NIS2 Lieferkette absichern: § 30 BSIG Abs. 2 Nr. 4 in der Praxis

1. Warum Lieferkette ein NIS2-Schwerpunkt ist

NIS2 reagiert auf Realität: 2024 stammten 42% aller schweren Cyber-Vorfälle aus Lieferkettenangriffen (ENISA Threat Landscape 2025). Beispiele:

• SolarWinds (2020): 18.000 Kunden via Software-Update kompromittiert
• 3CX (2023): Voice-Software-Update mit Trojaner
• MOVEit (2023): File-Transfer-Tool, 60+ Mio. Datensätze gestohlen
• XZ Utils (2024): Linux-Backdoor in upstream-Library

Konsequenz: NIS2 macht Lieferketten-Sicherheit zur expliziten Pflicht. Sie steht nicht als Anhang im Risikomanagement, sondern als eigener Maßnahmenbereich — Nummer 4 von zehn in § 30 Abs. 2 BSIG. In der Audit- und Aufsichtspraxis 2026 ist genau dieser Bereich die häufigste Beanstandung; typischer Befund sind fehlende Cybersecurity-Klauseln in den Standardverträgen. Auch beim Abgleich mit ISO 27001 ist die Lückenwahrscheinlichkeit hier am höchsten (Annex A.15), während Bereiche wie Business Continuity (A.17) oder Kryptografie (A.10) in zertifizierten Häusern meist bereits abgedeckt sind. Wer eine ISO-27001-Zertifizierung besitzt, hat damit rund 70 bis 80 Prozent der § 30-Anforderungen erfüllt — die Lieferketten-Sorgfalt nach § 30 Abs. 2 Nr. 4 BSIG gehört zu den Lücken, die gezielt geschlossen werden müssen.

2. § 30 BSIG Abs. 2 Nr. 4 (NIS2UmsuCG)

„Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ — § 30 Abs. 2 Nr. 4 BSIG

Die zugrunde liegende EU-Vorgabe ist ausführlicher formuliert: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ — Art. 21 Abs. 2 Buchst. d der Richtlinie (EU) 2022/2555. Konkretisiert durch BSI-Leitfaden 03/2026 + ENISA Supply Chain Guidelines 2024.

Nummer 4 steht nicht für sich. Der Maßstab kommt aus § 30 Abs. 1 BSIG: Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein, um Störungen von Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme zu vermeiden und die Auswirkungen von Sicherheitsvorfällen gering zu halten — und ihre Einhaltung ist zu dokumentieren. § 30 Abs. 2 Satz 1 BSIG ergänzt, dass die Maßnahmen den Stand der Technik einhalten sollen, die einschlägigen europäischen und internationalen Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen müssen. Für das Lieferantenmanagement heißt das: Die Prüftiefe skaliert mit dem Risiko — nicht jeder Lieferant braucht ein Vor-Ort-Audit —, und die Einstufung selbst gehört dokumentiert, weil sich sonst die Verhältnismäßigkeit nicht belegen lässt. Die übrigen neun Bereiche des § 30 Abs. 2 BSIG behandelt der Übersichtsartikel zu den 10 Pflichtmaßnahmen.

Österreich: § 32 Abs. 4 lit. d NISG 2026

Für Einrichtungen in Österreich gilt nicht das BSIG, sondern das NISG 2026 (BGBl. I Nr. 94/2025); es wurde am 23.12.2025 kundgemacht und wird nach § 51 Abs. 1 und 2 NISG 2026 am 01.10.2026 anwendbar — zum Stand dieses Artikels also noch nicht. Die Lieferketten-Pflicht steht dort in § 32 Abs. 4 lit. d NISG 2026 und ist ausdrücklich detaillierter gefasst: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern, unter Berücksichtigung der spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter, der Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Dienstanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse“. Der österreichische Wortlaut benennt damit vier Bewertungsdimensionen ausdrücklich: spezifische Schwachstellen, Gesamtqualität der Produkte, Cybersicherheitspraxis und Sicherheit der Entwicklungsprozesse. Aufsicht ist die Cybersicherheitsbehörde (Bundesamt für Cybersicherheit, dem Bundesminister für Inneres unmittelbar nachgeordnet, Sitz Wien — § 3a Abs. 1 und 2, § 3b Abs. 3 NISG 2026), nicht das BSI; erhebliche Vorfälle sind an das zuständige CSIRT zu melden — 24 Stunden / 72 Stunden / ein Monat nach § 34 Abs. 2 NISG 2026 —, die Registrierung erfolgt nach § 29 NISG 2026 binnen drei Monaten ab Inkrafttreten, also bis Ende 2026. Strafrahmen: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. bis 7 Mio. EUR oder 1,4 % (wichtige Einrichtungen), § 45 Abs. 2 und 3 NISG 2026.

3. Wen die Lieferketten-Pflicht trifft

Die Pflicht aus § 30 Abs. 2 Nr. 4 BSIG trifft besonders wichtige und wichtige Einrichtungen — wer dazu zählt, entscheidet § 28 BSIG über die Kombination aus Einrichtungsart (Anlage 1 oder Anlage 2) und Größe. Zwei Punkte werden in der Praxis regelmäßig übersehen: Die größenabhängige Einstufung als besonders wichtige Einrichtung setzt eine Einrichtungsart nach Anlage 1 voraus; die Einstufung als wichtige Einrichtung greift für Arten nach Anlage 1 oder Anlage 2. Und mehrere Einrichtungsarten sind größenunabhängig erfasst, darunter Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter und bestimmte Anbieter öffentlicher Telekommunikationsnetze und -dienste. Für die Berechnung von Mitarbeiterzahl, Jahresumsatz und Bilanzsumme gilt die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG).

Praktische Konsequenz: Ihre Einstufung bestimmt den Sanktionsrahmen (Abschnitt 10), nicht aber, ob Sie Lieferketten-Sorgfalt betreiben müssen — der Maßnahmenkatalog des § 30 Abs. 2 BSIG gilt für beide Klassen gleichermaßen. Prüfen Sie deshalb zuerst die Einrichtungsart nach Anlage 1 oder 2 und erst danach die Schwellenwerte.

4. 8-Schritt-Lieferanten-Audit

Schritte 1 und 2: Inventar und Kritikalität

Ohne vollständiges Inventar ist keine der weiteren sieben Stufen belastbar — das Inventar ist die Grundlage, auf der sich Verhältnismäßigkeit im Sinne des § 30 Abs. 1 BSIG überhaupt begründen lässt. Erfassen Sie jeden externen Diensteanbieter mit Zugang zu Systemen, Daten oder Prozessen, nicht nur die Vertragspartner der IT-Abteilung: Wartungsdienstleister, Managed-Service-Provider, SaaS-Anbieter einzelner Fachbereiche und Entwicklungspartner. Die Kritikalitätsbewertung in Schritt 2 entscheidet anschließend über die Prüftiefe. Als Struktur für die Bewertungskriterien eignet sich der österreichische Gesetzeswortlaut, der die Dimensionen ausdrücklich benennt — spezifische Schwachstellen des Anbieters, Gesamtqualität der Produkte, dessen Cybersicherheitspraxis und die Sicherheit seiner Entwicklungsprozesse (§ 32 Abs. 4 lit. d NISG 2026, anwendbar ab 01.10.2026). Der deutsche Gesetzeswortlaut in § 30 Abs. 2 Nr. 4 BSIG benennt diese Kriterien nicht ausdrücklich; als Strukturraster für das eigene Scoring sind sie gleichwohl praxistauglich. Dokumentieren Sie auch die Begründung für niedrige Scores: Die Einhaltung der Maßnahmen ist nach § 30 Abs. 1 BSIG zu dokumentieren, und der begründete Ausschluss ist Teil davon.

Schritte 3 und 4: Selbstauskunft und Audit

Die Selbstauskunft skaliert, das Audit belegt — beide zusammen ergeben die Nachweiskette. Der Fragebogen geht an alle Lieferanten und liefert eine erste, vergleichbare Datenbasis; für die als kritisch eingestuften Anbieter genügt sie in der Praxis nicht, dort folgt ein Vor-Ort-Audit oder die Vorlage eines ISO-27001-Zertifikats. Ein Zertifikat ersetzt die eigene Bewertung allerdings nicht vollständig — die Lücke im Annex A.15 ist in Abschnitt 1 beschrieben. Prüfen Sie deshalb den Geltungsbereich des Zertifikats (welche Standorte, welche Dienste) und gleichen Sie ihn mit dem tatsächlich bezogenen Dienst ab. Für kritische Lieferanten gehören ein vertraglich verankertes Right-to-Audit und eine Vorfall-Notifikation an Sie als Auftraggeber innerhalb von 24 Stunden zu den Pflicht-Inhalten der Bereichsumsetzung.

Schritte 5 und 6: Vertrag und Monitoring

Der Vertrag ist das einzige Instrument, mit dem Sie Sicherheitsanforderungen bei einem Dritten durchsetzen können — deshalb ist Schritt 5 der Hebel, an dem Audits am häufigsten scheitern. Die sechs Klauseln aus Abschnitt 5 gehören in die Standardverträge, nicht nur in Neuabschlüsse: Bestandsverträge werden bei der nächsten Verlängerung nachgezogen. Achten Sie darauf, dass die datenschutzrechtliche und die NIS2-Ebene beide abgedeckt sind — die Abgrenzung zwischen Art. 28 DSGVO und § 30 Abs. 2 Nr. 4 BSIG steht in den FAQ am Ende dieses Artikels. Schritt 6 hält die Beziehung aktuell: Quartalsweise Vorfall-Reports sind ein bewährter Praxis-Rhythmus, keine gesetzlich vorgegebene Frist — der Turnus sollte sich an der Kritikalität orientieren und im Vertrag stehen.

Schritte 7 und 8: Vorfall-Plan und Re-Evaluation

Der Eskalations-Workflow muss vor dem ersten Vorfall stehen, weil die gesetzliche Uhr ab Kenntnis läuft und nicht ab dem Zeitpunkt, an dem die Ursache geklärt ist. Legen Sie im Notfall-Plan fest, wer die Meldung eines Lieferanten entgegennimmt, wer die Erheblichkeit nach § 2 Nr. 11 BSIG bewertet und wer die Frühwarnung nach § 32 Abs. 1 Nr. 1 BSIG auslöst; die Erreichbarkeit dafür muss durchgehend sichergestellt sein, auch außerhalb der Geschäftszeiten. Schritt 8 schließt den Kreis: Das jährliche Reassessment ist ein Praxis-Rhythmus, mit dem sich die nach § 30 Abs. 2 Nr. 6 BSIG geforderte Bewertung der Wirksamkeit von Risikomanagementmaßnahmen auch für den Lieferkettenbereich belegen lässt. Anlässe außer der Reihe: Sicherheitsvorfälle beim Lieferanten, Wechsel von Sub-Lieferanten, Vertragsverlängerungen und wesentliche Änderungen des bezogenen Dienstes.

5. 6 Pflicht-Vertragsklauseln

Die folgenden sechs Klauseln sind der Praxis-Standard, mit dem sich die Anforderungen des § 30 Abs. 2 Nr. 4 BSIG gegenüber einem Lieferanten operationalisieren lassen — sie übersetzen die gesetzlichen Anknüpfungspunkte in durchsetzbare Vertragspflichten:

1. Sicherheits-Standards: ISO 27001 oder NIST CSF oder gleichwertig — schriftlich. Damit wird die Cybersicherheitspraxis des Anbieters überhaupt erst messbar; ohne Referenzrahmen bleibt jede Bewertung Behauptung.
2. Vorfall-Meldung: binnen 24 Stunden ab Kenntnis. Diese Frist ist eine vertragliche Zusage des Lieferanten an Sie; die gesetzliche 24-Stunden-Frist des § 32 Abs. 1 Nr. 1 BSIG trifft dagegen Ihre eigene Einrichtung (siehe Abschnitt 7).
3. Audit-Recht: Right-to-Audit jährlich, ggf. durch unabhängigen Dritten. Ohne dieses Recht lässt sich die Wirksamkeit der Maßnahmen beim Dienstleister nicht überprüfen — Bereich 6 des § 30 Abs. 2 BSIG verlangt genau diese Wirksamkeitsbewertung.
4. Sub-Lieferanten: Liste vorab + Genehmigung neuer Sub-Lieferanten. Der Gesetzeswortlaut adressiert die Beziehungen zu unmittelbaren Anbietern; die Transparenz über deren Unterauftragnehmer ist der vertragliche Weg, die zweite Ebene überhaupt sichtbar zu machen.
5. Kontinuitäts-Plan: BCM/DR-Doku verfügbar, RTO/RPO definiert. Die Aufrechterhaltung des Betriebs ist als eigener Bereich in § 30 Abs. 2 Nr. 3 BSIG geregelt und läuft ins Leere, wenn der kritische Dienstleister keine belastbaren Wiederanlaufzeiten zusagt.
6. Beendigung: Datenrückgabe + sichere Löschung dokumentiert. Verarbeitet der Lieferant personenbezogene Daten in Ihrem Auftrag, ist die Regelung von Gegenstand, Dauer, Art und Zweck der Verarbeitung ohnehin Mindestinhalt des Vertrags nach Art. 28 Abs. 3 DSGVO.

6. Kritische Lieferanten priorisieren

Priorisierung ist keine Bequemlichkeit, sondern die gesetzlich angelegte Arbeitsweise: § 30 Abs. 1 BSIG verlangt geeignete und verhältnismäßige Maßnahmen, also gestufte Prüftiefe statt Gleichbehandlung aller Lieferanten. Zwei Achsen tragen das Scoring — die Auswirkung eines Ausfalls auf den Geschäftsbetrieb und die Sensibilität der Daten, auf die der Anbieter zugreift. Kritikalitäts-Matrix (vereinfacht):

Zur Lesart der Tabelle: Die Scores sind Beispielwerte aus der Praxis, kein normierter Schlüssel. Ein hoher Score bei der Datensensibilität hat regelmäßig eine zweite Konsequenz — verarbeitet der Anbieter dabei besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO, etwa Gesundheitsdaten, gelten daneben die datenschutzrechtlichen Anforderungen an Auswahl und Vertrag (Art. 28 DSGVO), und eine umfangreiche Verarbeitung solcher Daten kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO auslösen. Praxisempfehlung: Führen Sie eine Liste der kritischen Lieferanten getrennt vom Gesamtinventar und verknüpfen Sie sie mit den Vertrags-Fundstellen — im Auditgespräch ist das die Unterlage, nach der zuerst gefragt wird.

7. Vorfall beim Lieferanten: Fristen und Meldewege

Ein Vorfall bei einem Lieferanten kann Ihre eigene Meldepflicht auslösen — maßgeblich ist nicht, wo er entstanden ist, sondern ob er die Schwelle des erheblichen Sicherheitsvorfalls erreicht. Diese Schwelle definiert § 2 Nr. 11 BSIG: ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die EU-Durchführungsverordnung 2024/2690 konkretisiert diese Schwelle mit quantitativen Kriterien, allerdings nur für bestimmte digitale Einrichtungsarten wie DNS-Diensteanbieter, Cloud- und Rechenzentrumsdienste, Managed (Security) Service Provider, Online-Marktplätze oder Vertrauensdiensteanbieter; für alle übrigen Einrichtungen gilt bis zu einer Rechtsverordnung nach § 56 Abs. 5 BSIG die Definition des § 2 Nr. 11 BSIG.

Daneben läuft im Datenschutz eine zweite Uhr: Betrifft der Vorfall personenbezogene Daten, meldet der Verantwortliche die Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO); bei voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen kommt die Benachrichtigung der betroffenen Personen hinzu (Art. 34 Abs. 1 DSGVO). Beide Fristketten laufen unabhängig voneinander — die vertragliche 24-Stunden-Meldung des Lieferanten an Sie ist die Voraussetzung dafür, dass Sie beide überhaupt einhalten können.

8. Nachweis, Dokumentation und Prüfung

Nachgewiesen wird Lieferketten-Sicherheit über Dokumentation — und die Nachweispflichten unterscheiden sich zwischen Deutschland und Österreich erheblich. In Deutschland gilt zunächst die allgemeine Regel des § 30 Abs. 1 BSIG: Die Einhaltung der Maßnahmen ist zu dokumentieren. Eine turnusmäßige externe Nachweispflicht trifft darüber hinaus Betreiber kritischer Anlagen: Sie weisen die Umsetzung der Maßnahmen nach § 30 Abs. 1 in Verbindung mit § 31 BSIG durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach — zu einem vom BSI festgelegten Zeitpunkt, frühestens drei Jahre nach der erstmaligen Einstufung als Betreiber einer kritischen Anlage und anschließend alle drei Jahre; die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel sind zu übermitteln (§ 39 Abs. 1 BSIG). In Österreich ist der Nachweisweg breiter angelegt: Alle wesentlichen und wichtigen Einrichtungen übermitteln der Cybersicherheitsbehörde innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht strukturierte Informationen zu den umgesetzten Risikomanagementmaßnahmen (Selbstdeklaration, § 33 Abs. 1 NISG 2026); auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen, wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung belegen (§ 33 Abs. 2 NISG 2026). Da das NISG 2026 erst am 01.10.2026 anwendbar wird, kann die erstmalige Aufforderung frühestens zwei Jahre nach dem Inkrafttreten erfolgen. Praxisempfehlung für beide Rechtsräume: Halten Sie je kritischem Lieferanten ein Dossier vor — Kritikalitätsbegründung, Selbstauskunft, Zertifikat oder Auditbericht, Vertragsfassung mit den Sicherheitsklauseln, Vorfall-Historie.

9. Geschäftsleitung: Pflicht und Haftung

Die Verantwortung für die Lieferketten-Maßnahmen liegt bei der Geschäftsleitung selbst und ist nicht delegierbar. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen — Bereich 4 eingeschlossen. Verletzen sie diese Pflichten, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts; nach dem BSIG selbst haftet die Geschäftsleitung nur subsidiär, nämlich wenn das maßgebliche Gesellschaftsrecht keine solche Haftungsregelung enthält (§ 38 Abs. 2 Satz 2 BSIG). Hinzu kommt die Pflicht zur regelmäßigen Schulungsteilnahme (§ 38 Abs. 3 BSIG). In Österreich haben die Leitungsorgane die Einhaltung der Risikomanagementmaßnahmen nach § 32 NISG 2026 sicherzustellen und zu beaufsichtigen und an spezifisch gestalteten Cybersicherheitsschulungen teilzunehmen (§ 31 Abs. 1 und 2 NISG 2026, ab 01.10.2026); eine ausdrückliche Innenhaftungs-Regel analog § 38 Abs. 2 BSIG enthält § 31 NISG 2026 nicht. Praxisempfehlung: Die Freigabe der Lieferanten-Risikobewertung und der Vertragsklauseln gehört in ein dokumentiertes Geschäftsleitungs-Protokoll — ohne diesen Nachweis ist die Überwachungspflicht aus § 38 Abs. 1 BSIG im Auditfall schwer belegbar.

10. Sanktionsrahmen Deutschland und Österreich

Verstöße gegen die Risikomanagementpflichten — und damit auch gegen Bereich 4 — sind bußgeldbewehrt, die Obergrenze richtet sich nach der Einstufung der Einrichtung.

Zwei Details, die in Deutschland regelmäßig falsch wiedergegeben werden: Das BSIG kennt kein pauschales „der höhere Wert gilt“ — die Umsatzvariante greift nur bei einem Gesamtumsatz von mehr als 500 Mio. EUR und nur für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße; Gesamtumsatz ist dabei die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG). Und hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein Bußgeld nach der DSGVO verhängt, ist eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG). In Österreich sind sonstige Übertretungen ab 01.10.2026 mit bis zu 50.000 EUR, im Wiederholungsfall bis zu 100.000 EUR bedroht (§ 45 Abs. 4 NISG 2026).

11. Praxisbeispiele 2025

• Mittelständler 250 MA: 47 Lieferanten identifiziert, davon 8 kritisch. Audit-Aufwand: 12 Personentage einmalig + 3 PT/Jahr.
• Groß-KMU 800 MA: 120 Lieferanten, 18 kritisch. ISO-27001-Zertifikat als Standard-Anforderung. 25 Personentage einmalig.
• Betreiber kritischer Anlagen: zusätzlich Nachweispflicht nach § 39 Abs. 1 BSIG i. V. m. § 31 BSIG — die Umsetzung der Maßnahmen ist dem BSI durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen, frühestens drei Jahre nach der erstmaligen Einstufung als Betreiber einer kritischen Anlage und anschließend alle drei Jahre.
• Energieversorger: Betreiber von Energieversorgungsnetzen, Energieanlagen oder digitalen Energiediensten, die den §§ 5c bis 5e EnWG unterliegen, sind nach § 28 Abs. 5 Nr. 2 BSIG von den §§ 30, 31, 32, 35, 36, 38, 39 BSIG ausgenommen — maßgeblich ist dort der IT-Sicherheitskatalog nach §§ 5c bis 5e EnWG; die Ausnahme greift nicht, soweit darüber hinaus weitere kritische Anlagen betrieben werden. Der frühere § 8a BSIG 2009 ist seit Inkrafttreten des BSIG 2025 am 06.12.2025 nicht mehr anwendbar.
• Konzern mit AT-Tochter: Registrierung und Aufsichtsschnittstellen laufen getrennt — in Deutschland über die gemeinsame Registrierungsmöglichkeit von BSI und BBK (§ 33 Abs. 1 BSIG), in Österreich bei der Cybersicherheitsbehörde (§ 29 Abs. 2 NISG 2026, ab 01.10.2026). Die Lieferanten-Bewertung selbst ist weitgehend wiederverwendbar (Details in den FAQ).