Warum die Lieferkettenpflicht auch nicht-regulierte Zulieferer trifft

§ 30 Nr. 4 BSIG verpflichtet jede NIS2-regulierte Einrichtung zur "Sicherheit der Lieferkette, einschließlich der Bewertung von Zulieferern und Dienstleistern". Diese Pflicht trifft rechtlich zunächst nur das regulierte Unternehmen selbst — in der Praxis wird sie jedoch an genau die Lieferanten und Dienstleister weitergereicht, die bewertet werden sollen: über Sicherheitsfragebögen, vertragliche Sicherheitsklauseln, Auditrechte und zunehmend auch die Forderung nach konkreten Nachweisen wie IT-Sicherheitsanalysen oder ISO-27001-Zertifizierungen.

Für die meisten Zulieferer bedeutet das: Sie sind nicht selbst NIS2-pflichtig — Anlage 1 und 2 BSIG gelten nicht für Sie —, aber Ihr Auftraggeber ist es, und er muss Ihnen gegenüber nachweisen können, dass er Ihr Risiko kennt und bewertet hat. Wer diesen Nachweis nicht liefern kann, riskiert längere Vertragsverhandlungen, zusätzliche Auflagen oder im schlechtesten Fall den Verlust eines Auftrags an einen Wettbewerber, der seine Sicherheitslage bereits belegen kann.

Gerade für kleinere und mittlere Zulieferer ist das eine neue Situation: Ohne eigene Compliance-Abteilung und ohne Erfahrung darin, wie ein Sicherheitsfragebogen eines Großkunden oder Konzerns zu beantworten ist, wird jede neue Anfrage zum Einzelfall — mit entsprechendem internen Aufwand und Unsicherheit darüber, was tatsächlich "genug" ist.

NEXGAP macht Kundensicherheit für Ihr Unternehmen handhabbar

NEXGAP übersetzt die Sicherheitsanforderungen Ihrer Kunden in ein handhabbares, auf Ihre Unternehmensgröße zugeschnittenes Maßnahmenpaket — statt eines überdimensionierten Compliance-Programms, das an Ihrem tatsächlichen Bedarf vorbeigeht.

Wir unterstützen bei der fachlich fundierten Beantwortung von Sicherheitsfragebögen und Auditanfragen Ihrer Kunden — von der Ersteinschätzung bis zur belastbaren, konsistenten Dokumentation, die auch einer Rückfrage standhält. Wo Ihr Kunde konkrete technische Nachweise verlangt — etwa eine aktuelle IT-Sicherheitsanalyse oder eine dokumentierte Risikoanalyse —, liefern wir genau diese Nachweise: fachlich fundiert, in einem Umfang, der zu Ihrem Unternehmen passt.

Statt jede neue Kundenanfrage als Einzelfall zu behandeln, bauen wir mit Ihnen eine wiederverwendbare Sicherheits-Dokumentationsgrundlage auf, die sich auf künftige Fragebögen und Audits übertragen lässt — inklusive Threat-Intelligence-Daten, die auch gegenüber Ihren eigenen Kunden ein Vertrauenssignal sind.

Manche Zulieferer wachsen in die direkte NIS2-Pflicht hinein — etwa durch Wachstum, eine veränderte Sektorzuordnung oder eine Fusion. Wir prüfen frühzeitig, ob und wann das für Sie relevant werden könnte.

Wie Ihr Unternehmen NIS2 im Vergabeprozess zu Vorteil macht

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz für rund 29.500 Unternehmen in Deutschland — jedes davon mit einer eigenen Pflicht zur Bewertung seiner Lieferkette nach § 30 Nr. 4 BSIG. Je mehr dieser Unternehmen ihre Lieferantenbewertung operationalisieren, desto häufiger werden Sicherheitsnachweise zur Grundvoraussetzung für neue und bestehende Aufträge — nicht als Ausnahme, sondern als Standard.

Unternehmen, die frühzeitig eine belastbare Sicherheitsdokumentation aufbauen, verschaffen sich einen Vorteil im Vergabeprozess. Wer erst reagiert, wenn der erste Fragebogen tatsächlich auf dem Tisch liegt, verliert wertvolle Zeit — und im Zweifel den Auftrag.