Maßnahme 4: Sicherheit der Lieferkette.
Das Gesetz verlangt, dass Sie die Sicherheit Ihrer Lieferkette steuern, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu Ihren unmittelbaren Anbietern und Diensteanbietern.
- § 30 Abs. 2 Nr. 4 BSIG
- Stand: 19.10.2026
- Lesezeit: 6 Min.
Kurzantwort.
Sie erfassen Ihre unmittelbaren Anbieter und Dienstleister, stufen sie nach Kritikalität ein und bewerten deren Sicherheitspraxis und Schwachstellen vor der Auswahl und bei Änderungen. Mit kritischen Anbietern vereinbaren Sie Sicherheitsanforderungen, Meldepflichten, Nachweise und Ausstiegsregeln vertraglich. Die Einhaltung überwachen Sie regelmäßig und dokumentieren Ihre Entscheidungen.
Was das Gesetz verlangt.
Die vierte Mindestmaßnahme in § 30 Abs. 2 BSIG ist die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Sie entspricht Art. 21 Abs. 2 Buchst. d der Richtlinie (EU) 2022/2555. Gemeint sind Lieferanten von Hard- und Software ebenso wie IT-Dienstleister, Cloud-Anbieter, Wartungsfirmen und Managed Service Provider, über die Ihre Dienste angreifbar werden können.
Art. 21 Abs. 3 der Richtlinie konkretisiert, was dabei zu berücksichtigen ist: die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter, die Gesamtqualität ihrer Produkte und ihrer Cybersicherheitspraxis einschließlich der Sicherheit ihrer Entwicklungsprozesse sowie die Ergebnisse koordinierter Risikobewertungen kritischer Lieferketten nach Art. 22 Abs. 1. Das BSI greift diese Punkte in seinem Infopaket zur Lieferkette auf.
Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten, einschlägige Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Der Umfang richtet sich nach der Verhältnismäßigkeit gemäß § 30 Abs. 1 Satz 2 BSIG: Ein Anbieter, ohne den Ihr Dienst ausfällt, verdient eine andere Prüftiefe als ein Büromateriallieferant. Die Einhaltung ist nach § 30 Abs. 1 Satz 3 BSIG zu dokumentieren.
Für Anbieter digitaler Dienste wie Cloud- und Rechenzentrumsdienste, Managed Service Provider und Online-Marktplätze gehen nach § 30 Abs. 3 BSIG die Anforderungen der Durchführungsverordnung (EU) 2024/2690 vor. Sie verlangt unter anderem ein Konzept für die Sicherheit der Lieferkette und ein Verzeichnis der Anbieter und Diensteanbieter. Für andere Einrichtungen ist die Verordnung nicht verbindlich, eignet sich aber als Orientierung.
Nachweise.
Das BSI kann nach § 61 BSIG bei besonders wichtigen Einrichtungen Nachweise anfordern, bei wichtigen Einrichtungen nach § 62 BSIG anlassbezogen. Für die Lieferkette werden typischerweise diese Unterlagen relevant sein. Feste Formvorgaben hat das BSI dafür bisher nicht veröffentlicht.
| Nachweis | Form | Verantwortlich | Turnus |
|---|---|---|---|
| Konzept für die Sicherheit der Lieferkette | Freigegebene Richtlinie mit Kritikalitätsstufen und Prüftiefe je Stufe | Informationssicherheit mit Einkauf, Freigabe durch Geschäftsleitung | Jährlich |
| Verzeichnis der Anbieter und Diensteanbieter | Register mit Leistung, Kritikalität, Ansprechpartner und Verantwortlichen | Einkauf und IT-Leitung | Laufend, Review halbjährlich |
| Sicherheitsbewertung kritischer Anbieter | Ausgefüllter Fragebogen, Zertifikate, Prüfberichte, Bewertung | Informationssicherheit | Vor Auswahl, danach jährlich oder bei Änderungen |
| Vertragliche Sicherheitsanforderungen | Vertragsklauseln oder Anlage zu Sicherheit, Meldungen, Zugängen, Unterauftragnehmern | Einkauf mit Rechtsabteilung | Bei Vertragsschluss und Verlängerung |
| Überwachung der Anbieter | Protokolle zu Leistungsprüfungen, Eskalationen und Vorfällen bei Anbietern | Vertragsverantwortliche | Mindestens jährlich |
| Ausstiegs- und Ersatzplanung | Exit-Plan für kritische Anbieter | IT-Leitung | Jährlich |
Typische Lücken.
Es gibt kein vollständiges Anbieterverzeichnis.
Einkauf, IT und Fachbereiche führen getrennte Listen, und Cloud-Dienste, die per Kreditkarte gebucht wurden, fehlen ganz. Ohne Verzeichnis lässt sich weder die Kritikalität bewerten noch zeigen, dass alle unmittelbaren Anbieter betrachtet wurden.
Alle Anbieter werden gleich behandelt.
Ein einheitlicher Fragebogen für jeden Lieferanten erzeugt viel Aufwand und wenig Aussage. Die Verhältnismäßigkeit nach § 30 Abs. 1 Satz 2 BSIG spricht für eine Einstufung nach Kritikalität und eine Prüftiefe, die sich danach richtet.
Verträge regeln Sicherheit nicht.
Bestandsverträge enthalten oft keine Pflicht, Sicherheitsvorfälle zu melden, keine Regeln für Fernzugänge und keinen Ausstieg. Das BSI empfiehlt vertragliche Vereinbarungen zu Risikomanagementmaßnahmen, zur Bewältigung von Vorfällen und zum Patchmanagement.
Die Bewertung endet mit der Auswahl.
Ein Fragebogen bei Vertragsschluss sagt wenig über den Stand drei Jahre später. Änderungen beim Anbieter, neue Unterauftragnehmer und Vorfälle sollten eine erneute Bewertung auslösen.
Umsetzung in Schritten.
Anbieter und Dienstleister erfassen.
Führen Sie die Listen aus Einkauf, Buchhaltung und IT zu einem Verzeichnis zusammen. Erfassen Sie je Anbieter die Leistung, die betroffenen Systeme und Dienste, Zugänge zu Ihren Netzen und die verantwortliche Person im Haus.
Nach Kritikalität einstufen.
Bewerten Sie, wie stark Ihre Dienste vom Anbieter abhängen, welche Daten er verarbeitet und welche Zugänge er hat. Drei Stufen reichen für die meisten Unternehmen. Verknüpfen Sie die Einstufung mit Ihrer Risikoanalyse.
Prüftiefe je Stufe festlegen.
Legen Sie fest, welche Unterlagen Sie je Stufe verlangen, etwa Selbstauskunft, Zertifikat nach ISO/IEC 27001, Prüfbericht oder eigenes Audit. Berücksichtigen Sie Schwachstellen, Entwicklungsprozesse und bekannte Vorfälle des Anbieters.
Kritische Anbieter bewerten.
Holen Sie die Unterlagen ein, bewerten Sie sie und dokumentieren Sie die Entscheidung, einschließlich Auflagen oder bewusst getragener Restrisiken. Für neue Anbieter geschieht das vor dem Vertragsschluss.
Anforderungen vertraglich verankern.
Vereinbaren Sie mit kritischen Anbietern Sicherheitsanforderungen, die Meldung von Vorfällen, Regeln für Zugänge und Unterauftragnehmer, Nachweispflichten und Ausstiegsregeln. Bestandsverträge passen Sie bei der nächsten Verlängerung an.
Überwachen und erneut bewerten.
Prüfen Sie kritische Anbieter mindestens jährlich und bei Anlässen wie Vorfällen, Eigentümerwechsel oder neuen Unterauftragnehmern. Berichten Sie der Geschäftsleitung über wesentliche Abhängigkeiten und offene Punkte.
In Secani.
In Secani bildet der Katalog „NIS2 Deutschland“ § 30 Abs. 2 Nr. 4 BSIG als Anforderung DE-REQ-08 ab. Die vorgeschlagenen Controls DE-CTL-14 und DE-CTL-15 decken die Prüfung vor der Auswahl und die vertraglichen Anforderungen ab. Ein Control kann zugleich Anforderungen aus ISO/IEC 27001 oder IT-Grundschutz erfüllen.
Anbieter verwalten Sie in der Lieferantenverwaltung; die Systeme und Dienste, die von ihnen abhängen, liegen im Inventar, die zugehörigen Risiken im Risikoregister. Fragebögen versenden Sie über das Lieferantenportal, in dem Anbieter sie selbst beantworten. Verträge und Prüfberichte legen Sie im Vault ab, der sie verschlüsselt speichert und auswertet.
Für jedes Control legen Sie Verantwortliche und Reviewer fest. Jährliche Neubewertungen planen Sie als wiederkehrende Aufgaben, und das Nachweis-Register zeigt, welche Nachweise nicht mehr aktuell sind. Entscheidungen über Anbieter mit Auflagen laufen über Freigaben mit Vier-Augen-Prinzip.
Controls im Katalog „NIS2 Deutschland“
- DE-REQ-08Lieferkettensicherheit berücksichtigen
- DE-CTL-14Lieferanten vor Auswahl und bei Änderungen prüfen
- DE-CTL-15Sicherheitsanforderungen vertraglich verankern
Verwandte Maßnahmen.
- Maßnahme 1: Risikoanalyse
Die Kritikalität eines Anbieters ergibt sich aus der Risikoanalyse Ihrer Dienste und fließt in sie zurück.
- Maßnahme 5: Erwerb, Entwicklung, Wartung
Sicherheitsanforderungen bei Erwerb und Wartung von Systemen setzen die Lieferkettensicherheit für einzelne Produkte und Komponenten fort.
- Maßnahme 6: Wirksamkeit
Ob Anbieter vereinbarte Anforderungen einhalten, zeigt erst die regelmäßige Überprüfung.
- Alle zehn Maßnahmen im Überblick
Quellen.
- § 30 BSIG: Risikomanagementmaßnahmen
- § 38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen
- Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), Art. 21 und 23
- Durchführungsverordnung (EU) 2024/2690 für digitale Dienste
- BSI: #nis2know-Infopaket Sichere Lieferkette
- BSI: #nis2know-Infopaket Risikomanagementmaßnahmen
Häufige Fragen.
§ 30 Abs. 2 Nr. 4 BSIG verlangt, die Sicherheit der Lieferkette einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern zu berücksichtigen. In der Praxis heißt das: Anbieter erfassen, nach Kritikalität einstufen, ihre Sicherheitspraxis bewerten, Anforderungen vertraglich vereinbaren und die Einhaltung überwachen.
Nicht unmittelbar. Das BSI weist darauf hin, dass das BSIG Zulieferer nicht pauschal verpflichtet. Betroffene Einrichtungen müssen ihre Zulieferer aber zur Einhaltung entsprechender Sicherheitsanforderungen verpflichten, um ihre eigenen Pflichten zu erfüllen. Lieferanten erleben NIS2 deshalb meist über Fragebögen und Vertragsklauseln ihrer Kunden.
Das Gesetz schreibt kein bestimmtes Verfahren vor. Die Maßnahmen müssen nach § 30 Abs. 1 Satz 2 BSIG verhältnismäßig sein. Üblich ist eine Einstufung nach Kritikalität: Anbieter, ohne die Ihre Dienste ausfallen oder die Zugang zu Ihren Systemen haben, werden gründlich geprüft, unkritische Anbieter nur erfasst.
Es ist ein wichtiger Beleg, aber prüfen Sie, ob der Geltungsbereich des Zertifikats die Leistung umfasst, die Sie beziehen. Nach Auffassung des BSI bedeutet die Umsetzung von Standards nicht automatisch, dass die Anforderungen des BSIG vollständig erfüllt sind. Vertragliche Regelungen zu Meldungen und Zugängen ersetzt ein Zertifikat nicht.
Noch nicht sicher, ob NIS2 für Sie gilt?
Der kostenlose Check ordnet Ihre Einrichtung nach § 28 BSIG ein.
Diese Seite fasst die Rechtslage nach bestem Wissen zusammen und ersetzt keine Rechtsberatung. Maßgeblich sind der Gesetzestext und die Festlegungen des BSI.