NIS-2 Zulieferer: Prüfprogramm 2026 für Betreiber

Wer als wesentlicher oder wichtiger Betreiber unter NIS-2 fällt, prüft seine Lieferanten ab 2026 nach festen Regeln. Dieser Beitrag liefert das Prüfprogramm: Geltungsbereich, Risikoklassen, Vertragsklauseln, Audit-Ablauf und Dokumentation. Wer einen Einstieg in das Gesamtbild sucht, findet ihn unter NIS-2-Compliance im Überblick.

NIS-2 Zulieferer: Was Art. 21 Abs. 2 lit. d konkret fordert

Artikel 21 Absatz 2 Buchstabe d der NIS-2-Richtlinie nennt die Sicherheit der Lieferkette als eigenständige Mindestmaßnahme. Sie steht gleichrangig neben Risikoanalyse, Vorfallbehandlung und Zugriffskontrolle. Sie ist keine Anlage, sondern Hauptpflicht.

Erfasst sind alle Lieferanten und Dienstleister mit Zugang zu Netz- und Informationssystemen des Betreibers. Zugang heißt nicht nur Admin-Login. Auch ein Wartungstechniker mit USB-Stick am Engineering-PC fällt darunter. Auch ein Wachdienst mit Master-Token am Serverraum.

Der Geltungsbereich umfasst IT-Dienstleister, Wartungsfirmen, Cloud-Provider und physische Sicherheitsdienste. Die Trennung zwischen Cyber und Physis verliert sich an dieser Stelle. Ein Schließsystem mit Cloud-Anbindung ist beides.

Pflicht ist die Bewertung der Gesamtqualität der Sicherheitspraktiken jedes Lieferanten. Der Wortlaut verlangt eine vollständige Betrachtung aller Sicherheitspraktiken, nicht nur einen Zertifikatscheck. Die spezifischen Schwachstellen einzelner Lieferanten müssen in das Risikomanagement des Betreibers einfließen. Das Bundesministerium des Innern führt Lieferantenmanagement und Drittparteienrisiko als zentralen Baustein der NIS-2-Umsetzung.

Welche Zulieferer in den Prüfumfang fallen

Direkte IT-Lieferanten gehören in jedem Fall hinein. Softwareanbieter, Managed Service Provider, Cloud-Hosting und SaaS-Tools mit Datenzugriff. Auch wenn der Vertrag älter als die NIS-2 ist.

OT-Zulieferer werden in der Praxis oft vergessen. SPS-Hersteller, Wartungsfirmen für Produktionsanlagen, Anbieter von Fernzugriffslösungen. Ein Fernwartungstunnel von Siemens, ABB oder einem Anlagenintegrator ist ein Lieferantenkanal mit Vollzugriff.

Physische Sicherheit fällt ebenfalls in den Umfang. Wachdienste, Schließsysteme, Videomanagement, Perimeterschutz-Anbieter. Sobald diese Anbieter ein Schlüsselbund tragen oder Kameras in das Netz des Betreibers einspeisen, sind sie Lieferanten im Sinne der Richtlinie.

Kritische Versorgungspartner schließen die Liste: Strom, Kühlung, Telekommunikation, Notstrom. Hier zählt die Verfügbarkeit, nicht der Datenzugang. Die KritisV definiert die Schwellenwerte, ab denen Betreiber zur strukturierten Lieferantenprüfung verpflichtet sind.

Sub-Zulieferer der Tier-1-Partner gehören dazu, sofern Datenfluss oder Systemzugang besteht. Ein Subunternehmer eines Wachdienstes, der nachts allein im Gebäude patrouilliert, ist faktisch ein Tier-1-Risiko.

Risikoklassifizierung: Welcher Zulieferer braucht welche Prüftiefe

Vier Klassen reichen in der Praxis. Mehr Differenzierung kostet Aufwand ohne Nutzen.

Klasse A umfasst Lieferanten mit Vollzugriff auf produktive Systeme oder personenbezogene Daten. Beispiele: der MSP, der das SIEM betreibt. Der Cloud-Provider, der die SAP-HANA-Datenbank hostet. Der Wachdienst, der den Schlüssel zum Rechenzentrum führt. Diese Klasse erhält ein jährliches Audit vor Ort.

Klasse B umfasst Lieferanten mit eingeschränktem Systemzugriff oder definierten Wartungsfenstern. Beispiele: der SPS-Wartungstechniker, der zweimal jährlich für vier Stunden eine Anlage updated. Der Videoanalytik-Anbieter, der nur auf einen segmentierten Stream zugreift. Hier reicht ein Self-Assessment plus Stichproben.

Klasse C umfasst Lieferanten ohne Systemberührung, aber mit physischem Standortzugang. Beispiele: Reinigungsfirma im Bürotrakt, Kantinenbetreiber, Postdienstleister. Diese liefern ein ISO 27001-Zertifikat oder gleichwertigen Nachweis. Bei Kleinstdienstleistern reicht eine vertragliche Selbstverpflichtung mit Stichprobenrecht.

Klasse D umfasst reine Materiallieferungen ohne Zugang. Schrauben, Verpackung, Büromaterial. Ein Basisfragebogen mit zehn Punkten genügt.

Die Klassifizierung muss dokumentiert und mindestens jährlich überprüft werden. Wechselt ein Lieferant von Materiallieferung zu Wartungsdienst, wechselt seine Klasse. Das Lieferantenregister ist ein lebendes Dokument.

Vertragsklauseln für Lieferantenverträge ab 2026

Fünf Klauseln gehören in jeden Lieferantenvertrag mit Klasse A oder B.

Erstens: Meldepflicht des Lieferanten bei Sicherheitsvorfällen innerhalb von 24 Stunden an den Auftraggeber. Diese Frist ist enger als die 72-Stunden-DSGVO-Meldung. Sie ergibt sich daraus, dass der Betreiber selbst innerhalb von 24 Stunden eine Frühwarnung an das BSI absetzen muss (Art. 23 Abs. 1 NIS-2-Richtlinie).

Zweitens: Auditrecht des Auftraggebers oder eines beauftragten Dritten ohne Vorankündigung bei Verdacht. Geplante Audits laufen mit Vorlauf, anlassbezogene nicht. Diese Klausel ist im Verhandlungsgespräch unangenehm und im Ernstfall die wichtigste.

Drittens: Subunternehmerklausel mit schriftlicher Genehmigung vor Einsatz weiterer Sub-Zulieferer mit Systemzugang. Ohne diese Klausel verschwindet die Kontrolle nach Tier 2.

Viertens: Nachweispflicht für technische und organisatorische Maßnahmen nach Art. 21 NIS-2, jährlich aktualisiert. Ein einmaliger Nachweis bei Vertragsschluss reicht nicht.

Fünftens: Kündigungsrecht bei wiederholten Verstößen ohne Schadenersatzpflicht des Auftraggebers. Ohne diese Klausel zahlt der Betreiber doppelt: erst die Strafe der Aufsichtsbehörde, dann die Vertragsstrafe des unzureichenden Lieferanten.

Nachweise, die der Lieferant erbringen muss

Ein ISO 27001-Zertifikat ist die Grundwährung. Wertvoll wird es durch das Statement of Applicability, das die ausgeschlossenen Controls offenlegt. Ein Zertifikat, das die Controls A.5.19 bis A.5.23 (Lieferantenbeziehungen) ausschließt, ist für NIS-2-Zwecke nutzlos.

Branchenspezifisch kommen weitere Nachweise hinzu. TISAX-Label für Automotive-Lieferanten. BSI C5-Testat für Cloud-Anbieter. KRITIS-Prüfung nach § 8a BSIG für Betreiber kritischer Infrastrukturen, die wiederum als Lieferant auftreten.

Ein funktionierender Incident-Response-Prozess muss durch dokumentierte Übungen belegt sein. Ein Tabletop-Protokoll der letzten zwölf Monate genügt. Ein leeres Playbook ohne Übungsnachweis nicht.

Die Erklärung zur Verwendung kritischer Komponenten aus Drittstaaten gemäß § 9b BSIG ist Pflicht für Lieferanten, die solche Komponenten verbauen. Wer Huawei-Router liefert, erklärt es schriftlich.

Aktuelle Penetrationstests für extern erreichbare Systeme dürfen nicht älter als zwölf Monate sein. [Quelle: BSI Technische Richtlinie TR-03116 oder gleichwertige Anforderung einfügen] Der Bericht selbst muss nicht ausgehändigt werden, der Management-Summary mit Behebungsstand schon.

Audit-Praxis: Wie eine Prüfung 2026 abläuft

Die Vorbereitung beginnt mit einem Lieferantenfragebogen mit 60 bis 90 Fragen. Vier Wochen Vorlaufzeit sind angemessen. Weniger führt zu unvollständigen Antworten, mehr zu Aufschiebeverhalten.

Das Remote-Audit folgt. Sichtung der Policies, Logs und Zertifikate über einen sicheren Datenraum. Zwei Auditoren, ein halber bis ganzer Tag. Hier entscheidet sich, ob ein Vor-Ort-Termin nötig wird.

Das Vor-Ort-Audit ist Pflicht für Klasse A. Zwei Auditoren, ein bis zwei Tage. Technische Stichproben (Patch-Stand, Berechtigungen, Logging) und organisatorische Stichproben (Schulungsnachweise, Notfallpläne, Schließregister).

Der Befundbericht enthält eine Reifegradeinstufung in vier Stufen und einen konkreten Maßnahmenplan mit Fristen. Reifegrad 1 bedeutet ad-hoc, Reifegrad 4 optimiert. Lieferanten unter Reifegrad 2 in Klasse A sind nicht haltbar.

Die Nachprüfung erfolgt nach 90 Tagen bei kritischen Befunden, sonst beim nächsten Jahresaudit. Kritisch sind Befunde, die einen Datenabfluss oder Systemausfall direkt ermöglichen würden.

Physische Sicherheitsdienstleister als NIS-2 Zulieferer

Wachdienste mit Schlüsselbund und Zutritt zu Serverräumen sind Klasse-A-Lieferanten. Dies wird in vielen Lieferantenregistern bis heute übersehen. Der Grund: Wachdienste wurden historisch dem Facility Management zugeordnet, nicht der IT-Sicherheit.

Klassische Personalmodelle zeigen eine hohe Fluktuation laut BDSW. Das macht einen verlässlichen Background-Check schwer. Wer alle drei Monate neues Personal mit Master-Token ausstattet, prüft faktisch jedes Quartal eine neue Belegschaft. Das ist administrativ kaum abbildbar.

Robotik-Patrouille reduziert die Anzahl prüfungsrelevanter Personen mit Systemzugang drastisch. Statt zwölf rotierenden Wachleuten pro Standort führen drei feste Quarero-Techniker den Servicevertrag. Der Hintergrundcheck dieser drei Personen ist auditierbar und stabil.

Quarero-Einheiten arbeiten nach dokumentiertem Patrouillenplan mit lückenlosem Audit-Log. Jede Bewegung, jeder Sensorwert, jede Eskalation ist zeitgestempelt. Ein Auditor prüft Stichproben in einer Stunde, nicht in einem Tag. Details zum Service-Layer finden sich im Robotics-as-a-Service-Modell und zum Plattformgerät unter QR-3 für KRITIS-Perimeter.

Die Datenhaltung der Sensorströme erfolgt in DACH-Rechenzentren, vertraglich auditierbar, ohne Drittstaatentransfer. Das entlastet den Betreiber von Art. 28-DSGVO-Pflichten und vereinfacht die NIS-2-Lieferkettenprüfung gleichermaßen.

Ein einziger Servicevertrag ersetzt mehrere Subunternehmerketten klassischer Wachdienste. Ein Vergleich der Kostenstruktur findet sich unter Wachschutzkosten im Vergleich.

Dokumentation und Vorstandshaftung

Das Lieferantenregister ist das zentrale Artefakt. Es enthält Klassifizierung, letztes Audit-Datum, offene Maßnahmen, Vertragsablaufdaten und benannte Ansprechpartner. Tabellenstruktur reicht für kleine Betreiber, GRC-Tools werden ab 200 Lieferanten sinnvoll.

Der Quartalsbericht an die Geschäftsleitung umfasst die Top-20-Zulieferer nach Risikobeitrag und die Risikoentwicklung über das Vorquartal. Vier Seiten genügen. Mehr wird nicht gelesen.

Der Vorstand haftet persönlich für die Wirksamkeit des Lieferantenmanagements. Grundlage ist der Entwurf des deutschen Umsetzungsgesetzes. Der Entwurf des KRITIS-Dachgesetzes konkretisiert die Anforderungen an physische und organisatorische Lieferantenkontrolle. Die Konsequenzen für die Geschäftsleitung sind unter Vorstandshaftung unter NIS-2 ausgeführt.

Nachweisbare Schulung der Einkaufs- und IT-Sicherheitsteams zu NIS-2-Anforderungen ist Pflicht. Einmal jährlich, mit Teilnehmerliste und Lernerfolgskontrolle. Eine Pflicht-Folie im Onboarding reicht nicht.

Die Aufbewahrung aller Audit-Unterlagen beträgt mindestens fünf Jahre für behördliche Prüfungen. [Rechtsgrundlage einfügen, z. B. § 8a BSIG oder nationales Umsetzungsgesetz] Verträge, Fragebögen, Auditberichte, Maßnahmenpläne und Eskalationen. Die strukturierte Ablage ist Teil der Compliance, kein Anhängsel. Die operative Umsetzung steht in der KRITIS-Dachgesetz-Checkliste 2026.

Wer das Prüfprogramm aufsetzen oder seinen Wachdienst als Lieferanten neu strukturieren will, beginnt mit einem Pilotgespräch mit Marcus Köhnlein oder direkt über die Kontaktseite für KRITIS-Betreiber.