NIS2 gilt ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz in einem der 18 regulierten Sektoren. Wer darunter liegt, fühlt sich meistens nicht angespr

NIS2 gilt ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz in einem der 18 regulierten Sektoren. Wer darunter liegt, fühlt sich meistens nicht angesprochen. Das kann ein Fehler sein. Denn NIS2 hat eine zweite Wirkungsebene, über die wenig gesprochen wird: die Lieferkette. Das Gesetz verpflichtet betroffene Unternehmen ausdrücklich dazu, ihre unmittelbaren Lieferanten und Dienstleister in ihr Risikomanagement einzubeziehen. Nicht als Empfehlung, sondern als gesetzliche Anforderung nach §30 BSIG. Das bedeutet: Wer an ein NIS2-pflichtiges Unternehmen liefert und dabei Zugang zu dessen Systemen hat oder sicherheitsrelevante Dienstleistungen erbringt, wird zunehmend mit Fragen konfrontiert, die früher niemand gestellt hat. Was ist euer Sicherheitsniveau? Habt ihr ein dokumentiertes Risikomanagement? Was passiert bei einem Cybervorfall bei euch – und wie schnell informiert ihr uns? Könnt ihr nachweisen, dass grundlegende Sicherheitsmaßnahmen bei euch umgesetzt sind? Das ist keine Theorie. Es passiert gerade. NIS2-pflichtige Unternehmen müssen ihre Lieferanten bewerten, vertraglich binden und regelmäßig prüfen. Wer als Lieferant keine belastbaren Antworten liefern kann, wird das in Ausschreibungen, Vertragsgesprächen und Lieferantenaudits merken – nicht sofort, aber mit zunehmender Konsequenz. Ein paar Dinge sind dabei wichtig klarzustellen. NIS2 verlangt nicht, dass jeder Lieferant selbst NIS2-zertifiziert ist oder dieselben formalen Pflichten erfüllt wie das betroffene Unternehmen. Das Gesetz spricht bewusst von unmittelbaren Anbietern – nicht von der gesamten Lieferkette bis zum Rohstofflieferanten. Und es unterscheidet: Ein IT-Dienstleister mit Zugang zu kritischen Systemen wird anders bewertet als ein Büromateriallieferant. Nicht jeder Lieferant ist automatisch sicherheitsrelevant. Aber wer IT-nahe Dienstleistungen erbringt, Software liefert, Zugang zu Systemen oder Daten von Kunden hat, oder kritische Prozesse für ein NIS2-pflichtiges Unternehmen abwickelt, sollte sich fragen: Was würde ich antworten, wenn mein größter Kunde morgen nach meinem Sicherheitskonzept fragt? Gibt es ein dokumentiertes Risikomanagement? Gibt es einen Notfallplan? Gibt es klare Prozesse für den Fall, dass bei mir etwas schiefläuft? Wer darauf heute keine Antwort hat, hat morgen ein Lieferantenproblem.