Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz in Deutschland — ohne Übergangsfrist. Die Aufmerksamkeit galt bisher den rund 29.500 direkt betroffenen Einrichtungen. Der eigentliche Flächeneffekt entsteht aber eine Ebene tiefer: bei den Zulieferern, Dienstleistern und Softwarehäusern, die selbst unter jeder Schwelle liegen und trotzdem plötzlich Fragebögen, Audits und Vertragsklauseln beantworten müssen. Dieser Artikel beschreibt, was dabei tatsächlich verlangt wird und wie ein kleiner Betrieb das mit vertretbarem Aufwand liefert.
Dieser Artikel ist ein vertiefender Fachbeitrag aus unserem Content-Cluster. Entdecken Sie die vollständige Übersicht auf unserer Hauptseite:IT-Sicherheit & Compliance →
- Der Multiplikator sitzt im Vertrag: NIS2 reguliert rund 29.500 Einrichtungen direkt. Weil diese ihre Lieferkette absichern müssen, erreicht die Regulierung ein Vielfaches davon indirekt — über Rahmenverträge, Lieferantenfragebögen und Auditklauseln.
- Fehlende Antworten kosten Aufträge, nicht Bußgelder: Ein nicht regulierter Zulieferer riskiert kein BSI-Verfahren. Er riskiert, aus der Lieferantenliste zu fallen — ein Risiko, das früher eintritt und schwerer zu heilen ist.
- Das Nachweispaket ist überschaubar: Sicherheitsrichtlinie, Asset- und Zugriffsübersicht, Backup- und Wiederanlaufnachweis, Meldeweg, Patch-Prozess und Nachweis der Awareness-Schulung. Sechs Dokumente decken den Großteil der üblichen Fragebögen ab.
Der Brief kommt vom Kunden, nicht von der Behörde
Wer 2026 zum ersten Mal ernsthaft über Informationssicherheit nachdenkt, tut das in den meisten Fällen, weil ein Großkunde einen Fragebogen geschickt hat. Genau das ist NIS2 in der Praxis.
1. Was seit Dezember 2025 gilt
Die europäische NIS-2-Richtlinie hätte bis zum 17. Oktober 2024 in nationales Recht überführt werden müssen. Deutschland hat diese Frist deutlich verfehlt; nur vier der 27 Mitgliedstaaten schafften sie. Am 7. Mai 2025 richtete die Kommission eine mit Gründen versehene Stellungnahme an 19 Staaten, darunter Deutschland. Erst am 6. Dezember 2025 trat das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz in Kraft — und zwar ohne Übergangsfrist, obwohl Wirtschaftsverbände genau das gefordert hatten.
Inhaltlich novelliert das Gesetz das BSI-Gesetz und macht das Bundesamt für Sicherheit in der Informationstechnik zur zentralen Aufsichtsbehörde mit weitreichenden Befugnissen: Es kann Prüfungen anordnen, verbindliche Anweisungen erteilen und Sanktionen verhängen. Der Anwendungsbereich wächst von rund 4.500 auf etwa 29.500 Einrichtungen aus 18 Sektoren. Die Registrierungsfrist beim BSI endete am 6. März 2026.
Bemerkenswert ist die Diskrepanz zwischen Rechtslage und Selbstwahrnehmung. Der Cyber Security Report 2026 weist aus, dass rund 48 Prozent der befragten Unternehmen ihre eigene regulatorische Betroffenheit unterschätzen. Viele Maschinenbauer, Zulieferer und Chemieunternehmen im DACH-Raum sind davon ausgegangen, Cybersicherheitsregulierung treffe nur Konzerne und klassische KRITIS-Betreiber. Tatsächlich rutschen tausende Mittelständler über die Schwelle von 50 Beschäftigten in den Anwendungsbereich, ohne es zu bemerken.
2. Der Weitergabemechanismus
Für kleine Zulieferer ist nicht der Schwellenwert die entscheidende Norm, sondern die NIS2-Lieferkettenpflicht. Betroffene Einrichtungen müssen Risiken in ihrer Lieferkette bewerten und steuern, einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern. Kein Compliance-Verantwortlicher eines regulierten Unternehmens kann diese Pflicht erfüllen, ohne bei seinen Lieferanten nachzufragen. Also fragt er nach — schriftlich, wiederkehrend und mit Konsequenzen für die Vertragsverlängerung.
Die Weitergabe erfolgt in der Praxis über drei Kanäle, die sich in Aufwand und Verhandelbarkeit deutlich unterscheiden.
Der Lieferantenfragebogen. Meist 40 bis 120 Fragen zu Organisation, Technik und Prozessen. Er kommt einmal jährlich, oft mit kurzer Rückgabefrist. Wer die Antworten nicht standardisiert vorhält, bindet damit jedes Jahr mehrere Personentage.
Die Vertragsklausel. Sicherheitsanhänge zu Rahmenverträgen definieren Mindestmaßnahmen, Meldepflichten gegenüber dem Kunden und Auditrechte. Anders als der Fragebogen ist die Klausel bindend und überlebt den Personalwechsel auf beiden Seiten.
Das Audit vor Ort oder per Video. Die schärfste Stufe, üblich bei kritischen Dienstleistern mit Systemzugriff. Hier zählt nicht mehr die Selbstauskunft, sondern der Nachweis: Protokolle, Screenshots, Konfigurationen, Wiederherstellungstests.
Der ökonomische Kern ist einfach. Ein nicht reguliertes Unternehmen riskiert kein Bußgeld nach dem BSI-Gesetz. Es riskiert, bei der nächsten Lieferantenbewertung durchzufallen. Das ist im Zweifel teurer, weil es schneller passiert und weil es sich nicht mit einer Zahlung erledigen lässt.
3. Bin ich selbst betroffen?
Bevor man in den Zulieferer-Modus geht, lohnt die ehrliche Prüfung, ob man nicht doch selbst reguliert ist. Die 48 Prozent aus dem Cyber Security Report legen nahe, dass diese Frage häufig zu schnell verneint wird. Drei Konstellationen werden regelmäßig übersehen.
Konzernweite Zählung
Beschäftigtenzahl und Umsatz werden nicht immer je Gesellschaft betrachtet. Verbundene Unternehmen können zusammengerechnet werden — eine GmbH mit 30 Beschäftigten in einer Gruppe mit 400 sieht dann anders aus als auf dem eigenen Briefkopf.
Sektor über das Produkt
Die Sektorzuordnung folgt der Tätigkeit, nicht der Selbstbeschreibung. Ein Softwarehaus, das ausschließlich Leitsysteme für Wasserversorger baut, argumentiert schwerer als eines mit gemischtem Kundenstamm.
Managed Services und Rechenzentrum
Anbieter von IT-Diensten, Rechenzentrumsleistungen und verwalteten Sicherheitsdiensten sind ausdrücklich adressiert. Wer für Kunden Server betreibt, sollte diese Einordnung sehr genau prüfen und nicht auf die eigene Größe vertrauen.
Registrierung nachholen
Die Frist am 6. März 2026 ist verstrichen. Wer betroffen ist und nicht registriert wurde, befindet sich in einer rechtlichen Grauzone. Die Registrierung nachzuholen ist in jedem Fall besser, als auf Entdeckung zu warten.
Wer nach dieser Prüfung zu dem Ergebnis kommt, selbst reguliert zu sein, findet die vollständige Pflichtenlage in unserem NIS2-Leitfaden für den Mittelstand. Alle anderen lesen ab hier weiter als Lieferant.
4. Das Nachweispaket
Die gute Nachricht für kleine Betriebe: Die Fragebögen unterscheiden sich im Wortlaut, aber kaum im Inhalt. Sie fragen in wechselnder Reihenfolge dasselbe ab. Wer sechs Artefakte einmal sauber erstellt und halbjährlich pflegt, beantwortet damit den Großteil aller Anfragen — und kann im Auditfall etwas vorlegen statt etwas zu erzählen.
Zwei bis vier Seiten reichen. Wichtig sind Freigabe durch die Geschäftsführung, Datum, Version und ein benannter Verantwortlicher. Eine kurze, unterschriebene Richtlinie schlägt ein zwanzigseitiges Dokument ohne Freigabe.
Welche Systeme gibt es, wer hat administrativen Zugriff, wie wird ein Zugang beim Austritt entzogen? Diese drei Fragen tauchen in jedem Fragebogen auf und sind der häufigste Grund für Nachforderungen.
Nicht das Backup-Konzept ist gefragt, sondern das Protokoll des letzten Wiederherstellungstests mit Datum und Ergebnis. Ein Backup, das nie zurückgespielt wurde, gilt in Audits zunehmend als nicht vorhanden.
Eine benannte Person, eine überwachte Adresse, eine Telefonnummer außerhalb der Geschäftszeiten. Kunden brauchen die Zusage, im Vorfall innerhalb weniger Stunden jemanden zu erreichen — das steht inzwischen in fast jeder Klausel.
Wie erfahren Sie von einer kritischen Lücke, wer entscheidet über das Einspielen, in welcher Frist? Eine SBOM für eigene Softwareprodukte hebt die Antwort auf ein Niveau, das viele Wettbewerber nicht bieten.
Teilnehmerliste, Datum, Inhalte. Phishing bleibt der häufigste Einstiegsweg; entsprechend prominent steht diese Frage in den Bögen. Eine jährliche Schulung mit Anwesenheitsliste erfüllt sie vollständig.
Experten-Tipp: Ein Antwortdossier statt zehn Fragebögen
Legen Sie die Antworten auf die 60 häufigsten Fragen einmal in einem internen Dokument ab, jeweils mit Verweis auf das zugehörige Nachweisdokument. Neue Fragebögen werden damit zur Zuordnungsaufgabe statt zum Rechercheprojekt. In unseren Kundenprojekten sinkt der Bearbeitungsaufwand pro Bogen dadurch typischerweise von Tagen auf Stunden.
Ein Punkt wird dabei regelmäßig unterschätzt: Der Kunde prüft nicht nur, ob Maßnahmen existieren, sondern ob sie belegbar sind. Zwischen beiden liegt in der Praxis der gesamte Unterschied zwischen einer bestandenen und einer nachgeforderten Lieferantenbewertung.
Vergleich: Selbstauskunft vs. belegbarer Nachweis
- Backups: „Wir sichern täglich." Ohne Testprotokoll ist das eine Absichtserklärung.
- Zugriffe: „Nur der Admin hat Vollzugriff." Ohne Liste bleibt offen, wie viele Admins es gibt.
- Schulung: „Die Mitarbeiter sind sensibilisiert." Ohne Teilnehmerliste nicht prüfbar.
- Patches: „Updates werden zeitnah eingespielt." Ohne Frist und Zuständigkeit nicht bewertbar.
- Backups: Protokoll des letzten Wiederherstellungstests mit Datum, Dauer und Ergebnis.
- Zugriffe: Exportierte Rollenliste aus dem Identitätsanbieter, quartalsweise geprüft.
- Schulung: Teilnehmerliste mit Datum und Inhaltsübersicht aus dem laufenden Jahr.
- Patches: Dokumentierter Prozess mit Fristen je Kritikalität und benannter Entscheidungsinstanz.
Der Unterschied ist weniger technisch als organisatorisch. Fast alle Betriebe, mit denen wir arbeiten, machen die Dinge in der rechten Spalte bereits — sie protokollieren sie nur nicht. Der Aufwand liegt deshalb selten in der Maßnahme, sondern im Nachweis, und der lässt sich mit wenigen Stunden je Quartal dauerhaft sichern.
Ein zweiter Effekt ist ökonomisch interessant: Wer als kleiner Anbieter ein vollständiges Nachweispaket vorlegen kann, verschiebt die Verhandlung. Statt über Preis und Risikoaufschlag zu sprechen, spricht der Einkauf über Leistung. In mehreren Projekten haben wir erlebt, dass ein sauber dokumentierter Sicherheitsstand der Grund war, warum ein Rahmenvertrag verlängert wurde, obwohl ein günstigerer Wettbewerber im Rennen war.
5. Die Meldekette 24 / 72 / 30
Regulierte Einrichtungen müssen erhebliche Sicherheitsvorfälle in drei Stufen melden: eine Erstmeldung binnen 24 Stunden, eine Aktualisierung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats. Für Zulieferer ist das relevant, weil ihre Kunden diese Fristen nur halten können, wenn sie selbst rechtzeitig informiert werden. Deshalb enthalten Sicherheitsanhänge inzwischen regelmäßig eine Meldefrist an den Kunden, die kürzer ist als die gesetzliche — häufig zwölf, gelegentlich acht Stunden.
Vertraglich vereinbarte Frist. Erwartet wird keine Ursachenanalyse, sondern die Tatsache: Was ist passiert, welche Systeme oder Datenflüsse des Kunden könnten betroffen sein, wer ist Ihr Ansprechpartner.
Pflicht der regulierten Einrichtung. Ihr Beitrag als Lieferant besteht darin, belastbare Angaben zu liefern — Zeitpunkte, betroffene Schnittstellen, Stand der Eindämmung.
Erste Bewertung von Schwere und Auswirkungen. Wer hier keine eigene Protokollierung vorweisen kann, liefert Vermutungen — und wird in der Lieferantenbewertung entsprechend eingestuft.
Ursache, Schadensbild, ergriffene Maßnahmen. Für Lieferanten ist das die Gelegenheit, aus einem Vorfall einen Nachweis von Reife zu machen — vorausgesetzt, die Maßnahmen sind tatsächlich umgesetzt und nicht nur angekündigt.
Die praktische Konsequenz ist unspektakulär und wird trotzdem selten umgesetzt: Protokollierung muss vorhanden und mindestens 90 Tage aufbewahrt sein, bevor etwas passiert. Ohne Protokolle ist jede Meldung nach 72 Stunden eine Erzählung. Wie ein belastbarer Wiederanlauf organisiert wird, beschreiben wir im Beitrag Ransomware-Welle im DACH-Raum.
6. Sanktionen und Geschäftsleitungshaftung
Für direkt regulierte Einrichtungen sieht das Gesetz einen abgestuften Bußgeldrahmen vor. Wichtiger als die absoluten Zahlen ist für die meisten Geschäftsführungen ein anderer Punkt: Die Pflicht zur Umsetzung angemessener Risikomanagementmaßnahmen liegt persönlich bei der Geschäftsleitung und lässt sich nicht delegieren.
Besonders wichtige Einrichtungen
Die höhere Kategorie, typischerweise größere Betreiber in besonders sensiblen Sektoren.
bis 10 Mio. € oder 2 %des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Wichtige Einrichtungen
Die zweite Kategorie mit nahezu identischen inhaltlichen Anforderungen.
bis 7 Mio. € oder 1,4 %des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Bislang ist kein Fall öffentlich bekannt, in dem ein deutsches Unternehmen unter NIS2 mit einem Bußgeld belegt wurde. Daraus die Schlussfolgerung zu ziehen, die Aufsicht sei zahnlos, wäre allerdings ein Fehlschluss. Aufsichtsbehörden bauen typischerweise zuerst Registrierung und Prüfkapazität auf und sanktionieren später. Der Bußgeldrahmen ist zudem nicht der einzige Hebel: Anordnungen, Prüfungspflichten und die Veröffentlichung von Verstößen wirken für viele Unternehmen unmittelbarer.
Wichtig ist außerdem die Abgrenzung zum KRITIS-Dachgesetz. NIS2 regelt die digitale Cybersicherheit, das KRITIS-Dachgesetz die physische und operative Resilienz kritischer Infrastruktur. Für große Betreiber gelten beide Regelwerke oft parallel — mit teils überlappenden, teils unterschiedlichen Nachweisen.
7. Umsetzung in sechs Schritten
Der folgende Ablauf ist auf Betriebe mit 5 bis 50 Beschäftigten zugeschnitten, die kein eigenes Informationssicherheitsteam haben. Er lässt sich in etwa einem Quartal nebenher erledigen.
-
Schritt 1: Betroffenheit ehrlich prüfen
Sektorzuordnung, Beschäftigtenzahl und Umsatz gegen die Schwellenwerte halten, konzernweite Zurechnung einbeziehen. Ergebnis ist eine dokumentierte Feststellung — nicht als Formalie, sondern damit die Frage nicht jedes Quartal neu diskutiert wird.
-
Schritt 2: Kundenverträge auf Sicherheitsanhänge durchsehen
Welche Meldefristen, Mindestmaßnahmen und Auditrechte haben Sie bereits unterschrieben? In vielen Häusern ist die verbindlichste Anforderung längst im Vertragsordner und niemandem im operativen Betrieb bekannt.
-
Schritt 3: Die sechs Nachweisdokumente erstellen
Richtlinie, Asset- und Zugriffsübersicht, Wiederherstellungsprotokoll, Meldeweg, Patch-Prozess, Schulungsnachweis. Kurz, datiert, freigegeben. Der Anspruch ist Vollständigkeit, nicht Eleganz.
-
Schritt 4: Einen Wiederherstellungstest tatsächlich durchführen
Ein System aus dem Backup zurückspielen, Zeit stoppen, Ergebnis protokollieren. Dieser eine Nachmittag verändert die Qualität aller Antworten, die Sie danach in Fragebögen geben — und deckt erfahrungsgemäß mindestens eine unangenehme Überraschung auf.
-
Schritt 5: Antwortdossier anlegen
Die 60 häufigsten Fragen mit Antwort und Verweis auf das jeweilige Nachweisdokument. Ab hier wird jeder weitere Kundenfragebogen zur Routine statt zum Projekt.
-
Schritt 6: Halbjährliche Auffrischung terminieren
Zwei Termine im Kalender, je zwei Stunden: Dokumente prüfen, Zugriffsliste abgleichen, Schulung nachhalten. Ohne festen Termin veraltet das Paket innerhalb eines Jahres und die Arbeit beginnt von vorn.
Regulierung erreicht den kleinen Betrieb selten über das Gesetzblatt. Sie erreicht ihn über den Einkauf seines größten Kunden — und dort gilt keine Übergangsfrist, sondern eine Rückgabefrist.
Quick-Check: Sind Sie lieferfähig im Sinne von NIS2?
Fazit
NIS2 ist als Regulierung für 29.500 Einrichtungen konzipiert und wirkt als Marktanforderung für ein Vielfaches davon. Für den kleinen Zulieferer ist das zunächst eine Zumutung: Er trägt Aufwand für ein Gesetz, das ihn formal nicht adressiert. Betriebswirtschaftlich betrachtet ist es allerdings eine der wenigen Compliance-Anforderungen, die sich unmittelbar auszahlen — weil die Maßnahmen dieselben sind, die einen Betriebsstillstand nach einem Angriff verhindern.
Der Aufwand ist zudem einmalig hoch und danach niedrig. Wer die sechs Nachweisdokumente hat, einen echten Wiederherstellungstest gefahren ist und ein Antwortdossier pflegt, beantwortet Kundenfragebögen in Stunden statt in Tagen. Wer sie nicht hat, verhandelt jedes Jahr aufs Neue unter Zeitdruck — und verliert irgendwann einen Rahmenvertrag an einen Wettbewerber, dessen Unterlagen vollständiger waren.
Unsere Erfahrung aus Projekten im Mittelstand: Der teuerste Teil ist nicht die Technik, sondern die Verzögerung. Die ersten drei Dokumente entstehen an einem Tag. Sie entstehen nur meistens erst, wenn der Fragebogen schon auf dem Tisch liegt.
Haben Sie Fragen zur NIS2-Lieferkette?
Kostenlose Erstberatung vereinbarenUnsere Expertise vor Ort
Wir sind Ihr digitaler Partner – regional verankert und überregional erfolgreich.
Haben Sie eine Vision?
Lassen Sie uns gemeinsam prüfen, wie wir Ihre Idee zum Fliegen bringen.
Jetzt kostenloses Strategiegespräch buchenErweitertes Fachglossar
NIS2-Lieferkettenpflicht
Die Pflicht betroffener Einrichtungen, Sicherheitsrisiken in der eigenen Lieferkette zu bewerten und zu steuern — einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern. Sie ist der Mechanismus, über den NIS2 auch nicht regulierte Zulieferer erreicht.
Besonders wichtige Einrichtung
Die höhere der beiden NIS2-Kategorien. Für sie sieht das NIS2-Umsetzungsgesetz Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.
Wichtige Einrichtung
Die zweite NIS2-Kategorie mit etwas geringerem Sanktionsrahmen: bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Die inhaltlichen Sicherheitsanforderungen unterscheiden sich davon kaum.
Erstmeldung
Die erste Stufe der NIS2-Meldekette: Ein erheblicher Sicherheitsvorfall muss innerhalb von 24 Stunden gemeldet werden, gefolgt von einer Aktualisierung nach 72 Stunden und einem Abschlussbericht nach einem Monat.
SBOM
Software Bill of Materials — eine maschinenlesbare Stückliste aller Komponenten und Abhängigkeiten einer Software. Sie ermöglicht es, bei einer neu bekannt gewordenen Schwachstelle binnen Minuten zu beantworten, ob das eigene Produkt betroffen ist.
