COMPLIANCE · LIEFERKETTE
Lieferkettensicherheit: Anforderungen, Umsetzung und Nachweis
Stand August 2026
Die eigene Sicherheit endet nicht an der Firmengrenze. Wer als wesentliche oder wichtige Einrichtung reguliert ist, verantwortet auch die Risiken, die über Dienstleister, Cloud-Anbieter und Wartungszugänge in das eigene Netz hereinkommen. Der Aufsicht ist gleichgültig, ob ein Vorfall im eigenen Rechenzentrum oder beim IT-Partner begann. Lieferkettensicherheit ist deshalb kein Einkaufsthema, sondern ein Teil des eigenen Risikomanagements.
Was verlangt Lieferkettensicherheit konkret?
Lieferkettensicherheit verlangt, dass Sie die Informationssicherheit Ihrer unmittelbaren Anbieter und Diensteanbieter bewerten, vertraglich verbindlich machen und laufend überprüfen. Gemeint ist nicht die Verfügbarkeit von Bauteilen.
Umgangssprachlich meint Lieferkette meist Logistik: Lieferengpässe, Transportwege, Rohstoffe. Regulatorisch geht es um etwas anderes, nämlich um die Sicherheit der IT-Dienstleistungsbeziehungen, über die fremde Systeme, fremdes Personal und fremder Code Zugang zu Ihrer Umgebung bekommen. Der Wartungszugang des Maschinenherstellers, der Managed-Service-Provider mit weitreichenden Administrationsrechten, das Rechenzentrum, das Ihre Fachanwendung hostet: Das ist die Lieferkette, die NIS2 meint.
Der Wortlaut ist knapp. Artikel 21 Absatz 2 Buchstabe d der Richtlinie (EU) 2022/2555 nennt als Mindestmaßnahme die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“. Mehr steht dort nicht. Die Ausgestaltung bleibt Ihnen überlassen und genau das macht die Umsetzung im Alltag schwer.
Das Wort „unmittelbar“ trägt dabei die ganze Last. Gefordert ist die Absicherung der Anbieter, mit denen Sie selbst einen Vertrag haben, nicht die Durchleuchtung der gesamten Kette in beliebiger Tiefe. Genau hier entsteht der häufigste Irrtum: Projekte versuchen, auch die Unterauftragnehmer ihrer Unterauftragnehmer zu erfassen. Sie scheitern damit an einer Aufgabe, die so nie gestellt war. Absatz 3 sagt stattdessen, worauf Sie bei den unmittelbaren Anbietern achten sollen: auf deren spezifische Schwachstellen, auf die Gesamtqualität der Produkte sowie auf die Cybersicherheitspraxis einschließlich der Sicherheit ihrer Entwicklungsprozesse. Zusätzlich sind die Ergebnisse der koordinierten Risikobewertungen nach Artikel 22 Absatz 1 zu berücksichtigen. Die nächste Ebene erreichen Sie mittelbar, indem Sie Ihren Anbieter vertraglich verpflichten, seine eigenen Zulieferer zu steuern.
Ebenso wenig ist jeder Vertragspartner gemeint. In den Anwendungsbereich gehören die Anbieter, die auf Ihre Netz- und Informationssysteme einwirken können: Softwarehersteller, Hosting- und Cloud-Anbieter, IT-Dienstleister mit Fernzugriff, Wartungsfirmen für Produktionsanlagen sowie Dienstleister, die schutzbedürftige Daten für Sie verarbeiten. Der Lieferant von Verpackungsmaterial gehört nicht dazu, solange er keinen Zugang zu Ihren Systemen hat. Die erste Aufgabe ist deshalb keine Fragebogenaktion, sondern eine belastbare Liste: Welche Anbieter berühren welche Prozesse und welchen Schaden könnten sie im Fehlerfall verursachen?
Diese Seite betrachtet die Lage aus Sicht der betroffenen Einrichtung. Wenn Sie selbst Zulieferer sind und wissen wollen, was Ihre Kunden von Ihnen verlangen dürfen, lesen Sie NIS2 und die Lieferkette. Den Überblick über alle Pflichten gibt unsere Seite zu NIS2.
Welche Regelwerke fordern was?
Die Anforderung verteilt sich auf mehrere Regelwerke, die dasselbe in unterschiedlicher Tiefe verlangen: Das Gesetz sagt, dass etwas zu tun ist, die Norm sagt, wie es aussieht, der Prüfkatalog macht es für die Automobilbranche nachweisbar. Eine Norm, die allein Lieferkettensicherheit regelt, spielt für den NIS2-Nachweis keine Rolle: Die Reihe ISO/IEC 27036 sowie ISO 28000 behandeln das Thema zwar eigenständig, zertifiziert und geprüft wird in der Praxis aber über die ISO 27001.
| Regelwerk | Fundstelle | Was verlangt wird |
|---|---|---|
| NIS-2-Richtlinie (EU) 2022/2555 | Artikel 21 Absatz 2 Buchstabe d, ergänzt durch Absatz 3 | Sicherheit der Lieferkette als eine der Mindestmaßnahmen. Nach Absatz 3 zu berücksichtigen sind die spezifischen Schwachstellen der unmittelbaren Anbieter, die Gesamtqualität der Produkte sowie die Cybersicherheitspraxis einschließlich der Sicherheit der Entwicklungsprozesse. |
| BSI-Gesetz (Deutschland) | § 30 Absatz 2 Nummer 4 BSIG, Dokumentationspflicht § 30 Absatz 1 Satz 3 BSIG | Besonders wichtige und wichtige Einrichtungen müssen die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern umsetzen. Die Einhaltung ist zu dokumentieren. |
| NISG 2026 (Österreich) | § 32 Absatz 4 Litera d | Inhaltlich wie die Richtlinie. Die Sicherheit der Entwicklungsprozesse sowie die koordinierten Risikobewertungen nach Artikel 22 Absatz 1 stehen hier direkt im Wortlaut der Litera d und nicht in einem eigenen Absatz. Gilt ab 1. Oktober 2026. |
| ISO/IEC 27001:2022 | Anhang A, Controls 5.19 bis 5.23 | 5 Controls von der Steuerung der Lieferantenbeziehung über Sicherheitsanforderungen in Lieferantenvereinbarungen und die Sicherheit in der IKT-Lieferkette bis zur Überwachung, Überprüfung und Änderungssteuerung der Lieferantenleistungen sowie zur Nutzung von Cloud-Diensten. |
| TISAX (VDA ISA) | Kapitel 6 Lieferantenbeziehungen, insbesondere Control 6.1.1 | Risikobeurteilung des Auftragnehmers vor der Beauftragung, vertraglich gesichertes Schutzniveau sowie regelmäßige Überprüfung während der Zusammenarbeit. |
Praktisch bedeutsam ist, dass die deutsche und die österreichische Fassung im Kern übereinstimmen. Der österreichische Wortlaut ist ausführlicher, weil er die Vorgaben aus Artikel 21 Absatz 3 der Richtlinie direkt in die Litera d hineinschreibt. Wer in beiden Ländern tätig ist, braucht kein doppeltes Verfahren, sondern ein Verfahren mit 2 Fundstellen in der Dokumentation.
Wer bereits nach ISO 27001 zertifiziert ist, hat den größten Teil der Nachweise im ISMS liegen. Für NIS2 fehlt dann meist nur die Zuordnung der vorhandenen Controls zur gesetzlichen Fundstelle sowie der Beleg, dass die Bewertung der Anbieter tatsächlich wiederkehrend stattfindet.
Wie sichern Sie Ihre Lieferkette in der Praxis ab?
In 5 Schritten: Lieferanten erfassen, nach Kritikalität einstufen, Anforderungen vertraglich verankern, Nachweise einholen und laufend überwachen. Jeder Schritt liefert die Grundlage für den nächsten. Wer bei Schritt 3 beginnt, verhandelt Sicherheitsklauseln für Dienstleister, deren Bedeutung er nie bewertet hat.
Schritt 1: Lieferanten erfassen. Tragen Sie alle Anbieter und Diensteanbieter zusammen, die an der Erbringung Ihrer Dienste beteiligt sind: IT-Dienstleister, Cloud- und Softwareanbieter, Fernwartung, Rechenzentren, spezialisierte Fachverfahren. Die Kreditorenliste aus der Buchhaltung ist ein brauchbarer Startpunkt, ersetzt aber keine fachliche Sichtung, denn dort steht auch der Getränkelieferant. Halten Sie je Eintrag fest, welcher Ihrer Dienste betroffen ist und wer im Haus die Beziehung verantwortet.
Schritt 2: Nach Kritikalität einstufen. Nicht jeder Lieferant verdient dieselbe Prüftiefe. Bewerten Sie, welchen Schaden ein Ausfall oder eine Kompromittierung bei diesem Anbieter anrichten würde, und begründen Sie die Einstufung in 1 bis 2 Sätzen. 3 Stufen genügen in der Regel, feinere Skalen kosten Pflegeaufwand ohne Erkenntnisgewinn.
Schritt 3: Anforderungen vertraglich verankern. Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie und § 30 Absatz 2 Nummer 4 BSIG adressieren ausdrücklich die Beziehungen zu den unmittelbaren Anbietern und Diensteanbietern. Praktisch heißt das: Meldepflichten bei Sicherheitsvorfällen mit Frist, Mitwirkung bei der Aufklärung, Vorgaben zu Patch- und Schwachstellenmanagement, Regeln für Unterauftragnehmer sowie Auskunfts- oder Auditrechte. Verhandeln Sie diese Punkte bei kritischen Dienstleistern zuerst, bei den übrigen reicht meist ein standardisierter Anhang.
Schritt 4: Nachweise einholen. Fragen Sie gezielt nach dem, was Sie auch prüfen können: Zertifikate mit Geltungsbereich, Prüfberichte, Ergebnisse von Penetrationstests, Notfallkonzepte. Ein Zertifikat nach ISO/IEC 27001 sagt wenig aus, wenn sein Geltungsbereich nur das Rechenzentrum umfasst und nicht den Dienst, den Sie tatsächlich einkaufen. Dokumentieren Sie jeden Nachweis mit Datum und Ablauf, sonst beginnt die Prüfung beim nächsten Mal von vorn.
Schritt 5: Laufend überwachen. Lieferantensicherheit ist kein Projekt, sondern ein Zustand. Legen Sie Wiedervorlagen für auslaufende Nachweise an, erfassen Sie Sicherheitsvorfälle beim Dienstleister und bewerten Sie neu, sobald sich Leistungsumfang, Eigentümer oder Unterauftragnehmer ändern.
2 Muster scheitern in der Praxis besonders zuverlässig. Das erste ist die Lieferantenliste, die einmal für ein Audit erstellt und danach nie wieder angefasst wird: Nach 18 Monaten stehen dort Dienstleister, die längst gekündigt sind, während der neue Cloud-Anbieter fehlt. Das zweite ist der Fragebogen mit 120 Fragen, den niemand auswertet. Er erzeugt Aufwand auf beiden Seiten und Sicherheit auf keiner. Besser sind 15 Fragen, die gelesen werden und deren Antworten eine Konsequenz haben.
Woran erkennen Sie einen kritischen Dienstleister?
An 4 Kriterien: Zugriff, Ersetzbarkeit, Ausfallwirkung und Regulierungsstatus. Ein Dienstleister ist bereits kritisch, wenn eines dieser Kriterien deutlich ausschlägt, nicht erst wenn alle zutreffen.
| Kriterium | Leitfrage | Hinweis auf hohe Kritikalität |
|---|---|---|
| Zugriff auf Systeme oder Daten | Kann der Anbieter auf Produktivsysteme, Administrationszugänge oder personenbezogene Daten zugreifen? | Dauerhafte Fernwartungszugänge und administrative Rechte |
| Ersetzbarkeit | Wie lange bräuchten Sie für einen Wechsel und gibt es überhaupt Alternativen am Markt? | Proprietäre Formate, lange Migrationszeiten, wenige Anbieter |
| Ausfallwirkung | Welcher Ihrer Dienste steht still, wenn dieser Anbieter 3 Tage ausfällt? | Unmittelbarer Stillstand eines Dienstes, den Sie selbst verantworten |
| Regulierungsstatus des Anbieters | Ist der Anbieter selbst eine wesentliche oder wichtige Einrichtung oder unterliegt er keiner vergleichbaren Aufsicht? | Kein eigener Regulierungsrahmen bei hoher Abhängigkeit |
Halten Sie die Antworten kurz und schriftlich fest. Eine Einstufung ohne Begründung überzeugt weder Ihre Geschäftsleitung noch eine Aufsichtsbehörde und ist nach einem Personalwechsel nicht mehr nachvollziehbar. Die Controls A.5.19 bis A.5.23 aus ISO/IEC 27001:2022 Anhang A folgen derselben Logik, von der Lieferantenbeziehung über die Vereinbarung und die IKT-Lieferkette bis zur Überwachung der Leistungserbringung und zur Nutzung von Cloud-Diensten.
Was gilt für Sie, wenn Sie selbst Zulieferer sind?
Dann drehen sich die Rollen um. Sie sind unter Umständen nicht selbst reguliert, bekommen die Anforderungen Ihrer Kunden aber über Verträge weitergereicht: Sicherheitsklauseln, Meldefristen, Fragebögen, Nachweise. Wirtschaftlich ist das häufig die härtere Konsequenz als eine direkte Betroffenheit, weil Aufträge daran hängen. Was das konkret bedeutet und wie Sie sich als Zulieferer vorbereiten, lesen Sie in unserem Beitrag NIS2 und die Lieferkette: Was Zulieferer jetzt wissen müssen.
Wie unterstützt Vantarion?
Vantarion bildet diese 5 Schritte in VantarIS ab, statt sie über Tabellen und Postfächer zu verteilen. Das Lieferantenverzeichnis führt Anbieter, betroffene Dienste und interne Verantwortliche an einer Stelle zusammen. Die Kritikalitätsbewertung nutzt die genannten Kriterien als geführten Fragebogen und speichert die Begründung gleich mit. Nachweise hängen am jeweiligen Lieferanten, mit Gültigkeitsdatum und Wiedervorlage vor Ablauf, sodass abgelaufene Zertifikate auffallen statt unterzugehen.
Jeder Eintrag ist den Anforderungen zugeordnet, die er bedient: Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie und § 30 Absatz 2 Nummer 4 BSIG auf der einen Seite, die Controls A.5.19 bis A.5.23 aus ISO/IEC 27001:2022 Anhang A auf der anderen. Damit beantworten Sie die Frage, welche kritischen Lieferanten offene Punkte haben, ohne vorher 3 Tabellen zusammenzuführen. Ergänzend begleiten unsere Berater die erste Erfassung und die Akademie schult die Fachbereiche, die den Kontakt zu den Lieferanten halten. Wenn Sie wissen möchten, wie das für Ihre Lieferantenstruktur aussieht, vereinbaren Sie ein unverbindliches Strategiegespräch.
Lieferantenrisiken sauber abbilden?
Im Strategiegespräch ordnen wir ein, welche Ihrer Dienstleister als kritisch gelten, welche Nachweise Sie einholen sollten sowie wie Sie das dokumentieren, ohne eine Liste zu pflegen, die niemand liest.
Häufige Fragen zur Lieferkettensicherheit
Ab wann gelten die Anforderungen an die Lieferkettensicherheit?
Müssen Sie alle Lieferanten gleich intensiv prüfen?
Nein. Für Einrichtungen in Deutschland gilt § 30 Absatz 1 BSIG, der geeignete, verhältnismäßige sowie wirksame Maßnahmen fordert. Als Maßstab nennt Satz 2 ausdrücklich das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie die Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Ein Cloud-Anbieter mit Zugriff auf Ihre Kundendaten braucht damit eine andere Tiefe als ein Anbieter ohne Systemzugang.
Reicht ein ISO 27001 Zertifikat Ihres Dienstleisters als Nachweis?
Was gehört in eine Sicherheitsklausel für Lieferanten?
Müssen Sie auch Unterauftragnehmer Ihrer Dienstleister prüfen?
Nicht selbst. Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie stellt auf die unmittelbaren Anbieter und Diensteanbieter ab, Sie müssen die Kette also nicht bis zum letzten Vorlieferanten durchleuchten. Artikel 21 Absatz 3 verlangt allerdings, dass Sie die Gesamtqualität der Produkte sowie die Cybersicherheitspraxis Ihrer Anbieter bewerten, und dazu gehört, wie diese ihre eigenen Zulieferer steuern. Der Weg führt also über den Vertrag, nicht über eigene Prüfungen in der Tiefe.
Was gilt für Lieferkettensicherheit in Österreich?
In Österreich setzt das NISG 2026 die Richtlinie um, § 32 Absatz 4 Litera d nennt die Sicherheit der Lieferkette. Wichtig ist der Zeitpunkt: Die maßgeblichen Bestimmungen gelten erst ab dem 1. Oktober 2026, weil § 51 Absatz 2 das Inkrafttreten auf den nächstfolgenden Monatsersten nach Ablauf von 9 Monaten seit der Kundmachung legt. Bis dahin besteht die Pflicht in Österreich noch nicht. Was dann gilt, steht in unserem Beitrag zum NISG 2026 in Österreich.
Wie oft sollten Sie Ihre Lieferanten neu bewerten?
Fundstellen im Überblick
| Regelwerk | Fundstelle |
|---|---|
| NIS2-Richtlinie (EU) 2022/2555 | Artikel 21 Absatz 2 Buchstabe d, ergänzt durch Absatz 3 |
| Deutschland, BSI-Gesetz | § 30 Absatz 2 Nummer 4, Dokumentation nach § 30 Absatz 1 Satz 3 |
| Österreich, NISG 2026 | § 32 Absatz 4 Litera d, gilt ab 1. Oktober 2026 |
| ISO/IEC 27001:2022 | Anhang A, Controls 5.19 bis 5.23 |
| TISAX | VDA ISA, Kapitel 6 Lieferantenbeziehungen |
Alle Angaben am amtlichen Volltext geprüft. Stand der Auswertung: 4. August 2026. Dieser Text informiert und stellt keine Rechtsberatung dar.
- Richtlinie (EU) 2022/2555 (NIS-2), Artikel 21 Absatz 2 Buchstabe d und Absatz 3, Wortlaut geprüft: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022L2555 (Amtsblatt L 333 vom 27.12.2022)
- BSI-Gesetz (NIS-2-Fassung), § 30 Absatz 2 Nummer 4, Volltext geprüft: https://www.gesetze-im-internet.de/bsig_2025/__30.html
- NISG 2026 (Österreich), § 32 Absatz 4 Litera d, Volltext geprüft: https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html
- ISO/IEC 27001:2022 Anhang A, Controls 5.19 bis 5.23 (Lieferantenbeziehungen, Lieferantenvereinbarungen, IKT-Lieferkette, Überwachung von Lieferantenleistungen, Nutzung von Cloud-Diensten)
- VDA ISA (TISAX), Kapitel 6 Lieferantenbeziehungen, Control 6.1.1; ISA 6 gilt für Assessments in 2026, ISA 2027 ist ab 01.01.2027 verbindlich
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 21 Absatz 1, Absatz 2 Buchstabe d und Absatz 3: https://eur-lex.europa.eu/eli/dir/2022/2555/oj/deu
- BSIG (Neufassung durch das NIS2UmsuCG, BGBl. 2025 I Nr. 301, in Kraft seit 6. Dezember 2025), § 30 Absatz 1 und Absatz 2 Nummer 4: https://www.gesetze-im-internet.de/bsig_2025/__30.html
- NISG 2026 (BGBl. I Nr. 94/2025), § 32 Absatz 4 lit. d und § 33 Absatz 1: https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html
- ISO/IEC 27001:2022, Anhang A, Controls 5.19 bis 5.23 (Lieferantenbeziehungen, Lieferantenvereinbarungen, IKT-Lieferkette, Überwachung von Lieferantendienstleistungen, Nutzung von Cloud-Diensten): https://www.iso.org/standard/27001