Lieferkette und NIS2: Warum Ihre Kunden bald Nachweise fordern
Stellen Sie sich vor, ein wichtiger Kunde ruft an und teilt mit, dass er ab sofort von Ihnen einen Nachweis über die Einhaltung der Netz- und Informationssicherheitsrichtlinie 2 (NIS2) benötigt. Sind Sie darauf vorbereitet? Die NIS2-Richtlinie ist seit Januar 2023 in Kraft, in Deutschland gilt seit dem 6. Dezember 2025 das NIS2-Umsetzungsgesetz. Beide stellen höhere Anforderungen an die IT-Sicherheit. Doch warum sollten auch Lieferanten und Partner einen Nachweis erbringen?
1. Verantwortung entlang der gesamten Lieferkette
Die NIS2-Richtlinie erweitert den Geltungsbereich der ursprünglichen NIS-Richtlinie erheblich. Sie umfasst nun nicht nur kritische Infrastrukturen, sondern auch mittelständische Unternehmen, die in bestimmten Sektoren tätig sind. Ein zentraler Punkt dabei ist die Verantwortung entlang der gesamten Lieferkette: § 30 BSIG verlangt ausdrücklich Maßnahmen zur Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern.
Das bedeutet in der Praxis: Auch wenn Ihr Unternehmen selbst nicht unter die Meldepflichten fällt, kann Ihr Kunde vertraglich Nachweise von Ihnen verlangen, weil er sie seinerseits erbringen muss. Die Pflicht wandert über den Vertrag zu Ihnen.
2. Konsequenzen bei Nicht-Einhaltung
Die Vorschriften sehen empfindliche Sanktionen vor. Für besonders wichtige Einrichtungen sieht § 65 BSIG bei Verstößen gegen die Risikomanagementpflichten Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen nennt § 65 BSIG einen Rahmen von 7 Millionen Euro oder 1,4 Prozent. Hinzu kommt: Die Geschäftsleitung ist nach § 38 BSIG persönlich in der Pflicht, die Maßnahmen zu billigen, ihre Umsetzung zu überwachen und selbst an Schulungen teilzunehmen. Diese Pflicht ist nicht delegierbar.
Neben dem Bußgeld steht der Auftrag auf dem Spiel. Wer einen geforderten Nachweis nicht liefern kann, fällt aus der Lieferantenliste, oft ohne dass ein Bußgeldverfahren überhaupt eine Rolle spielt.
3. Praktische Schritte zur Einhaltung
Um den Anforderungen gerecht zu werden, sollten Unternehmen mehrere Schritte unternehmen:
- Risikoanalyse: Führen Sie eine dokumentierte Analyse durch, um Sicherheitslücken in Ihrer IT-Infrastruktur zu identifizieren.
- Sicherheitsmaßnahmen umsetzen: Setzen Sie technische und organisatorische Maßnahmen um, die zu den identifizierten Risiken passen.
- Dokumentation und Nachweis: Halten Sie Maßnahmen und Prozesse schriftlich bereit. Ein Nachweis, den Sie erst bei Anfrage zusammensuchen, kommt für den Kunden zu spät.
4. Zusammenarbeit mit Fachleuten
Die Umsetzung erfordert Fachwissen und Zeit. Wo beides knapp ist, lohnt sich Unterstützung durch spezialisierte Dienstleister. KyberGuard begleitet Hamburger Mittelständler bei genau dieser Aufgabe, von der Bestandsaufnahme bis zum belastbaren Nachweisdokument.
Fazit
NIS2 betrifft zunehmend auch mittelständische Unternehmen, und zwar häufig nicht über die Behörde, sondern über den eigenen Kunden. Wer den Nachweis vorbereitet hat, bevor er gefordert wird, verliert keinen Auftrag daran. Auf kyberguard.de finden Sie einen kostenlosen Domain-Scan als ersten Anhaltspunkt für Ihre Ausgangslage.