Startseite › NIS-2 für Zulieferer

NIS-2 für Zulieferer und kleine Dienstleister

Das NIS-2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025. Direkt verpflichtet sind vor allem Unternehmen ab 50 Beschäftigten in bestimmten Branchen. Die meisten Selbstständigen und Kleinstbetriebe fallen nicht darunter. Trotzdem kommt NIS-2 bei ihnen an: über Kunden, die ihre Lieferkette absichern müssen.

Anfrage stellen Was Kunden fragen

Bin ich selbst betroffen?

In den meisten Fällen nicht. NIS-2 erfasst Unternehmen, die in einem der Sektoren aus Anlage 1 oder 2 des BSI-Gesetzes tätig sind und eine bestimmte Größe erreichen: mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Jahresbilanzsumme. Nach Angaben des BSI sind das bundesweit rund 29.500 Unternehmen und Einrichtungen.

Es gibt Ausnahmen, bei denen die Größe keine Rolle spielt, zum Beispiel Vertrauensdiensteanbieter, DNS-Dienste und Betreiber kritischer Anlagen. Für eine Physiotherapiepraxis, ein Planungsbüro mit drei Personen oder eine Werbeagentur mit zehn Mitarbeitenden ist das in aller Regel nicht einschlägig.

Sicherheit gibt die NIS-2-Betroffenheitsprüfung des BSI. Die Einordnung müssen Sie selbst vornehmen; eine Behörde schreibt Sie nicht an. In Grenzfällen, etwa bei Firmengruppen, hilft eine rechtliche Prüfung.

Warum Ihre Kunden nach Ihrer IT-Sicherheit fragen

Betroffene Unternehmen müssen nach § 30 BSI-Gesetz Risikomanagement betreiben. Eines der Pflichtthemen ist die Sicherheit der Lieferkette, also die Beziehung zu direkten Anbietern und Dienstleistern. Diese Pflicht geben viele an ihre Partner weiter.

Wen das typischerweise trifft

IT-Dienstleister mit Fernzugriff auf Kundensysteme, Agenturen mit Zugang zu Website oder Shop, Steuer- und Lohnbüros, Ingenieur- und Planungsbüros, Zulieferer im verarbeitenden Gewerbe und Handwerksbetriebe, die in Anlagen ihrer Kunden arbeiten.

Wie es bei Ihnen ankommt

Als Fragebogen zur Informationssicherheit, als neue Klausel im Rahmenvertrag, als Bitte um einen Nachweis oder als Vorgabe, Sicherheitsvorfälle innerhalb einer bestimmten Frist an den Kunden zu melden.

Typische Fragen lauten etwa: Nutzen Sie eine Zwei-Faktor-Anmeldung? Wie oft sichern Sie Daten, und haben Sie die Wiederherstellung getestet? Werden Updates zeitnah eingespielt? Wer ist bei einem Vorfall Ansprechpartner? Wie schützen Sie Zugänge zu unseren Systemen?

Was genau ein Kunde verlangt, legt er selbst fest. Das Gesetz schreibt Zulieferern keinen bestimmten Nachweis vor.

Was Sie als kleiner Zulieferer vorbereiten können

Überblick: eine kurze Liste Ihrer Geräte, Programme und Cloud-Dienste und wer Zugang zu Kundendaten oder Kundensystemen hat.
Grundschutz im Alltag: Zwei-Faktor-Anmeldung für E-Mail und Cloud, getestete Datensicherung, regelmäßige Updates, eigene Zugänge statt geteilter Passwörter.
Notfallplan auf einer Seite: wen Sie anrufen, wie Sie Kunden informieren und wo die Datensicherung liegt.
Dokumentierter Stand: eine Bestandsaufnahme, auf die Sie bei Fragebögen verweisen können, zum Beispiel aus dem Cyber-Risiko-Check nach DIN SPEC 27076 oder den BSI-Checklisten (WiBA).

Weder der Check noch WiBA sind ein förmlicher Nachweis im Sinne des Gesetzes. Sie helfen aber, Kundenfragen sachlich und ehrlich zu beantworten und offene Punkte mit einem Plan zu belegen.

Wenn Ihr Unternehmen doch direkt betroffen ist

Das betrifft zum Beispiel IT-Dienstleister mit Managed Services ab 50 Beschäftigten oder Hersteller im Maschinenbau ab dieser Größe. Für sie gelten seit Dezember 2025 ohne Übergangsfrist eigene Pflichten.

Einrichtungsarten nach § 28 BSIG
Einrichtungsart	Sektoren	Schwellenwerte (vereinfacht)
Besonders wichtige Einrichtung	Anlage 1 BSIG: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur (unter anderem Cloud, Rechenzentren, Managed Services), Weltraum	mindestens 250 Beschäftigte oder mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Jahresbilanzsumme; einige Anbieter unabhängig von der Größe
Wichtige Einrichtung	Anlage 1 oder Anlage 2 BSIG: zusätzlich Post- und Kurierdienste, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung	mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Jahresbilanzsumme

Die Pflichten im Überblick

Risikomanagement (§ 30 BSIG): angemessene technische und organisatorische Maßnahmen zu zehn Mindestthemen, darunter Umgang mit Sicherheitsvorfällen, Datensicherung und Notfallplanung, Lieferkette, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentisierung. Die Umsetzung ist zu dokumentieren.
Registrierung (§ 33 BSIG): spätestens drei Monate nach Eintritt der Betroffenheit beim BSI, in zwei Schritten über «Mein Unternehmenskonto» (ELSTER-Organisationszertifikat) und das BSI-Portal. Für Unternehmen, die seit Inkrafttreten betroffen sind, endete die Frist am 6. März 2026. Laut BSI sollen Nachzügler die Registrierung umgehend nachholen.
Geschäftsleitung (§ 38 BSIG): muss die Maßnahmen umsetzen und überwachen, haftet bei schuldhaften Pflichtverletzungen nach Gesellschaftsrecht und muss regelmäßig an Schulungen teilnehmen.
Bußgelder (§ 65 BSIG): bis zu 10 Mio. Euro für besonders wichtige und bis zu 7 Mio. Euro für wichtige Einrichtungen; bei sehr großen Unternehmen umsatzbezogen.

Meldepflicht bei erheblichen Sicherheitsvorfällen (§ 32 BSIG)

24 Stunden
Frühe Erstmeldung nach Kenntnis des Vorfalls, auch mit Angabe, ob ein Angriff vermutet wird.
72 Stunden
Meldung mit einer ersten Bewertung von Schweregrad und Auswirkungen.
1 Monat
Abschlussmeldung mit Ursache und Abhilfemaßnahmen, bei laufenden Vorfällen zunächst eine Fortschrittsmeldung.

Diese Fristen gelten für betroffene Einrichtungen gegenüber dem BSI. Als Zulieferer können Sie über Ihren Vertrag zu einer schnellen Meldung an den Kunden verpflichtet sein.

Wie wir unterstützen

Wir prüfen mit Ihnen, ob Sie direkt betroffen sind oder nur über Kunden. Wir helfen, Fragebögen und Vertragsklauseln einzuordnen und ehrlich zu beantworten. Mit dem Cyber-Risiko-Check oder den BSI-Checklisten erheben wir Ihren Stand und erstellen eine Aufgabenliste. Auf Wunsch begleiten wir die Umsetzung. Rechtliche Einzelfragen sollten Sie mit einer Rechtsberatung klären.

Ein Kunde hat nach NIS-2 gefragt?

Schicken Sie uns kurz, was verlangt wird und wie Ihr Betrieb aufgestellt ist. Wir melden uns mit einem Vorschlag für die nächsten Schritte.

Anfrage stellen

Offizielle Quellen

Stand der Angaben: Oktober 2026. Diese Seite gibt einen Überblick und ersetzt keine Rechtsberatung.