NIS2 — Lieferkette absichern

Pflicht aus Art. 21 (2) (d) NIS2 zur Risiko-Bewertung der Lieferkette.

Definition

NIS2 verpflichtet wesentliche und wichtige Einrichtungen, Cybersecurity-Risiken in der Lieferkette systematisch zu bewerten und zu adressieren. Praxis: Lieferanten-Klassifizierung, Vertragspflichten (z.B. Incident-Notification), Audits bei kritischen Lieferanten. Typische Dokumente: Lieferanten-Sicherheitsrichtlinie + Vertragsklauseln.

Nationale Umsetzung: Deutschland und Österreich

NIS2 ist eine EU-Richtlinie (RL (EU) 2022/2555) und gilt nicht unmittelbar, sondern über die nationalen Umsetzungsgesetze. Die Lieferkettensicherheit nach Art. 21 Abs. 2 lit. d NIS2 ist sowohl in Deutschland als auch in Österreich fester Bestandteil des gesetzlichen Mindestkatalogs der Risikomanagementmaßnahmen. Der Wortlaut ist nahezu deckungsgleich, die zuständige Behörde unterscheidet sich jedoch.

Deutschland

§ 30 BSIG (BSI-Gesetz 2025) verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Der Mindestkatalog in § 30 Abs. 2 nennt in Nr. 4 ausdrücklich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Zuständige Behörde: Bundesamt für Sicherheit in der Informationstechnik (BSI).

Österreich

§ 32 NISG 2026 (BGBl. I Nr. 94/2025) verpflichtet wesentliche und wichtige Einrichtungen zu Risikomanagementmaßnahmen auf Basis eines gefahrenübergreifenden Ansatzes. Der Mindestkatalog in § 32 Abs. 4 nennt in lit. d die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“. Zuständige Behörde: Cybersicherheitsbehörde.