Lieferkettensicherheit nach NIS-2: Warum KMU auch indirekt betroffen sind

Inhaltsverzeichnis

Lieferkettensicherheit nach NIS-2: Warum KMU auch indirekt betroffen sind

Die NIS-2-Richtlinie gilt offiziell nur für Unternehmen ab einer bestimmten Größe und in bestimmten Sektoren. Doch die Lieferkettensicherheit nach NIS-2 betrifft längst auch kleine und mittelständische Unternehmen, die formal nicht unter die Pflicht fallen. Der Grund: NIS-2-pflichtige Unternehmen geben ihre Sicherheitsanforderungen per Vertragsklausel an ihre Zulieferer weiter – und schaffen damit einen Trickle-down-Effekt, der die gesamte Lieferkette erfasst.

Was NIS-2 mit Ihrer Lieferkette zu tun hat

Die NIS-2-Richtlinie (Network and Information Security Directive 2) verpflichtet Unternehmen in kritischen und wichtigen Sektoren dazu, Risiken in ihren Lieferketten aktiv zu managen. Artikel 21 der Richtlinie schreibt vor, dass betroffene Unternehmen die Sicherheitspraktiken ihrer Dienstleister und Zulieferer bewerten und bei Bedarf vertragliche Anforderungen stellen müssen.

Das bedeutet in der Praxis: Ein mittelgroßes Produktionsunternehmen, das als kritische Infrastruktur eingestuft ist, darf nicht länger einfach davon ausgehen, dass seine IT-Dienstleister, Softwareanbieter oder Logistikpartner ausreichend abgesichert sind. Es muss es nachweisen – und das schriftlich.

Für KMU als Zulieferer entsteht dadurch ein indirekter Druck: Wer weiterhin Aufträge von NIS-2-pflichtigen Kunden erhalten möchte, muss deren Sicherheitsstandards erfüllen.

Der Trickle-down-Effekt: Wenn Pflichten wandern

Der Begriff „Trickle-down“ beschreibt treffend, was in der Praxis passiert: Sicherheitspflichten sickern von den regulierten Unternehmen nach unten durch die gesamte Lieferkette.

Laut einer Studie von PwC aus Juni 2026 berichten bereits 47 Prozent der Unternehmen von Cybervorfällen im Lieferantennetzwerk. Das zeigt: Supply Chain Security ist kein theoretisches Risiko, sondern eine gelebte Bedrohung. Angreifer nutzen bewusst schwächer gesicherte Zulieferer als Einfallstor – ein Muster, das aus hochkarätigen Vorfällen wie dem SolarWinds-Angriff oder dem Kaseya-Hack bekannt ist.

NIS-2-pflichtige Unternehmen sind sich dieser Gefahr bewusst. Sie reagieren mit konkreten Maßnahmen:

  • Vertragliche Sicherheitsklauseln: Anforderungen an Mindest-Sicherheitsstandards werden in Verträge aufgenommen
  • Lieferanten-Audits: Zulieferer müssen Nachweise über ihre Sicherheitsmaßnahmen erbringen
  • Sicherheits-Fragebögen: Standardisierte Assessments bewerten die Sicherheitsreife von Partnern
  • Zertifizierungsanforderungen: ISO 27001 oder vergleichbare Zertifikate werden zur Voraussetzung

Wer als KMU diese Anforderungen nicht erfüllt, riskiert den Verlust von Geschäftsbeziehungen – unabhängig davon, ob er selbst NIS-2-pflichtig ist.

Welche Branchen sind besonders betroffen

Nicht alle KMU sind gleichermaßen im Fokus. Die Betroffenheit hängt davon ab, für wen sie als Zulieferer tätig sind. Besonders hoch ist das Risiko in folgenden Bereichen:

  • IT- und Softwareanbieter, die Systeme für kritische Infrastruktur bereitstellen
  • Logistik- und Transportdienstleister, die in versorgungskritische Ketten eingebunden sind
  • Technologiezulieferer im Automotive-, Energie- oder Gesundheitssektor
  • Facility-Management und Gebäudetechnik, die physischen Zugang zu KRITIS-Standorten haben
  • Beratungsunternehmen und Systemintegratoren, die Einblick in sensible Systeme haben

Einen vollständigen Überblick, welche Sektoren direkt unter NIS-2 fallen, bietet der Artikel zur NIS-2-Richtlinie: Wer muss handeln und was Unternehmen jetzt wissen müssen.

Was KMU konkret tun müssen

Für KMU, die als Zulieferer tätig sind, ergibt sich ein klares Handlungsfeld. Die folgenden Maßnahmen decken die typischen Anforderungen ab, die NIS-2-pflichtige Kunden stellen werden:

1. Sicherheitsniveau dokumentieren und nachweisen

Viele KMU betreiben IT-Sicherheit in der Praxis bereits auf einem soliden Niveau – dokumentieren es aber nicht. Der erste Schritt ist daher, bestehende Maßnahmen zu erfassen und strukturiert darzustellen: Welche Zugriffskontrollen existieren? Wie wird mit Passwörtern und Berechtigungen umgegangen? Gibt es einen Notfallplan?

2. Vertragsklauseln prüfen und vorbereiten

Kundenseitige Sicherheitsanforderungen werden zunehmend Bestandteil von Verträgen. KMU sollten bereits bestehende Verträge auf entsprechende Klauseln prüfen und sich für neue Anforderungen wappnen. Dazu gehört auch die Frage: Was darf ein Kunde im Rahmen eines Audits prüfen?

3. Technische Mindeststandards umsetzen

Die typischen Mindestanforderungen umfassen:

  • Multi-Faktor-Authentifizierung für alle kritischen Zugänge
  • Regelmäßige Software-Updates und Patch-Management
  • Netzwerksegmentierung und Zugriffskontrollen
  • Datensicherung nach der 3-2-1-Regel
  • Verschlüsselung sensibler Daten in Übertragung und Speicherung

4. Vorfallreaktionsfähigkeit aufbauen

NIS-2 legt besonderen Wert auf die Fähigkeit, Sicherheitsvorfälle zu erkennen, zu melden und zu bewältigen. Auch für Zulieferer wird es wichtig, zu wissen: Was tue ich, wenn es zu einem Vorfall kommt? Wer wird wie schnell informiert?

5. Risiken in der eigenen Lieferkette kennen

KMU sind häufig nicht nur Zulieferer, sondern beziehen selbst Produkte und Dienstleistungen von Drittanbietern. Supply Chain Angriffe zeigen, wie gefährlich unkontrollierte Drittanbieter-Risiken sind. Mehr dazu im Artikel zu Supply Chain Angriffen und Drittanbieter-Risiken.

Zero Trust als strukturelle Antwort auf Lieferkettenrisiken

Ein Ansatz, der sich für KMU und größere Unternehmen gleichermaßen eignet, ist das Zero-Trust-Prinzip. Es basiert auf dem Grundsatz, dass kein Nutzer, kein Gerät und kein System automatisch als vertrauenswürdig gilt – auch nicht innerhalb des eigenen Netzwerks.

Für die Lieferkettensicherheit bedeutet das: Jeder externe Zugriff eines Partners oder Dienstleisters wird geprüft, beschränkt und protokolliert. Das reduziert das Risiko, dass ein kompromittierter Zulieferer als Einfallstor genutzt werden kann.

Eine ausführliche Einführung in das Konzept bietet der Artikel zur Zero-Trust-Architektur als Sicherheitsprinzip.

NIS-2-Anforderungen schritt für schritt umsetzen

Wer als KMU die Sicherheitsanforderungen seiner Kunden erfüllen möchte, muss nicht alles auf einmal ändern. Eine strukturierte Vorgehensweise hilft dabei, Ressourcen gezielt einzusetzen:

  1. Bestandsaufnahme: Welche IT-Systeme, Daten und Prozesse sind relevant?
  2. Risikoanalyse: Wo sind die größten Schwachstellen?
  3. Maßnahmenplan: Welche Maßnahmen haben die größte Wirkung?
  4. Umsetzung und Test: Maßnahmen implementieren und auf Wirksamkeit prüfen
  5. Dokumentation: Alles nachvollziehbar und prüfbereit festhalten

Einen detaillierten Leitfaden zur schrittweisen Umsetzung der NIS-2-Anforderungen finden Sie im Artikel NIS-2-Anforderungen Schritt für Schritt umsetzen.

Was auf dem Spiel steht

Der Handlungsdruck für KMU ist real. NIS-2-pflichtige Unternehmen sind gesetzlich verpflichtet, ihre Lieferkette abzusichern – und werden zunehmend prüfen, welche Partner diesen Anforderungen genügen. Wer als Zulieferer nicht mithalten kann, gerät in die Defensive: Verträge werden nicht verlängert, neue Aufträge bleiben aus, und im schlimmsten Fall wird die Zusammenarbeit beendet.

Gleichzeitig ist die Situation eine Chance. KMU, die frühzeitig in ihre Cybersicherheit investieren, positionieren sich als verlässliche, zukunftsfähige Partner. Das ist ein Wettbewerbsvorteil, der sich auf dem Markt zunehmend bemerkbar macht.

FAQ: Lieferkettensicherheit und NIS-2 für KMU

Muss mein KMU die NIS-2-Richtlinie einhalten, auch wenn wir nicht direkt davon betroffen sind?

Eine direkte gesetzliche Pflicht besteht nur für Unternehmen, die den Schwellenwerten und Sektorzugehörigkeiten der NIS-2-Richtlinie entsprechen. Wenn Sie jedoch Zulieferer oder Dienstleister für NIS-2-pflichtige Unternehmen sind, können diese vertraglich Sicherheitsanforderungen an Sie stellen, die sich an den NIS-2-Vorgaben orientieren. Die Einhaltung ist dann keine gesetzliche, sondern eine vertragliche Pflicht.

Welche Maßnahmen sind für KMU am wichtigsten, um Kundensicherheitsanforderungen zu erfüllen?

Prioritär sind Multi-Faktor-Authentifizierung, ein geregeltes Patch-Management, Datensicherung, Zugriffskontrollen und eine dokumentierte Vorgehensweise im Falle eines Sicherheitsvorfalls. Diese Maßnahmen decken die häufigsten Anforderungen aus Lieferanten-Fragebögen und Audits ab.

Wie lange dauert es, die relevanten Sicherheitsstandards umzusetzen?

Das hängt vom Ausgangszustand ab. Viele KMU haben bereits technische Schutzmaßnahmen im Einsatz, dokumentieren diese aber nicht ausreichend. In solchen Fällen ist eine strukturierte Bestandsaufnahme und Dokumentation innerhalb weniger Wochen möglich. Umfangreichere technische Maßnahmen wie Netzwerksegmentierung oder der Aufbau eines Vorfallreaktionsplans erfordern mehr Zeit und sollten in Phasen geplant werden.

Dieser Inhalt wurde mit Hilfe von KI erstellt, wurde aber vor Veröffentlichung redaktionell geprüft und überarbeitet.

Teilen:

Nach oben scrollen

Jamil Isayyed

Jamil ist ein erfahrener Fachmann für digitale Prozesse, verfügt über einen reichen internationalen Hintergrund in der Informationstechnologie- und Dienstleistungsbranche, der sich über Deutschland, Griechenland und Palästina erstreckt. Er hat einen Bachelor-Abschluss in Informatik und eine Scrum-Master-Zertifizierung der Scrum Alliance mit Schwerpunkt Computer Software-Engineering. Jamils Leidenschaft gilt der Führung und dem Aufbau von Hochleistungsteams, die außergewöhnliche Erfahrungen liefern und wertvolle Möglichkeiten für Kunden schaffen. Zusätzlich zu seiner Hauptaufgabe ist er der Direktor der Axsos Academy GmbH. In dieser Funktion leitet er ein dynamisches deutsch-palästinensisches Bootcamp, das Jugendlichen den Einstieg in den IT-Markt und den Aufbau einer erfolgreichen Karriere ermöglichen soll.

Bernd Länge

Bernd Länge ist seit über 20 Jahren in der IT-Branche tätig und berät Kunden und Interessenten in Fragen der Cybersicherheit sowie bei der Entwicklung und Implementierung von Informationssicherheitsmanagement und Datenschutz. In dieser Funktion fungiert er als externer Datenschutz- und Informationssicherheitsbeauftragter für Kunden. Es ist ihm wichtig, einen pragmatischen Ansatz zu verfolgen und eng mit Kunden, Partnern und Herstellern zusammenzuarbeiten, um sicherzustellen, dass die Unternehmenssicherheit der Kunden auf dem neuesten Stand ist.

Martin Müller

Als Technik-Enthusiast und engagierte Führungspersönlichkeit unterstützt er seit über 20 Jahren Unternehmen in der IT-Branche dabei, den Weg in die Zukunft der Arbeit zu gestalten. Dank seiner schnellen Auffassungsgabe und seiner Fähigkeit, effektive Lösungen zu entwickeln, kann er eine klare Vision davon formulieren, wie unsere zukünftige Arbeitsweise aussehen wird. Schritt für Schritt meistert er Herausforderungen und treibt uns in die Zukunft voran. Diese Aufgaben bewältigt er jedoch nicht alleine. Er verfügt über ein kompetentes Team, dem er voll und ganz vertraut und auf das er sich verlassen kann. Gemeinsam überwinden sie jede Hürde! Durch positives, kritisches Denken führt oft die zweitbeste Lösung zu inkrementellem Erfolg – schließlich wurde auch ein Imperium nicht an einem Tag erbaut. Diese Herangehensweise macht ihn in seiner Rolle einzigartig, und er freut sich darauf, gemeinsam mit Ihnen den Weg in die Zukunft zu beschreiten.

Rolf Stephan

Seine Begeisterung für die Informationstechnologie führte Rolf zum Studium der Informatik und zum Abschluss an der Universität Karlsruhe, dem heutigen KIT / Karlsruher Institut für Technologie. Seitdem ist Rolf in der IT-Branche tätig und kennt die Branche aus dem Effeff – national und international. Seit mehr als 25 Jahren setzt er auf die internationale Zusammenarbeit von Experten über alle Kulturen hinweg. Diesen Ansatz verfolgte er auch in seinem ersten von ihm gegründeten Unternehmen, der AD Solutions AG, die sich schnell zu einem renommierten internationalen IT-Dienstleister mit mehreren Niederlassungen in Deutschland, der Schweiz, Österreich und den USA entwickelte. Seit 2010 ist Rolf Stephan General Manager und seit 2021 CEO der AXON IVY AG mit Hauptsitz in der Schweiz. Seit 2009 ist er für die Axsos AG als Investor, Aktionär und Aufsichtsratsvorsitzender tätig.

Frank Müller

Frank ist ein leidenschaftlicher IT-Experte und visionärer Unternehmer. Er liebt und glaubt an Frieden und Freiheit. Diese Werte sind für ihn mehr als nur Worte. Sie sind das Ergebnis von großem Bewusstsein, Verantwortung und einem soliden Fundament. Sein Fundament ist sein Glaube an Jesus und seine bedingungslose Liebe zu den Menschen. Auf diesem Fundament baut Frank seine großen Visionen auf, wie zum Beispiel den Einsatz für den Frieden im Heiligen Land. Er scheut sich nicht, kreative und unkonventionelle Ideen zu verwirklichen, wie die Gründung eines mittelständischen Unternehmens, das sich über vier Länder und Kulturen erstreckt und seinen Mitarbeitern viel Freiheit bietet. Die Gründung einer Bootcamp-Akademie mitten in der Coronavirus-Pandemie gehört sicherlich zu diesen Unternehmungen. Durch diese Bemühungen schafft Frank neue Innovationen und einen Mehrwert für seine Kunden und die Menschen, die mit ihm unterwegs sind. Mit mehr als 32 Jahren IT-Erfahrung und 15 Jahren als Unternehmer hilft Frank anderen Unternehmern, sich auf ihr Kerngeschäft zu konzentrieren und ihre Anforderungen in technologische Möglichkeiten und Implementierungen umzusetzen. Sein Team und er können diese Anforderungen in eine maßgeschneiderte IT-Strategie, Prozesse und Technologien umsetzen. Frank hat immer ein Herz für die Menschen, die er unterstützt, und möchte sie ermutigen, neue Wege zu gehen und ihr Potenzial zu entwickeln. Frank ist offen für den Gedankenaustausch mit Menschen, die Werte nicht als CSR oder Marketinggeschwätz sehen, sondern als Grundlage ihres Handelns. Er sucht den Kontakt zu Menschen, die die Welt zum Besseren verändern wollen. Darüber hinaus sind auch diejenigen willkommen, die auf dem Weg in die Cloud, die Digitalisierung oder den Einsatz von KI die Unterstützung von ihm oder seinem Team suchen.