Veröffentlicht: 6. August 2026.
Kurze Antwort: nicht automatisch. In der Praxis ist die Lage jedoch etwas komplexer und hängt davon ab, ob der Lieferant selbst vom Gesetz erfasst ist.
Zwei Situationen
1. Der Lieferant fällt selbst unter NIS2
Ist der Lieferant zum Beispiel ein Cloud-Anbieter oder Telekommunikationsbetreiber im Anwendungsbereich der Richtlinie, muss er die NIS2-Anforderungen unabhängig davon erfüllen, mit wem er Geschäfte macht.
2. Der Lieferant unterliegt NIS2 nicht
Ist er nicht vom Gesetz erfasst, hat er keine unmittelbare gesetzliche Pflicht. NIS2 verlangt jedoch von den verpflichteten Organisationen, auf die Sicherheit ihrer Lieferkette zu achten. Das bedeutet, dass sie von ihren Lieferanten häufig Folgendes verlangen werden:
- MFA (Multi-Faktor-Authentifizierung)
- Backups und Wiederherstellungspläne
- Verfahren zur Reaktion auf Vorfälle
- Sicherheitsrichtlinien
- Bestimmte Zertifikate oder Nachweise über Sicherheitsmaßnahmen
- Das Recht auf Sicherheitsprüfungen
Die einfachste Erklärung
NIS2 verpflichtet Lieferanten nicht automatisch, aber deren Kunden, die von Lieferanten ausgehenden Risiken zu managen.
Wenn Sie IT-/Sicherheitsdienstleister sind und ein Kunde von Ihnen einen Compliance-Nachweis verlangt, fordern Sie eine kostenlose Beratung an, um zu erfahren, was Sie konkret vorbereiten müssen.