Ein Mittelständler kann seine eigene IT noch so sorgfältig absichern. Wenn der Buchhaltungsdienstleister, der Logistikpartner oder der Softwarezulieferer eine offene Flanke hat, reicht das oft schon für einen erfolgreichen Angriff. Genau diesen Gedanken hat der Gesetzgeber mit NIS2 Art. 21(2) in eine Pflicht verwandelt.
Was NIS2 zur Lieferkette verlangt
Die zehn Mindestmaßnahmen aus NIS2 Art. 21(2) umfassen ausdrücklich die Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen jeder Einrichtung und ihren unmittelbaren Anbietern. Wer NIS2 unterliegt, muss also nicht nur die eigene Infrastruktur prüfen, sondern auch eine Vorstellung davon haben, wie sicher die wichtigsten Partner aufgestellt sind.
Ein neuer Termin verschärft das Bild
Ab dem 11. September 2026 gilt für Hersteller von Software und vernetzten Produkten in der EU eine neue Meldepflicht nach Art. 14 des Cyber Resilience Act: Aktiv ausgenutzte Schwachstellen müssen binnen 24 Stunden an die zuständige Stelle gemeldet werden. Das betrifft nicht nur große Konzerne, sondern jeden Softwarezulieferer in Ihrer Kette, von der Buchhaltungssoftware bis zum Kundenportal.
Was sich praktisch prüfen lässt
Ohne großen Aufwand lassen sich bei jedem wichtigen Lieferanten einige Dinge öffentlich einsehen: Läuft das TLS-Zertifikat der Partner-Domain bald ab? Ist E-Mail-Sicherheit wie SPF und DMARC korrekt eingerichtet? Gibt es Hinweise auf veraltete, öffentlich bekannte Software-Versionen? Keine dieser Prüfungen ersetzt einen echten Lieferantenaudit, aber sie zeigen früh, wo ein genauerer Blick lohnt.
Was das für Sie bedeutet
Eine Lieferkette ohne Überblick ist unter NIS2 kein Randthema mehr, sondern ein dokumentationspflichtiger Teil des eigenen Risikomanagements.
KyberGuard prüft mit Supplier Shield die Domains Ihrer wichtigsten Lieferanten automatisiert und zeigt das Ergebnis als Ampel, direkt im Dashboard.
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 14; NIS2-Umsetzungsgesetz, Art. 21(2).