NIS2 und Lieferketten: Unternehmen müssen Risiken vertraglich kontrollieren

Mit der europäischen Cybersicherheitsrichtlinie NIS2 (EU-Richtlinie 2022/2555) wächst der Druck auf einkaufende Organisationen deutlich. Gemäß Artikel 21 Absatz 2 Buchstabe d sind betroffene Einrichtungen verpflichtet, Sicherheitsrisiken in ihren Lieferketten aktiv zu steuern.

Rechtlich bleibt die Verantwortung für Cybervorfälle damit auch dann beim einkaufenden Unternehmen bestehen, wenn die zugrunde liegende Sicherheitslücke ursprünglich bei einem externen Lieferanten oder Dienstleister auftritt.

Um diesen Anforderungen zu genügen, müssen Verträge klare Regelungen zu Meldeauslösern, Fristen sowie Auditrechten enthalten, noch bevor externen Partnern Zugriffe auf Systeme gewährt werden. Wie Fachberichte betonen, belegen reine Sicherheitsfragebögen lediglich vom Dienstleister behauptete Sicherheitskontrollen.

Um diese tatsächlich zu überprüfen, sind vertraglich verankerte Auditrechte beim Lieferanten erforderlich. Zudem sollten Zugriffsrechte von Dienstleistern zeitlich befristet, lückenlos protokolliert und eindeutig zuordenbar sein. Mit dem Ende eines Vertragsverhältnisses muss auch der technische Zugriff unmittelbar erlöschen.

Dr. Yiannis Pavlosoglou von der griechischen Nationalen Cybersicherheitsbehörde bezeichnete den Vertrag als stärkste Kontrollinstanz; entsprechende Verhandlungen nahmen in der Praxis bis zu zehn Monate in Anspruch. Begleitend hat die europäische Cybersicherheitsagentur ENISA Leitlinien zu Sicherheitsanforderungen für Produkte der Informations- und Kommunikationstechnik vorgelegt.

Die Notwendigkeit strengerer Vorgaben belegen aktuelle Erhebungen: Laut dem Data Breach Investigations Report erfolgten im Jahr 2024 bereits 15 Prozent aller Cyberangriffe über Lieferketten, nachdem der Anteil im Jahr 2023 noch bei 9 Prozent gelegen hatte.

Angreifer nutzen dabei gezielt Schwachstellen bei Zulieferern aus. Als besonders kritisch gelten die Lieferketten von Cybersecurity-Produkten, Software-Entwicklungswerkzeugen und Produkten zur Netzwerkverwaltung.

NIS2 gilt grundsätzlich für mittlere und große Unternehmen ab 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Der Anwendungsbereich wurde von ehemals 7 auf nun 18 Sektoren ausgeweitet.

Anhang I führt elf Sektoren auf, darunter Energie, Verkehr, Banken, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Managed Service Provider, öffentliche Verwaltung und Weltraum.

Anhang II umfasst sieben weitere Bereiche wie Post, Abfallwirtschaft, Chemie, Lebensmittel, das verarbeitende Gewerbe, digitale Anbieter und Forschung. Dadurch fallen auch Betriebe unter die Regulierung, die traditionell nicht als kritische Infrastruktur galten, etwa Hersteller von Weihnachtsbeleuchtungssets oder Lebensmittelbetriebe.

Bei Vorfällen schreibt Artikel 23 NIS2 strikte Meldefristen vor: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht innerhalb eines Monats.

Nach Artikel 34 drohen wesentlichen Einrichtungen bei Verstößen Sanktionen von mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes, für wichtige Einrichtungen von mindestens 7 Millionen Euro oder 1,4 Prozent.

Parallel zur NIS2-Richtlinie, die Organisationen und Dienste steuert, regelt der Cyber Resilience Act (CRA, EU-Verordnung 2024/2847) Produkte mit digitalen Elementen. Hersteller vernetzter Produkte müssen Sicherheitsrisiken entlang der gesamten Software- und Komponentenlieferkette berücksichtigen. Dazu zählt eine Software Bill of Materials (SBOM), die exakt zum ausgelieferten Stand passt und versioniert gepflegt werden muss.

Eine Befragung von 200 deutschen Industrieunternehmen durch ONEKEY im Rahmen des „IoT & OT Cybersecurity Report 2026“ zeigt jedoch Umsetzungsdefizite: Lediglich 25,8 Prozent fordern die CRA-Vorgaben konsequent von Lieferanten ein, 33,3 Prozent tun dies teilweise, und 20,8 Prozent ergreifen bislang keine Maßnahmen. Auf Zuliefererseite sind 17,5 Prozent konsequent und 44,2 Prozent teilweise vorbereitet.

In den EU-Mitgliedstaaten verläuft die nationale Verankerung der NIS2-Vorgaben gestaffelt. In Italien gilt das Umsetzungsdekret 138/2024 seit dem 16. Oktober 2024. In Österreich trat das NISG 2026 am 1. Oktober 2026 in Kraft; die betroffenen Unternehmen müssen sich dort bis zum 31. Dezember 2026 beim Bundesamt für Cybersicherheit registrieren, wobei die behördliche Registrierungsseite Anfang Januar 2027 als spätesten Termin nennt. Bei Versäumnissen drohen dort Geldbußen von bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.