NIS2 im Mittelstand: Lieferkette sichern und Haftungsrisiken wirksam vermeiden

Lieferkette sichern, Haftung vermeiden: NIS2 als Führungsaufgabe im Mittelstand

Management-Zusammenfassung

NIS2 verändert die Verantwortung für Informationssicherheit im Mittelstand grundlegend. Besonders deutlich wird das in der Lieferkette. Unternehmen müssen nicht mehr nur ihre eigenen Systeme schützen, sondern auch Risiken aus Dienstleisterbeziehungen, Cloud-Nutzung, Softwarelieferungen und externen Betriebsleistungen angemessen steuern.

Für Geschäftsleitungen entsteht daraus eine klare Führungsaufgabe. Lieferkettensicherheit ist kein rein technisches Thema und auch keine reine Einkaufsaufgabe. Sie betrifft Haftung, Geschäftskontinuität, Kundenvertrauen und Wettbewerbsfähigkeit.

Viele mittelständische Unternehmen werden zudem indirekt betroffen sein. Selbst wenn sie formal nicht unmittelbar unter NIS2 fallen, können Kunden Sicherheitsnachweise, Auditierungen oder vertragliche Mindestanforderungen verlangen. Damit wird NIS2 entlang der Lieferkette weitergegeben.

Die größte Schwachstelle liegt häufig im Lieferantenaudit. Viele Unternehmen haben zwar Einkaufsprozesse, aber keine belastbare Bewertung der Informationssicherheitsrisiken ihrer kritischen Dienstleister. Selbstauskünfte und Fragebögen reichen in kritischen Geschäftsbeziehungen oft nicht mehr aus.

Der entscheidende Managementimpuls lautet: Lieferkettensicherheit muss als strategisches Risiko behandelt werden. Unternehmen benötigen eine Vertrauensarchitektur, die Lieferantenrisiken sichtbar macht, Verantwortlichkeiten klärt und Nachweise systematisch dokumentiert.

---

Lieferkettensicherheit wird zur Pflichtaufgabe

Die moderne Wertschöpfung ist vernetzt. Kaum ein mittelständisches Unternehmen betreibt heute alle kritischen Prozesse vollständig selbst. IT-Betrieb, Cloud-Plattformen, Softwarewartung, Logistik, Zahlungsdienste, externe Administration, Support, Hosting oder spezialisierte Fachanwendungen werden zunehmend durch externe Partner erbracht.

Diese Vernetzung schafft Effizienz. Gleichzeitig entstehen Abhängigkeiten, die im Sicherheitsmanagement oft nicht ausreichend sichtbar sind.

Ein Dienstleister mit administrativem Zugriff kann für ein Unternehmen sicherheitskritischer sein als viele interne Systeme. Ein Softwarelieferant kann durch eine kompromittierte Aktualisierung ganze Kundengruppen gefährden. Ein Cloud-Anbieter kann geschäftskritische Daten und Prozesse bündeln. Ein externer Supportpartner kann über Fernzugänge direkten Einfluss auf Produktions- oder Verwaltungssysteme haben.

NIS2 greift genau diese Realität auf. Die Sicherheit der Lieferkette wird zur Pflichtaufgabe. Unternehmen sollen Risiken aus unmittelbaren Lieferanten- und Dienstleisterbeziehungen berücksichtigen und geeignete Maßnahmen umsetzen.

Für die Geschäftsleitung bedeutet das: Lieferkettensicherheit gehört auf die Managementagenda. Sie ist Teil der Unternehmenssteuerung, nicht nur Teil der IT-Administration.

Ein praktisches Beispiel aus dem Mittelstand:

Ein Produktionsunternehmen nutzt einen externen Dienstleister für Wartung und Fernzugriff auf Maschinensteuerungen. Der Dienstleister ist klein, arbeitet zuverlässig und ist seit Jahren bekannt. Eine formale Sicherheitsbewertung findet jedoch nicht statt. Werden seine Zugangsdaten kompromittiert, kann der Schaden beim Produktionsunternehmen entstehen. Genau dieses Risiko muss das Management erkennen, bewerten und angemessen behandeln.

---

Welche Risiken reduziert werden: Haftung, Betriebsunterbrechung und Vertrauensverlust

Lieferkettenrisiken sind besonders kritisch, weil sie außerhalb der eigenen Organisation entstehen, ihre Auswirkungen aber das eigene Unternehmen treffen.

Wenn ein externer Dienstleister ausfällt, Daten verliert oder kompromittiert wird, interessiert es Kunden, Behörden und Geschäftspartner meist wenig, ob die Ursache intern oder extern lag. Entscheidend ist, ob das betroffene Unternehmen seine Sorgfaltspflichten erfüllt hat.

Aus Sicht der Geschäftsleitung stehen dabei mehrere Risiken im Vordergrund.

Erstens: Haftungsrisiken.
Geschäftsführer und Vorstände müssen zeigen können, dass sie angemessene organisatorische und technische Maßnahmen unterstützt haben. Dazu gehört auch, Risiken aus kritischen Dienstleisterbeziehungen nicht zu ignorieren. Wer keine Übersicht über kritische Lieferanten hat, kann im Ernstfall nur schwer nachweisen, dass Risiken angemessen gesteuert wurden.

Zweitens: Betriebsunterbrechungen.
Ein Cybervorfall beim IT-Dienstleister, Cloud-Anbieter oder Softwarepartner kann unmittelbar zu Stillstand führen. Gerade im Mittelstand können wenige Tage Ausfall erhebliche wirtschaftliche Schäden verursachen.

Drittens: Vertrags- und Kundenrisiken.
Kunden verlangen zunehmend Sicherheitsnachweise. Wer diese nicht liefern kann, verliert Ausschreibungen, Vertragsverlängerungen oder bevorzugte Lieferantenstatus.

Viertens: Reputationsrisiken.
Ein Sicherheitsvorfall in der Lieferkette beschädigt nicht nur technische Systeme, sondern auch Vertrauen. Für viele mittelständische Unternehmen ist Vertrauen ein zentraler Vermögenswert.

Fünftens: regulatorische Risiken.
NIS2 erhöht den Druck auf betroffene Unternehmen. Sicherheitsmaßnahmen, Nachweisfähigkeit und Managementverantwortung werden wichtiger. Selbst nicht unmittelbar betroffene Unternehmen geraten über Kundenanforderungen in den Wirkungsbereich.

Meine klare Einschätzung: Das größte Risiko liegt nicht im einzelnen Fragebogen oder Audit. Das größte Risiko liegt in der fehlenden Transparenz. Wer nicht weiß, welche Lieferanten kritisch sind, kann weder steuern noch nachweisen.

---

Indirekte Betroffenheit: Wenn der Kunde NIS2 weitergibt

Viele Unternehmen prüfen zunächst nur, ob sie selbst unmittelbar unter NIS2 fallen. Das ist wichtig, aber nicht ausreichend.

Im Mittelstand wird die indirekte Betroffenheit häufig der praktisch wichtigere Hebel sein.

Ein Unternehmen kann formal nicht direkt reguliert sein, aber trotzdem Sicherheitsanforderungen erfüllen müssen, weil es Lieferant eines NIS2-relevanten Kunden ist. Große Kunden, regulierte Branchen und kritische Dienstleister werden Anforderungen an ihre Lieferanten weiterreichen. Dies geschieht über Verträge, Sicherheitsfragebögen, Nachweispflichten, Audits oder Zertifizierungsanforderungen.

Das ist keine theoretische Entwicklung. Es ist ein logischer Effekt jeder Lieferkettenregulierung.

Wer Teil einer kritischen Wertschöpfungskette ist, wird auch Teil der Sicherheitsanforderungen dieser Kette.

Für mittelständische Lieferanten bedeutet das:

Sie müssen damit rechnen, dass Kunden Fragen stellen wie:

• Welche Informationssicherheitsmaßnahmen sind umgesetzt?

• Gibt es ein Informationssicherheitsmanagement?

• Wie werden Vorfälle erkannt und gemeldet?

• Wie werden Unterauftragnehmer gesteuert?

• Welche Nachweise können vorgelegt werden?

• Gibt es Auditberichte, Richtlinien oder Zertifizierungen?

• Wie werden Zugriffe geschützt?

• Wie wird die Geschäftskontinuität sichergestellt?

Diese Fragen entscheiden zunehmend darüber, ob Geschäftsbeziehungen erhalten bleiben.

Informationssicherheit wird damit zu einem Vertriebsargument. Unternehmen, die belastbare Nachweise liefern können, wirken professioneller, verlässlicher und risikoärmer.

---

Lieferantenaudit als häufigste Schwachstelle

In vielen mittelständischen Unternehmen gibt es bereits Lieferantenbewertungen. Häufig bewerten diese jedoch Preis, Qualität, Lieferfähigkeit oder kaufmännische Stabilität.

Informationssicherheit wird entweder gar nicht bewertet oder nur über einfache Selbstauskünfte abgefragt.

Das ist aus Managementsicht zu wenig.

Ein Lieferantenaudit muss nicht immer groß, teuer oder formal überladen sein. Aber es muss risikoorientiert sein. Die Intensität der Prüfung muss zur Kritikalität des Lieferanten passen.

Ein Bürobedarfslieferant benötigt in der Regel keine umfangreiche Sicherheitsprüfung. Ein IT-Dienstleister mit administrativen Rechten dagegen sehr wohl. Ein Cloud-Anbieter mit personenbezogenen Daten, ein Softwarehersteller mit automatischen Updates oder ein externer Dienstleister mit Zugang zu Produktionssystemen müssen anders behandelt werden als unkritische Lieferanten.

Die häufigsten Schwachstellen in der Praxis sind:

• keine vollständige Übersicht kritischer Dienstleister

• keine Klassifizierung nach Risiko und Kritikalität

• keine klaren Sicherheitsanforderungen in Verträgen

• keine Bewertung von Unterauftragnehmern

• keine regelmäßige Aktualisierung der Nachweise

• keine Prüfung privilegierter Zugänge

• keine nachvollziehbare Dokumentation der Entscheidungen

• keine Einbindung von Einkauf, IT, Fachbereich und Informationssicherheit

Ein wirksames Lieferantenaudit beginnt daher nicht mit einem langen Fragebogen. Es beginnt mit einer klaren Frage:

Welche Lieferanten können unser Geschäft ernsthaft gefährden?

Erst danach folgt die passende Prüftiefe.

---

Umsetzungsaufwand realistisch einschätzen

Viele Geschäftsleitungen befürchten bei NIS2 sofort große Projekte, umfangreiche Dokumentation und hohe Beratungskosten. Diese Sorge ist verständlich, aber nicht immer berechtigt.

Der Aufwand hängt stark vom Reifegrad des Unternehmens, der Anzahl kritischer Dienstleister und der vorhandenen Dokumentation ab.

Für viele mittelständische Unternehmen ist ein pragmatischer Einstieg möglich.

Der erste Schritt ist eine strukturierte Lieferantenübersicht. Danach folgt eine einfache Kritikalitätsbewertung. Anschließend werden die wichtigsten Sicherheitsanforderungen definiert und für kritische Partner Nachweise eingefordert.

Ein realistisches Vorgehen kann so aussehen:

Phase 1: Transparenz schaffen
Welche Dienstleister, Lieferanten und Partner haben Einfluss auf Verfügbarkeit, Vertraulichkeit oder Integrität wichtiger Informationen und Prozesse?

Phase 2: Kritikalität bewerten
Welche Lieferanten sind geschäftskritisch? Wer hat Zugriff auf sensible Daten? Wer besitzt administrative Rechte? Wer betreibt zentrale Systeme?

Phase 3: Anforderungen definieren
Welche Mindestanforderungen gelten für welche Risikoklasse? Welche Nachweise werden akzeptiert?

Phase 4: Nachweise einholen
Welche Zertifikate, Auditberichte, Sicherheitskonzepte, Richtlinien oder technischen Nachweise liegen vor?

Phase 5: Maßnahmen steuern
Welche Lücken müssen geschlossen werden? Welche vertraglichen Regelungen fehlen? Welche Risiken müssen durch das Management akzeptiert oder behandelt werden?

Dieser Ansatz ist überschaubar, praxisnah und anschlussfähig an bestehende Einkaufs- und Risikoprozesse.

Meine Empfehlung: Nicht mit Perfektion starten. Besser ist ein belastbarer Mindestprozess für kritische Lieferanten als ein theoretisches Zielbild, das nie umgesetzt wird.

---

Vertrauensarchitektur in der Lieferkette

Lieferkettensicherheit bedeutet nicht, jedem Partner grundsätzlich zu misstrauen.

Es geht um überprüfbares Vertrauen.

Eine moderne Vertrauensarchitektur verbindet Geschäftsbeziehungen mit nachvollziehbaren Sicherheitsanforderungen. Sie schafft Klarheit darüber, welche Partner welche Risiken mitbringen, welche Anforderungen gelten und welche Nachweise akzeptiert werden.

Dazu gehören fünf Bausteine.

Erstens: Transparenz.
Das Unternehmen kennt seine kritischen Lieferanten, Dienstleister und digitalen Abhängigkeiten.

Zweitens: Verantwortung.
Einkauf, Fachbereiche, IT, Informationssicherheit, Datenschutz, Compliance und Geschäftsleitung wissen, welche Rolle sie im Lieferantenmanagement haben.

Drittens: Standards.
Für kritische Lieferanten gelten definierte Sicherheitsanforderungen. Diese können sich an ISO 27001, BSI-Grundschutz, branchenspezifischen Anforderungen oder kundenspezifischen Vorgaben orientieren.

Viertens: Nachweise.
Sicherheit wird nicht nur behauptet, sondern belegt. Je kritischer der Lieferant, desto belastbarer müssen die Nachweise sein.

Fünftens: kontinuierliche Steuerung.
Lieferantenrisiken werden nicht einmalig bewertet und dann vergessen. Sie werden regelmäßig überprüft, bei Änderungen neu bewertet und in Managemententscheidungen einbezogen.

Gerade im Mittelstand ist diese Vertrauensarchitektur ein Wettbewerbsvorteil. Sie zeigt Kunden: Dieses Unternehmen versteht Sicherheit nicht als Pflichtübung, sondern als Bestandteil verlässlicher Geschäftsbeziehungen.

---

Welche Sofortmaßnahmen sinnvoll sind

Eine Geschäftsleitung sollte kurzfristig folgende Schritte anstoßen.

Erstens: Kritische Lieferanten identifizieren.
Es sollte klar sein, welche Dienstleister und Partner für Betrieb, Daten, Systeme, Produktion oder Kundenleistungen besonders relevant sind.

Zweitens: Zugriffe und Abhängigkeiten sichtbar machen.
Besonders wichtig sind Dienstleister mit administrativen Rechten, Fernzugängen, Cloud-Betrieb, Datenverarbeitung oder Softwareupdates.

Drittens: Mindestanforderungen festlegen.
Für kritische Lieferanten sollten verbindliche Sicherheitsanforderungen definiert werden. Dazu gehören etwa Zugriffsschutz, Vorfallmeldung, Unterauftragnehmer, Datensicherung, Schwachstellenmanagement und Notfallfähigkeit.

Viertens: Nachweise einfordern.
Zertifizierungen, Auditberichte, Sicherheitsrichtlinien, Penetrationstests, technische Nachweise oder dokumentierte Prozesse sollten risikoorientiert geprüft werden.

Fünftens: Verträge überprüfen.
Informationssicherheit, Meldepflichten, Prüfungsrechte, Unterauftragnehmer und Exit-Regelungen sollten vertraglich abgebildet sein.

Sechstens: Managemententscheidungen dokumentieren.
Nicht jedes Risiko lässt sich vollständig vermeiden. Entscheidend ist, dass Risiken bekannt sind, bewertet werden und Entscheidungen nachvollziehbar dokumentiert sind.

---

Wie eine erfolgreiche Umsetzung erreicht werden kann

Erfolgreiche Umsetzung entsteht nicht durch Aktionismus, sondern durch klare Governance.

Die Geschäftsleitung sollte das Zielbild vorgeben: Lieferkettensicherheit ist Bestandteil des unternehmerischen Risikomanagements.

Danach braucht es einen einfachen, aber verbindlichen Prozess.

Ein praktikables Modell für den Mittelstand besteht aus sieben Elementen:

1. Lieferanteninventar
   Alle relevanten Dienstleister und Lieferanten werden erfasst.

2. Kritikalitätsmodell
   Lieferanten werden nach Auswirkung auf Geschäftsprozesse, Daten, Systeme und regulatorische Anforderungen klassifiziert.

3. Mindestanforderungen
   Für jede Kritikalitätsklasse werden Sicherheitsanforderungen definiert.

4. Nachweisverfahren
   Es wird festgelegt, welche Nachweise akzeptiert werden und wie diese bewertet werden.

5. Vertragsintegration
   Sicherheitsanforderungen werden in neue und bestehende Verträge eingebunden.

6. Regelmäßige Überprüfung
   Kritische Lieferanten werden wiederkehrend geprüft.

7. Managementreporting
   Wesentliche Risiken, offene Maßnahmen und akzeptierte Restrisiken werden an die Geschäftsleitung berichtet.

Wichtig ist die Integration in bestehende Prozesse. Lieferkettensicherheit sollte nicht als separates Sonderprojekt neben Einkauf, IT und Compliance laufen. Sie muss dort verankert werden, wo Lieferanten ausgewählt, beauftragt und gesteuert werden.

Das ist der entscheidende Unterschied zwischen Papier-Compliance und wirksamer Sicherheit.

---

Fazit: NIS2 macht Lieferkettensicherheit zur Chefsache

NIS2 verschiebt den Blick auf Informationssicherheit. Nicht mehr nur das eigene Unternehmen steht im Fokus, sondern die gesamte digitale Wertschöpfungskette.

Für mittelständische Unternehmen ist das eine Herausforderung, aber auch eine Chance.

Wer seine Lieferkette kennt, Risiken bewertet und Nachweise strukturiert steuert, reduziert nicht nur Cyberrisiken. Er stärkt auch Haftungssicherheit, Kundenvertrauen und Wettbewerbsfähigkeit.

Die eigentliche Botschaft an die Geschäftsleitung lautet:

Lieferkettensicherheit ist keine zusätzliche Bürokratie. Sie ist moderne Unternehmensführung.

Unternehmen, die heute eine belastbare Vertrauensarchitektur aufbauen, werden morgen resilienter, glaubwürdiger und attraktiver für anspruchsvolle Kunden sein.

NIS2 sollte deshalb nicht als regulatorischer Druck verstanden werden, sondern als Impuls, die eigene Lieferkette professioneller, sicherer und zukunftsfähiger zu gestalten.