Lieferanten-Management unter NIS-2: In sechs Schritten zur sicheren Lieferkette

Was NIS-2 für die Sicherheit der Lieferkette verlangt

Das seit Dezember 2025 geltende BSIG, die deutsche Umsetzung von NIS-2, verlangt in § 30 Abs. 2 Nr. 4 ausdrücklich Maßnahmen zur Sicherheit der Lieferkette. Wer ein ISMS nach ISO/IEC 27001 betreibt oder aufbaut, findet entsprechende Anforderungen in den Controls A.5.19 bis A.5.23. Für die Geschäftsleitung ist außerdem § 38 BSIG relevant: Sie muss die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Operative Aufgaben können intern oder extern übertragen werden; die Leitungs- und Überwachungsverantwortung bleibt jedoch bei der Geschäftsleitung.

Die gute Nachricht: Ein systematisches NIS-2-Lieferantenmanagement muss kein Mammutprojekt sein. Das methodische Grundgerüst – Klassifikation, Fragebögen und Auswertung – lässt sich in einem typischen mittelständischen Unternehmen häufig innerhalb weniger Stunden vorbereiten. Wie aufwendig der erste Durchlauf insgesamt wird, hängt vor allem davon ab, wie vollständig Lieferanten, Verträge, Zugänge und Abhängigkeiten bereits dokumentiert sind. Dieser Beitrag zeigt ein praxistaugliches Vorgehen für IT-Führungskräfte, Informationssicherheitsbeauftragte und ISMS-Verantwortliche.

Ein realistisches Beispiel: Müller & Söhne

Um das Vorgehen greifbar zu machen, nutzen wir die Müller & Söhne Maschinenbau GmbH – ein fiktives, aber realistisches Musterunternehmen mit 150 Mitarbeitern, drei Standorten und vernetzten Produktionsanlagen (sogenannten OT-Komponenten wie Maschinensteuerungen und Robotern). Als Zulieferer ist das Unternehmen mittelbar von NIS-2 betroffen, weil Kunden Anforderungen an die Sicherheit ihrer Lieferkette weitergeben. Das Szenario ist in unserer Demo-Umgebung vollständig abgebildet: von der Richtlinie über das Lieferantenregister bis zu den Fragebögen. Alle Beispiele und Zahlen in diesem Beitrag beziehen sich auf dieses durchgängig ausgearbeitete Modell.

Nicht jeder Lieferant ist gleich geschäftskritisch: Das Drei-Stufen-Modell

Ein häufiger Fehler beim Einstieg ist, alle Lieferanten gleich zu behandeln. Wer dem Büromöbellieferanten denselben umfangreichen Fragenkatalog schickt wie dem Rechenzentrumsbetreiber, produziert Aufwand ohne entsprechenden Sicherheitsgewinn – und Frust auf beiden Seiten.

In unserer Beratungspraxis hat sich ein einfaches Drei-Stufen-Modell bewährt. Die konkrete Einteilung ist nicht gesetzlich vorgegeben. Sie schafft jedoch eine risikobasierte, nachvollziehbare Grundlage für die weitere Bewertung und Behandlung der Lieferanten.

Phase 2: Klassifikation

Jeder Lieferant durchläuft die vier Prüffragen. Entscheidend ist, dass die Einstufung begründet und dokumentiert wird. Das schafft die Nachvollziehbarkeit, die intern, in einem ISO-Audit und gegebenenfalls gegenüber dem BSI erforderlich ist. Ein Satz wie „Stufe 1, weil kein IT-Bezug besteht“ kann ausreichen, er muss jedoch festgehalten werden.

Phase 3: Fragebögen versenden

Stufe-2-Lieferanten erhalten eine kompakte Basis-Selbstauskunft mit rund 20 Fragen. Stufe-3-Lieferanten beantworten zusätzlich einen Erweiterungsteil zu Themen wie Zugriffsprotokollierung, Rechenzentrumssicherheit und Incident Response. Idealerweise erfolgt der Versand digital über ein ISMS Tool: Der Lieferant beantwortet die Fragen per Web-Portal, alle Antworten werden automatisch und revisionssicher dokumentiert.

Praxistipp für das Anschreiben: Formulieren Sie die Anfrage nicht als Misstrauensvotum, sondern als das, was es ist: „Aufgrund regulatorischer Anforderungen (NIS-2/BSIG) sind wir verpflichtet, die Informationssicherheit unserer Dienstleister zu bewerten.“ Seriöse Lieferanten kennen entsprechende Anfragen häufig bereits von anderen Kunden.

Phase 4: Auswertung und Red Flags

Bei der Auswertung geht es nicht darum, beim Lieferanten Perfektion nachzuweisen. Entscheidend ist, kritische Lücken – sogenannte Red Flags – zu erkennen und angemessen zu behandeln. Zwei Beispiele:

• Kein Patch Management: Bekannte Schwachstellen bleiben offen – ein direktes Einfallstor, auch in Ihre Richtung.
• Keine Meldebereitschaft bei Sicherheitsvorfällen: Für Sie besonders heikel, denn ohne Informationsfluss vom Lieferanten fehlen Ihnen im Ernstfall Reaktionszeit und die Fakten für Ihre eigene Vorfallbehandlung und Meldung. 

Red Flags führen nicht automatisch zum Lieferantenwechsel. Der übliche Weg: Fristsetzung zur Nachbesserung, interne Kompensationsmaßnahmen; und bei Lieferanten der Stufe 3, die sich nicht bewegen, eine Eskalation an die Geschäftsführung mit klarer Handlungsempfehlung.

Phase 5: Vertragliche Absicherung (laufend, Priorität Stufe 3)

Selbstauskünfte schaffen Transparenz, Verträge schaffen Verbindlichkeit. Bei Lieferanten der Stufe 3 gehören hinein: SLAs für Verfügbarkeit und Wiederherstellung, ein Audit-Recht, Regelungen zu Subunternehmern, Nachweis der Datenlöschung bei Vertragsende – und vor allem: eine Incident-Benachrichtigungspflicht: unverzüglich, spätestens 24 Stunden nach Kenntniserlangung beim Lieferanten.

Wichtig für die Einordnung: Ihre eigene Meldefrist gegenüber dem BSI beginnt erst mit Ihrer Kenntniserlangung – eine späte Lieferantenmeldung verletzt also formal keine Meldepflicht. Der Wert der Klausel liegt woanders, und zwar doppelt.

Erstens: Reaktionszeit. Wird ein Lieferant mit Fernwartungszugang am Freitagabend kompromittiert und „meldet am Montag“, haben Angreifer ein ganzes Wochenende Zeit, über genau diesen Zugang in Ihr Netz vorzudringen. Die Klausel ist in erster Linie ein Instrument der Schadensbegrenzung, kein Compliance-Formalismus.

Zweitens: Auskunftsfähigkeit. Manifestiert sich der Vorfall in Ihren eigenen Prozessen – etwa weil das extern gehostete ERP stillsteht –, läuft Ihre Meldekette bereits: Erstmeldung an das BSI binnen 24 Stunden, qualifizierte Folgemeldung binnen 72 Stunden. Für diese qualifizierte Meldung brauchen Sie genau die Informationen, die nur Ihr Lieferant hat: Was ist passiert, welche Daten und Zugänge sind betroffen, welche Maßnahmen laufen? Ohne vertragliche Informationspflicht sind Sie im Ernstfall blind – und erfahren die Details womöglich aus der Presse.

Die Formulierung „nach Kenntniserlangung beim Lieferanten“ ist dabei bewusst gewählt: Sie verlangt von einem kleinen Dienstleister keinen 24/7-Notdienst, sondern nur, dass er Sie unverzüglich informiert, sobald er selbst Kenntnis hat. Das kann jeder leisten. Bei hochkritischen Lieferanten – Rechenzentrumsbetreiber, Managed Service Provider, Cloud-Anbieter – ist ein professioneller Incident-Response-Prozess dagegen legitim einforderbar; genau diese Differenzierung leistet das Stufenmodell.

Phase 6: Regelbetrieb

Lieferantenmanagement ist kein Projekt, sondern ein Prozess: Stufe-3-Lieferanten werden jährlich neu bewertet, Stufe-2-Lieferanten alle 24 Monate, neue Lieferanten vor Vertragsabschluss klassifiziert. Anlassbezogene Neubewertungen kommen hinzu – etwa bei einem Sicherheitsvorfall in der Lieferkette oder wenn eine kritische Schwachstelle in der Software eines Lieferanten bekannt wird.

Die ehrliche Frage: Wer soll das alles pflegen?

Auf dem Papier ist das Vorgehen überschaubar. Die Praxis scheitert selten an der Methode, sondern am Betrieb: Excel-Listen veralten, Fragebögen per E-Mail müssen einzeln nachgehalten werden, Wiedervorlagen geraten in Vergessenheit, und die Verbindung zum Risikomanagement („Welche Geschäftsprozesse hängen an diesem Lieferanten?“) existiert nur im Kopf der IT-Verantwortlichen.

Genau hier setzt Werkzeugunterstützung an. In einem ISMS Tool wie Intervalid – mit dem wir arbeiten, gerne aber auch in Ihrem bestehenden Tool – wird jeder Lieferant als Asset erfasst und mit den abhängigen Anwendungen und Prozessen verknüpft. Fällt ein Lieferant aus oder zeigt kritische Schwächen, ist sofort sichtbar, welche Geschäftsprozesse betroffen sind. Fragebögen werden direkt aus dem Tool versendet und ausgewertet, Wiedervorlagen laufen automatisch.

Und es geht noch einen Schritt weiter: In einem stärker automatisierten, autonomen IT-Betrieb lassen sich Analyse und wiederkehrende Aufgaben gezielt miteinander verbinden. In unserem KI-gestützten Ansatz übernimmt eine generative KI die Analyse – sie wertet Selbstauskünfte aus, erkennt Red Flags, schlägt Maßnahmen und Vertragsklauseln vor. Die Ausführung wiederkehrender Aufgaben (Erfassung, Versand, Nachverfolgung) kann ein Automatisierungsagent wie EMMA übernehmen. Entscheidend dabei: Der Mensch bleibt am Steuer. Die KI schlägt vor, Ihr Team prüft und gibt frei – jeder Schritt revisionssicher protokolliert. Welche Aktionen automatisch laufen und welche eine Freigabe benötigen, bestimmen Sie selbst nach Kritikalität.

Intervalid, EMMA und die weiteren Bausteine unseres Ökosystems sind dabei unser Blueprint, kein Zwang: Ob verinice, HiScout oder ein anderes etabliertes Werkzeug, der methodische Ansatz funktioniert auch mit Ihrer bestehenden Landschaft.

Fazit: Risiken durch externe Partner sicher im Griff

Das Lieferanten-Management unter NIS-2 ist kein Selbstzweck. Es macht Abhängigkeiten sichtbar, priorisiert Risiken und schafft verbindliche Erwartungen an geschäftskritische Dienstleister. Das Wichtigste zum Mitnehmen:

• Klassifizieren statt pauschalisieren: Drei Stufen und vier Prüffragen schaffen eine nachvollziehbare Grundlage.
• Der Erstdurchlauf ist machbar: Die Methodik selbst kostet Stunden. Der eigentliche Aufwand steckt in der Bestandsaufnahme, und genau die ist bereits ein Sicherheitsgewinn.
• Verträge sind der Hebel: Die 24-Stunden-Meldeklausel bei kritischen Lieferanten verschafft Ihnen im Ernstfall Reaktionszeit und die Fakten für Ihre eigene BSI-Meldung.
• Werkzeug und KI reduzieren die Fleißarbeit – die Entscheidungen bleiben bei Ihnen.