NIS2 für Zulieferer: Warum Cybersicherheit jetzt auch Ihr Problem ist

Sie denken, NIS2 betrifft Sie nicht? Ihre größten Kunden sehen das anders.

Ich höre das ständig. Ein Produktionsbetrieb mit 20 Mitarbeitern in der Eifel, Zulieferer für einen Automobilhersteller, sagt mir: "Das ist doch was für die Großen." Und ja, formal hat er recht. Sein Unternehmen liegt unter den NIS2-Schwellenwerten. Aber dann kam die E-Mail vom OEM. Betreff: Sicherheitsaudit Lieferkette Q2 2026.

Ich habe bei DHL, Delivery Hero und New Relic gearbeitet. Ich kenne die Perspektive der Großunternehmen von innen. Und ich kann Ihnen eins sagen: Die werden genau solche Audits durchführen. Die Frage ist nicht ob, sondern wann.

In diesem Artikel zeige ich Ihnen, was auf Zulieferer zukommt, was Ihre Großkunden konkret verlangen werden und was Sie als 20-Personen-Betrieb realistisch tun können. Kein Panik-Marketing, kein "Sie müssen sofort alles umstellen". Dafür ein ehrlicher Blick auf die Lage.

Was NIS2 eigentlich verlangt

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Deutschland in Kraft. Keine Übergangsfrist. Es betrifft direkt rund 29.000 Unternehmen in Sektoren wie Energie, Transport, Gesundheit, Lebensmittelproduktion und verarbeitendes Gewerbe. Die Kernanforderungen stehen in §30 BSIG und umfassen zehn Maßnahmenbereiche. Hier die fünf, die für Zulieferer am relevantesten sind:

• Risikomanagement für IT-Systeme und Netzwerke
• Vorfallmeldungen ans BSI innerhalb von 24 Stunden nach Erkennung
• Sicherheitskonzepte und deren laufende Dokumentation
• Schulung der Geschäftsführung zu Cybersicherheit (ja, die Chefs persönlich)
• Und, das ist der Punkt: Absicherung der Lieferkette

Die Sanktionen sind dabei nicht harmlos. Bis zu 10 Millionen Euro Bußgeld oder 2% des weltweiten Jahresumsatzes. Und die Geschäftsführung haftet persönlich. Das ist neu und das sitzt. Wenn ein CEO für die IT-Sicherheit seines Unternehmens mit seinem Privatvermögen haftet, können Sie sich vorstellen, wie gründlich er seine Lieferkette durchleuchten wird.

Der Lieferketten-Effekt: Warum es Sie trotzdem betrifft

Hier wird es nämlich für Zulieferer relevant. §30 verpflichtet jedes NIS2-pflichtige Unternehmen, die Sicherheit seiner direkten Lieferkette zu prüfen und zu dokumentieren. Das bedeutet: Ihr Großkunde muss nachweisen, dass Sie sichere IT-Prozesse haben.

Das Prinzip funktioniert so: Der OEM braucht Compliance. Compliance verlangt sichere Lieferanten. Also kommen die Anforderungen bei Ihnen an, ob Sie nun direkt unter NIS2 fallen oder nicht.

Ich habe das bei DHL erlebt. Lieferantenaudits waren dort Alltag. Wer die Anforderungen nicht erfüllt hat, flog aus dem Beschaffungsprozess. Punkt. Da wurde nicht diskutiert. Und genau so wird es mit NIS2 laufen, nur eben formalisiert und mit Gesetzeskraft im Rücken.

Die EU-Kommission hat das bewusst so angelegt. Die Idee: Selbst wenn man nicht jedes KMU direkt regulieren kann, sorgt der Marktdruck über die Lieferkette dafür, dass sich die Sicherheitsstandards nach unten durchsetzen. Ihr Großkunde wird nicht freundlich bitten. Er wird es zur Bedingung für die Zusammenarbeit machen.

In der Automobilindustrie kommt noch TISAX dazu. Wer dort Zulieferer ist, kennt das Thema Informationssicherheit ja schon. Aber NIS2 geht über TISAX hinaus. Die beiden Standards überschneiden sich zwar, aber NIS2 verlangt zusätzliche Dinge wie die 24-Stunden-Meldepflicht, ein formales Vorfallmanagement und eine explizite Verantwortung der Geschäftsleitung. Wer TISAX hat, hat einen Vorsprung, aber nicht alles abgedeckt.

Auch außerhalb der Automobilbranche greift der Effekt. Energieversorger, Krankenhäuser, Logistikunternehmen, Lebensmittelhersteller, sie alle fallen unter NIS2. Und sie alle haben Zulieferer. Vielleicht sind Sie einer davon.

Was Ihre Großkunden verlangen werden

Mal konkret. Was kommt auf Sie zu? Ich habe mir angeschaut, welche Anforderungen aktuell bei Lieferantenaudits im NIS2-Kontext gestellt werden. Das Muster wiederholt sich:

Dokumentation, die Sie vorlegen müssen:

• Ein IT-Sicherheitskonzept (kein 200-Seiten-Dokument, aber mehr als "wir haben ein Passwort")
• Nachweis regelmäßiger Backups und Wiederherstellungstests
• Protokoll Ihrer letzten Sicherheitsvorfälle und wie Sie reagiert haben
• Vertragliche Vereinbarungen mit Ihren eigenen IT-Dienstleistern

Technische Prüfpunkte, die auftauchen werden:

• Verschlüsselung sensibler Daten, im Transport und bei Speicherung
• Multi-Faktor-Authentifizierung für Fernzugriffe und VPN-Verbindungen
• Regelmäßige Software-Updates und Patch-Management
• Netzwerksegmentierung zwischen Büro-IT und Produktions-OT
• Monitoring: Werden Zugriffe auf kritische Systeme protokolliert?

Organisatorische Fragen, die kommen:

• Wer ist bei Ihnen für IT-Sicherheit zuständig?
• Gibt es einen Notfallplan für Cyberangriffe?
• Werden Ihre Mitarbeiter geschult?

Ich weiß, das klingt nach viel. Aber machen wir uns nichts vor: Die meisten dieser Punkte sind Dinge, die Sie sowieso tun sollten. NIS2 gibt dem Ganzen nur einen Namen und eine Deadline.

Minimum Viable Security für ein 20-Personen-Unternehmen

Jetzt wird es praktisch. Sie müssen nicht ISO 27001 zertifiziert sein, um die Audits zu bestehen. Aber Sie brauchen eine Basis. Ich nenne das "Minimum Viable Security", also das Minimum an Sicherheit, das Ihre Kunden akzeptieren werden.

Schritt 1: Verantwortlichkeit klären

Benennen Sie eine Person, die für IT-Sicherheit zuständig ist. Bei 20 Mitarbeitern muss das keine Vollzeitstelle sein. Aber jemand muss den Hut aufhaben. Das kann die Geschäftsführung selbst sein oder ein technisch versierter Mitarbeiter. Wichtig ist, dass diese Person den Überblick hat und Ansprechpartner für Ihre Kunden bei Audit-Fragen ist.

Schritt 2: Bestandsaufnahme machen

Listen Sie auf:

• Welche IT-Systeme nutzen Sie? (ERP, E-Mail, Produktionssteuerung, ...)
• Wo liegen Ihre Daten? (Lokal, Cloud, beim IT-Dienstleister?)
• Wer hat worauf Zugriff?
• Welche Verträge haben Sie mit IT-Dienstleistern?

Schritt 3: Die Quick Wins umsetzen

Das sind Maßnahmen, die wenig kosten und viel bringen:

• Multi-Faktor-Authentifizierung für alle Dienste aktivieren (bei Microsoft 365, Google Workspace etc. ist das inklusive)
• Automatische Backups einrichten, und einmal im Quartal testen, ob die Wiederherstellung tatsächlich funktioniert
• Software-Updates automatisieren, wo möglich. Bei Produktions-IT: definierte Wartungsfenster festlegen
• Mitarbeiter einmal schulen: Phishing erkennen, sichere Passwörter, verdächtige E-Mails melden
• Admin-Rechte auf das Nötigste reduzieren. Nicht jeder Mitarbeiter braucht Administratorzugang

Schritt 4: Dokumentation erstellen

Halten Sie fest, was Sie tun. Ein einfaches IT-Sicherheitskonzept hat etwa diesen Aufbau:

1. Scope und Verantwortlichkeiten: Welche Systeme betrifft es und wer kümmert sich?
2. Schutzmaßnahmen: Was tun Sie konkret?
3. Vorfallmanagement: Was passiert bei einem Angriff?
4. Prüfung und Verbesserung: Wie oft schauen Sie drüber?

Zehn bis fünfzehn Seiten reichen. Kein Roman. Die Großkunden wollen sehen, dass Sie sich Gedanken gemacht haben und systematisch arbeiten. Und ja: Das Dokument muss leben. Einmal schreiben und in die Schublade legen bringt nichts. Planen Sie ein, das Konzept mindestens einmal im Jahr zu überprüfen und zu aktualisieren.

Ein Tipp aus der Praxis: Viele IT-Dienstleister bieten Vorlagen für IT-Sicherheitskonzepte an, die auf kleine Unternehmen zugeschnitten sind. Fragen Sie Ihren Dienstleister danach. Sie müssen das Rad nicht neu erfinden.

Schritt 5: Notfallplan aufstellen

Ein Cyberangriff passiert halt irgendwann. Verschlüsselungstrojaner, kompromittierte E-Mail-Konten, Datenlecks. Die Frage ist: Wissen Sie, was dann zu tun ist?

Ihr Notfallplan sollte beantworten:

• Wen rufen Sie an? (IT-Dienstleister, BSI-Hotline, Cyber-Versicherung)
• Wie trennen Sie betroffene Systeme vom Netz?
• Wie kommunizieren Sie intern, extern und gegenüber Behörden?
• Wo liegen Ihre Offline-Backups, falls die Online-Backups betroffen sind?

Drucken Sie den Notfallplan aus. Ernsthaft. Wenn Ihre IT verschlüsselt ist, hilft Ihnen ein digitales Dokument auf dem verschlüsselten Server nicht weiter. Ein laminiertes Blatt neben dem Router klingt altmodisch, funktioniert aber.

Schritt 6: Cyber-Versicherung prüfen

Das wird oft vergessen. Eine Cyber-Versicherung ersetzt kein Sicherheitskonzept, aber sie ist ein wichtiger Baustein. Die Kosten für einen Ransomware-Vorfall bei einem 20-Personen-Betrieb liegen schnell bei 50.000 bis 200.000 Euro: Forensik, Betriebsausfall, Benachrichtigung betroffener Kunden, eventuell Bußgelder.

Viele Versicherer verlangen inzwischen einen Nachweis, dass Sie grundlegende Sicherheitsmaßnahmen umgesetzt haben, bevor sie überhaupt eine Police ausstellen. Die Schritte 1 bis 5 sind also doppelt nützlich: Sie bereiten Sie auf Kundenaudits vor und machen Sie versicherbar.

BSI-Registrierung: Was Sie wissen müssen

Kurzer Exkurs. Falls Sie doch direkt unter NIS2 fallen (ab 50 Mitarbeitern und 10 Mio. Euro Umsatz in bestimmten Sektoren), müssen Sie sich beim BSI registrieren. Das Portal ist seit Januar 2026 freigeschaltet. Die Frist für besonders wichtige Einrichtungen war der 6. März 2026.

Aber auch wenn Sie unter den Schwellenwerten liegen: Prüfen Sie das trotzdem. Die Kriterien sind eben komplex. Manchmal reicht es, in einem bestimmten Sektor tätig zu sein, und die Schwellenwerte greifen nicht wie erwartet. Energie, Transport, Gesundheit, verarbeitendes Gewerbe, Chemie, Lebensmittel, digitale Infrastruktur. Die Liste der betroffenen Sektoren ist lang.

Zur Registrierung brauchen Sie:

• Ein Unternehmenskonto beim MUK-Identitätsdienst des Bundes
• Angaben zu Ihrem Unternehmen und den betroffenen Diensten
• Eine Kontaktstelle für das BSI

Der Registrierungsprozess selbst ist unkompliziert. Aber Sie sollten vorher klären, ob Sie betroffen sind. Das BSI bietet dafür auf seiner Website einen Betroffenheitscheck an.

Was Sie diese Woche tun können

Ich bin ja Praktiker. Große Pläne sind schön, aber am Ende zählt, was Sie tatsächlich umsetzen. Hier ist mein Vorschlag für diese Woche:

Montag: Prüfen Sie auf der BSI-Website, ob Ihr Unternehmen direkt unter NIS2 fällt. Der Betroffenheitscheck dauert 30 Minuten, fertig.

Dienstag: Rufen Sie Ihren größten Kunden an und fragen Sie direkt: "Welche IT-Sicherheitsanforderungen stellen Sie an Zulieferer im Rahmen von NIS2?" Sie werden überrascht sein, wie konkret die Antwort ausfällt. Viele Einkaufsabteilungen haben die Fragebögen schon vorbereitet.

Mittwoch: Machen Sie die Bestandsaufnahme aus Schritt 2. Stift, Papier, eine Stunde. Gehen Sie durch jede Abteilung und notieren Sie, welche Software und welche Zugänge dort genutzt werden. Vergessen Sie die Produktions-IT nicht, also Maschinensteuerungen, SCADA-Systeme, IoT-Sensoren.

Donnerstag: Aktivieren Sie Multi-Faktor-Authentifizierung für alle Cloud-Dienste. Bei Microsoft 365, Google Workspace und den meisten anderen Anbietern ist das in der Lizenz inklusive. Kein Extrapreis, nur 15 Minuten Konfiguration pro Nutzer.

Freitag: Setzen Sie sich hin und schreiben Sie die erste Seite Ihres IT-Sicherheitskonzepts. Nur die erste Seite. Der Rest kommt dann von allein. Und wenn er nicht von allein kommt: dafür gibt es Berater und IT-Dienstleister.

Das klingt einfach. Und es ist einfach. Der schwierigste Teil ist, damit anzufangen.

Wettbewerbsvorteil statt Pflichtübung

Ich möchte mit einem Gedanken schließen, den ich bei solchen Themen immer wieder betone. NIS2-Compliance als Zulieferer ist nicht nur Risikovermeidung. Es ist ein Wettbewerbsvorteil.

Stellen Sie sich vor, Ihr Großkunde muss zwischen zwei gleichwertigen Zulieferern wählen. Einer hat ein dokumentiertes IT-Sicherheitskonzept, einen Notfallplan, nachweisbare MFA und regelmäßige Schulungen. Der andere sagt: "Machen wir schon irgendwie." Wen wird der Einkäufer wählen?

In meiner Zeit bei Instacart und DHL habe ich erlebt, wie Beschaffungsabteilungen arbeiten. Die haben Checklisten. Und wer die Checkliste nicht erfüllt, kommt nicht auf die Liste. Egal wie gut das Produkt ist. IT-Sicherheit wird zu einem Qualifikationskriterium, so wie Qualitätszertifikate oder Lieferfähigkeit.

Die Betriebe, die das jetzt angehen, werden in zwei Jahren die bevorzugten Zulieferer sein. Die, die warten, werden irgendwann hektisch nachrüsten müssen, wenn der wichtigste Kunde droht, den Vertrag nicht zu verlängern.

Übrigens: Wenn Sie sich auch mit dem EU AI Act beschäftigen müssen, schauen Sie mal in unseren Artikel zur EU AI Act Schulungspflicht. Compliance-Themen greifen zunehmend ineinander, und wer an der einen Stelle vorarbeitet, hat es an der anderen leichter.

Wir bei Plexito unterstützen Mittelständler in der Eifel und im Rheinland dabei, ihre IT-Systeme fit für solche Anforderungen zu machen. Nicht mit einem 200-Seiten-Gutachten, sondern mit konkreter Umsetzung. Mehr dazu auf unserer Dienstleistungsseite. Oder schreiben Sie uns direkt über unser Kontaktformular.