Veröffentlicht: 6. August 2026.
Nein. Sie sind verpflichtet, die von Ihren Lieferanten ausgehenden Risiken zu bewerten — nicht, von allen das gleiche Compliance-Niveau zu verlangen.
Der Grundsatz der Verhältnismäßigkeit
Je wichtiger ein Lieferant für Ihr Geschäft ist — Cloud-Anbieter, Hosting, MSP, IT-Support —, desto mehr Sicherheitsmaßnahmen werden Sie von ihm verlangen. NIS2 wendet den Grundsatz an: Die Anforderungen müssen dem Risiko angemessen sein.
Ein konkretes Beispiel: Die Firma, die Ihre Server wartet, muss deutlich strengere Anforderungen erfüllen als die Firma, die Ihnen Büromaterial liefert. Die erste hat direkten Zugang zu Ihren kritischen Systemen, die zweite gar keinen.
Wie das in der Praxis aussieht
Statt einer einheitlichen Anforderungsliste für alle Lieferanten erstellen Sie für jeden eine Bewertung auf Grundlage folgender Punkte:
- Wie viel Zugang er zu Ihren Systemen oder Daten hat
- Wie stark sich sein Ausfall auf Ihr Geschäft auswirken würde
- Ob er sensible oder kritische Daten verarbeitet
Die einfachste Erklärung
Sie müssen nicht alle Lieferanten gleich behandeln — bewerten Sie das Risiko jedes einzelnen und verlangen Sie diesem Risiko angemessene Maßnahmen.
Wenn Sie Hilfe bei der Risikobewertung der Lieferkette benötigen, fordern Sie eine kostenlose Beratung an.