001 | NIS-2 |
|---|---|---|
| Regulatorischer Status | Internationaler Standard (freiwillig) | EU-Richtlinie (verpflichtend) |
| Anwendungsbereich | Branchenunabhängig, für Organisationen jeder Größe | Bestimmte Sektoren und Unternehmen |
| Zielsetzung | Aufbau und Betrieb eines Informationssicherheits-Managementsystems (ISMS) | Erhöhung des Cyber-Sicherheitsniveaus kritischer und wichtiger Infrastrukturen in der EU |
| Informationsschutz | Schutz aller Informationsarten (digital, physisch, Cloud) | Fokus auf IT-, OT- und Netzwerksicherheit mit kritischer Bedeutung |
| Risikomanagement | Systematisches Informationssicherheits-Risikomanagement | Erweiterte und tiefere Anforderungen an Cyber- und Informationssicherheits-Risiken |
| Asset Management | Bestandteil des ISMS | Deutlich ausgeweitet und explizit gefordert |
| Supply-Chain- & Beschaffungssicherheit | Grundsätzlich adressiert | Explizite und zentrale Anforderung (Lieferanten & Partner) |
| Awareness & Schulungen | Mitarbeiterschulungen empfohlen | Schulungen vorgesehen, v. a. für Geschäftsführung und Vorstand verpflichtend |
| Management-Einbindung | Verantwortung definiert, aber begrenzte persönliche Haftung | Starke Einbindung des Top-Managements inkl. persönlicher Haftung |
| Abdeckungsgrad | Deckt ca. 70 % der NIS-2-Anforderungen ab | Geht deutlich über ISO 27001 hinaus |
Was fordert NIS-2 von Unternehmen und Lieferketten?
Die NIS-2-Richtlinie hebt Cybersicherheit auf ein neues Niveau – organisatorisch, technisch und strategisch. Im Kern lassen sich die Anforderungen in drei zentrale Handlungsfelder gliedern:
1. Systematisches Risikomanagement etablieren: Einsatz technischer Schutzmaßnahmen wie Multi-Faktor-Authentifizierung (MFA), dokumentierte Kryptographierichtlinien, etablierte Incident-Response- und Notfallpläne, regelmäßige Schulungen zur Sensibilisierung der Mitarbeitenden
2. Klare Verantwortlichkeiten auf Führungsebene: Aktive Mitgestaltung und Freigabe der Cybersecurity-Maßnahmen, verpflichtende Weiterbildungen, persönliche Haftung bei groben Pflichtverletzungen
3. Verbindliche Meldepflichten & Business Continuity: Frühwarnmeldung innerhalb von 24 Stunden bei schwerwiegenden Vorfällen, detaillierter Bericht nach 72 Stunden mit Ursachenanalyse und ersten Gegenmaßnahmen, Abschlussbericht innerhalb eines Monats inklusive langfristiger Präventionsmaßnahmen
Anforderungen von NIS-2 ans Lieferkettenmanagement
Besonders relevant ist bei der NIS-2, dass die Anforderungen bis in die Lieferkette hineinreichen. Unternehmen müssen nachvollziehbar darlegen können, welche Lieferanten und Dienstleister Zugriff auf Systeme, Daten oder kritische Prozesse haben – und wie die damit verbundenen Risiken gesteuert werden. Das betrifft insbesondere IT- und Cloud-Dienstleister, Softwareanbieter, externe Dienstleister mit System- oder Datenzugriff und Lieferanten mit digital angebundenen Prozessen.
Die konkreten Anforderungen an das Lieferkettenmanagement:
Risikomanagement für Drittparteien
Unternehmen müssen Risiken identifizieren, die sich aus der Zusammenarbeit mit Lieferanten und Dienstleistern ergeben – insbesondere dort, wo externe Partner Zugriff auf Systeme, Daten oder kritische Prozesse haben.
- Beispiel: Ein externer IT-Dienstleister hat Remote-Zugriff auf produktive Systeme oder administriert Cloud-Infrastrukturen. Unternehmen müssen bewerten, welche Auswirkungen ein Ausfall, ein Sicherheitsvorfall oder unzureichende Schutzmaßnahmen bei diesem Dienstleister hätten.
Bewertung von Sicherheitsmaßnahmen bei Lieferanten
Es reicht nicht aus, sich auf vertragliche Zusicherungen zu verlassen. Unternehmen müssen nachvollziehen können, welche Sicherheitsmaßnahmen bei relevanten Lieferanten tatsächlich bestehen und ob diese zum eigenen Risikoprofil passen.
- Beispiel: Ein Softwareanbieter bestätigt „angemessene Sicherheitsmaßnahmen“. NIS-2-konform ist erst dann, wenn klar ist, ob z. B. Zugriffskontrollen, Patch-Management, Incident-Response-Prozesse oder Zertifizierungen vorhanden sind – und wie aktuell diese sind.
Dokumentation und Nachweisfähigkeit
Bewertungen, Entscheidungen und Maßnahmen müssen strukturiert dokumentiert sein. Im Prüfungs- oder Vorfallsfall zählt nicht nur, was umgesetzt wurde, sondern dass Risiken systematisch bewertet, Entscheidungen begründet und Maßnahmen nachvollziehbar festgehalten wurden.
- Beispiel: Warum ein bestimmter Lieferant als „vertretbares Risiko“ eingestuft wurde – oder warum zusätzliche Maßnahmen erforderlich sind – muss auch Monate später noch transparent erklärbar sein.
Regelmäßige Überprüfung statt einmaliger Abfragen
NIS-2 versteht Cyber-Sicherheit als laufenden Prozess. Informationen aus der Lieferkette dürfen daher nicht einmalig erhoben werden, sondern müssen regelmäßig überprüft und aktualisiert werden.
- Beispiel: Bei Vertragsverlängerungen, neuen Systemzugriffen, geänderten Leistungen oder sicherheitsrelevanten Vorfällen muss die Risikobewertung angepasst werden – nicht erst beim nächsten Audit.
Wie Unternehmen NIS-2-Compliance (auch in der Lieferkette) sicherstellen
NIS-2 kann auf den ersten Blick komplex wirken, doch mit einem klaren Fahrplan lassen sich die Anforderungen systematisch umsetzen. Diese Schritt-für-Schritt-Anleitung zeigt, welche Maßnahmen Unternehmen jetzt ergreifen sollten – von der Risikobewertung bis zur Audit-Vorbereitung.
1. NIS-2-Betroffenheit klären
Zu Beginn sollte geprüft werden, ob Ihr Unternehmen vom Anwendungsbereich der Richtlinie betroffen ist. Auch wer Teil der Lieferkette ist, kann unter die Vorgaben fallen.
2. Gap-Analyse durchführen
Überprüfen Sie insbesondere Risikomanagement und Incident Response: Gibt es klare Prozesse zur Erkennung und Meldung von Vorfällen? Sind Zugriffsrechte, Verschlüsselung und MFA umgesetzt? Wie gut sind Ihre Dienstleister abgesichert, und sind Notfall- sowie Wiederanlaufpläne aktuell?
3. Risikomanagement-Strategie entwickeln
Ein wirksames Risikomanagement bildet die Basis jeder NIS-2-Strategie.
Kernbausteine sind:
- regelmäßige Risikobewertungen zur frühzeitigen Identifikation von Schwachstellen
- starke Zugangskontrollen (inkl. MFA)
- Verschlüsselung
- konsequentes Patch-Management
- regelmäßige Penetrationstests
- strukturierten Incident-Response-Plan und Meldeprozess etablieren
Wer diese Maßnahmen proaktiv umsetzt, reduziert Risiken nachhaltig und stärkt die Cybersicherheit im gesamten Unternehmen.
4. Governance und Verantwortlichkeiten klären und stärken
Cybersecurity wird durch NIS-2 klar zur Führungsaufgabe. Die Geschäftsleitung trägt die Verantwortung, Sicherheitsrichtlinien aktiv zu gestalten, zu verabschieden und regelmäßig zu überprüfen.
Zentrale Elemente dabei sind:
- verpflichtende Schulungen für Führungskräfte
- eindeutig geregelte Zuständigkeiten (z. B. ein benannter Security-Beauftragter)
- ein systematisches Review der gesamten Sicherheitsstrategie
- eine laufend gepflegte und vollständige Sicherheitsdokumentation
So sorgt eine starke Governance nicht nur für weniger Sicherheitsrisiken, sondern verringert zugleich persönliche Haftungsrisiken für das Management.
5. Lieferkette absichern
Drittanbieter und Dienstleister entwickeln sich zunehmend zu einem zentralen Cyber-Risikofaktor – und stehen mit NIS-2 ebenfalls klar in der Verantwortung.
Um Ihre Lieferkette abzusichern, sollten Sie insbesondere:
- Sicherheitsniveau und Schutzmaßnahmen Ihrer Dienstleister systematisch prüfen
- NIS-2- und Compliance-Anforderungen verbindlich in Verträgen verankern
- Laufende Monitoring- und Kontrollmechanismen etablieren, um Risiken frühzeitig zu erkennen
So wird die Lieferkette zu einem wirksamen Schutzschild: Ihr Unternehmen reduziert sowohl die reale Angriffsfläche als auch das regulatorische Risiko.
Fazit: NIS-2 beginnt nicht in der IT, sondern in der Lieferkette
NIS-2 macht deutlich: Cyber-Risiken lassen sich nicht isoliert in der IT steuern. Entscheidend ist Transparenz in der Lieferkette, einheitliche Bewertungen und die Fähigkeit, Risiken laufend zu überwachen und nachzuweisen. Genau hier scheitern viele Unternehmen an manuellen Prozessen und fehlender Struktur.
Mit dem VERSO Supply Chain Hub lassen sich die NIS-2-Richtlinie und Cyber-Sicherheit in der Lieferkette zentral abbilden: von strukturierten Risikoabfragen bei Lieferanten über eine einheitliche Bewertung von Drittparteien bis hin zur laufenden Aktualisierung und zentralen Dokumentation aller Nachweise. So wird NIS-2 in der Lieferkette nicht nur regelkonform, sondern auch praktikabel und skalierbar umgesetzt.
* Bei diesen Informationen handelt es sich um redaktionell zusammengefassten Content, der nicht als Rechtsberatung zu verstehen ist. VERSO übernimmt keine Haftung.
Das könnte Sie auch interessieren:
Abonnieren Sie unseren Newsletter!
Tragen Sie sich ein und erhalten Sie regelmäßig Neuigkeiten zu:
- Aktuellen ESG-Themen und Gesetzesänderungen
- Best Practices aus den Bereichen ESG und nachhaltige Lieferketten
- News zu VERSO
- Sustainability Events uvm.





