NIS2-Lieferkette: Anforderungen an Dienstleister nach § 30 BSIG

Kaum ein NIS2-Thema wird so frei ausgelegt wie die Lieferkette. Im Umlauf sind seitenlange Fragebögen, Zertifikatspflichten für jeden Zulieferer und Vertragsklauseln, die die eigenen Pflichten an den Dienstleister durchreichen. Im Gesetz steht dazu ein einziger Halbsatz: § 30 Abs. 2 Satz 2 Nr. 4 BSIG. Dieser Beitrag trennt, was dieser Halbsatz verlangt, was die NIS-2-Richtlinie als Prüfmaßstab ergänzt und was verbreitete Praxis ohne Normgrundlage ist. Für eine Gruppe von Einrichtungen — Cloud, Rechenzentrum, CDN, MSP, MSSP, DNS und weitere — fällt die Antwort allerdings völlig anders aus: Für sie gilt die Durchführungsverordnung (EU) 2024/2690 vorrangig, und die ist sehr konkret.

Was § 30 Abs. 2 Satz 2 Nummer 4 BSIG verlangt

§ 30 Abs. 2 Satz 2 BSIG zählt zehn Maßnahmen auf, die Risikomanagementmaßnahmen zumindest umfassen müssen. Nummer 4 lautet im Wortlaut: Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.

Adressat ist § 30 Abs. 1 Satz 1 BSIG: besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Pflicht trifft Ihre Einrichtung, nicht Ihren Dienstleister — eine Vorschrift, die einen Anbieter allein wegen der Belieferung einer betroffenen Einrichtung verpflichtet, enthält das BSIG nicht.

Wie weit die Maßnahme reichen muss, entscheidet der Verhältnismäßigkeitsmaßstab des § 30 Abs. 1 Satz 2 BSIG: Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen samt ihren gesellschaftlichen und wirtschaftlichen Auswirkungen. Satz 3 ergänzt: Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren. Eine nur im Kopf getroffene Anbieterbewertung erfüllt die Pflicht nicht nachweisbar.

Wie weit die Kette reicht — und wann der Anbieter selbst betroffen ist

Der Wortlaut nennt unmittelbare Anbieter oder Diensteanbieter. Anknüpfungspunkt ist die direkte Beziehung, nicht die vollständige Tiefe der Kette. Eine Vorschrift, die eine Prüfung der Subunternehmer Ihres Subunternehmers verlangt, enthält Nummer 4 nicht.

Unabhängig davon kann Ihr Anbieter selbst unter das BSIG fallen — dann hat er eigene Pflichten, die Sie nicht vertraglich erzeugen müssen. Anlage 1 BSIG führt im Sektor 6 „Digitale Infrastruktur“ unter den Nummern 6.1.10 und 6.1.11 ausdrücklich Managed Services Provider und Managed Security Services Provider auf.

Rechnen Sie die Schwellen nicht nach der Lohnbuchhaltung: § 28 Abs. 4 Satz 1 BSIG verweist auf die Empfehlung der Kommission 2003/361/EG mit Ausnahme von Artikel 3 Absatz 4 des Anhangs. § 28 Abs. 5 und 6 BSIG nehmen zudem die dort bezeichneten Einrichtungen von § 30 BSIG aus, darunter Telekommunikationsanbieter und Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554. Den Prüfweg für die eigene Einstufung beschreibt der NIS2-Betroffenheits-Check.

Der Prüfmaßstab: was bei der Auswahl zu berücksichtigen ist

Für die meisten Einrichtungen sagt § 30 BSIG, dass die Lieferkette Teil der Maßnahmen sein muss, aber nicht, woran ein Anbieter zu messen ist. Diese Lücke füllt die Richtlinie, die § 30 BSIG umsetzt. Artikel 21 Absatz 3 der Richtlinie (EU) 2022/2555 verlangt von den Mitgliedstaaten sicherzustellen, dass Einrichtungen bei der Erwägung geeigneter Maßnahmen nach Artikel 21 Absatz 2 Buchstabe d berücksichtigen:

• die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter,
• die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse,
• die Ergebnisse der koordinierten Risikobewertungen in Bezug auf die Sicherheit kritischer Lieferketten nach Artikel 22 Absatz 1 der Richtlinie, die die Kooperationsgruppe zusammen mit der Kommission und der ENISA für bestimmte kritische IKT-Dienste, IKT-Systeme oder IKT-Produkte durchführen kann.

Eine Einordnung gehört dazu: Artikel 21 Absatz 3 richtet sich an die Mitgliedstaaten, und § 30 BSIG hat ihn nicht im gleichen Wortlaut übernommen. Als Katalog dessen, was eine Anbieterbewertung inhaltlich abdecken sollte, ist er trotzdem der belastbarste vorhandene Text.

Für eine Gruppe von Einrichtungen gilt das alles jedoch nicht — für sie ist die Rechtslage sehr viel konkreter. § 30 Abs. 3 BSIG gibt dem Durchführungsrechtsakt der Europäischen Kommission nach Artikel 21 Absatz 5 Unterabsatz 1 der NIS-2-Richtlinie ausdrücklich Vorrang, und zwar für DNS-Diensteanbieter, Top Level Domain Name Registries, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter. Dieser Rechtsakt ist die Durchführungsverordnung (EU) 2024/2690 vom 17. Oktober 2024; nach ihrem Artikel 16 ist sie in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Ihr Anhang Nummer 5 trägt die Überschrift Sicherheit der Lieferkette und verlangt von diesen Einrichtungsarten deutlich mehr als einen Halbsatz:

• Nummer 5.1.1 — ein Konzept für die Sicherheit der Lieferkette, das die Beziehungen zu den direkten Anbietern und Diensteanbietern regelt.
• Nummer 5.1.2 — festgelegte Kriterien für die Auswahl von Anbietern und die Auftragsvergabe: die Cybersicherheitsverfahren der Anbieter einschließlich der Sicherheit ihrer Entwicklungsprozesse, ihre Fähigkeit, die eigenen Cybersicherheitsspezifikationen zu erfüllen, die allgemeine Qualität und Resilienz der IKT-Produkte und -Dienste sowie die Fähigkeit, die Versorgungsquellen zu diversifizieren.
• Nummer 5.1.4 — Festlegungen in den Verträgen, soweit angemessen: Cybersicherheitsanforderungen, Anforderungen an Sensibilisierung, Qualifikation und Ausbildung der Mitarbeitenden, Zuverlässigkeitsüberprüfungen, eine Pflicht des Anbieters zur unverzüglichen Meldung von Sicherheitsvorfällen, das Recht auf Prüfung oder auf Erhalt von Prüfberichten, eine Pflicht zur Behebung von Schwachstellen, Anforderungen an die Unterauftragsvergabe und Pflichten bei Vertragskündigung.
• Nummer 5.2 — ein laufend aktuelles Verzeichnis der direkten Anbieter und Diensteanbieter mit Kontaktstellen und den bereitgestellten IKT-Produkten, -Diensten und -Prozessen.

Prüfen Sie deshalb zuerst, ob Ihre Einrichtung zu den Arten des § 30 Abs. 3 BSIG gehört. Wenn ja, ist der Prüfmaßstab die Verordnung, und Auswahlkriterien, Vertragsklauseln, Prüfrecht und Anbieterverzeichnis sind Pflicht, nicht Kür. Für alle übrigen besonders wichtigen und wichtigen Einrichtungen bleibt es beim Wortlaut des § 30 BSIG und beim Verhältnismäßigkeitsmaßstab des Absatzes 1.

Eine Zertifizierungspflicht kennt das BSIG nur bedingt: Nach § 30 Abs. 6 BSIG dürfen besonders wichtige und wichtige Einrichtungen bestimmte IKT-Produkte, IKT-Dienste und IKT-Prozesse durch Rechtsverordnung nach § 56 Abs. 3 BSIG nur verwenden, wenn diese über eine Cybersicherheitszertifizierung nach Artikel 49 der Verordnung (EU) 2019/881 verfügen. Ohne solche Rechtsverordnung gibt es keine allgemeine Zertifikatspflicht für Ihre Anbieter.

Vom Anbieterverzeichnis zum dokumentierten Ergebnis

Was in den Vertrag gehört, entscheidet damit nicht das BSIG, sondern Ihre Bewertung — mit der Ausnahme des § 30 Abs. 3 BSIG, für dessen Einrichtungsarten Anhang Nummer 5.1.4 der Durchführungsverordnung (EU) 2024/2690 die Vertragsinhalte vorgibt.

Eine gesetzliche Teilabdeckung gibt es daneben, aber nur für Bedrohungen, nicht für Vorfälle. § 35 Abs. 2 Satz 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen unter anderem aus den Sektoren digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste, den potenziell betroffenen Empfängern ihrer Dienste und dem Bundesamt unverzüglich die Maßnahmen mitzuteilen, die diese Empfänger als Reaktion auf eine erhebliche Cyberbedrohung ergreifen können. Nach Satz 2 informieren sie zugleich diese Empfänger über die Bedrohung selbst — das Bundesamt nennt Satz 2 nicht. Satz 3 begrenzt beides auf Fälle, in denen bei einer Abwägung die Interessen des Empfängers überwiegen.

Den erheblichen Sicherheitsvorfall beim Anbieter deckt diese Vorschrift nicht ab: § 2 Nr. 10 BSIG definiert die erhebliche Cyberbedrohung, § 2 Nr. 11 BSIG getrennt davon den erheblichen Sicherheitsvorfall, und § 35 Abs. 2 BSIG knüpft nur an die Bedrohung an. Streichen Sie die Meldeklausel für den Vorfall also nicht mit dem Hinweis auf § 35 Abs. 2 BSIG — sie bleibt der verlässlichste Weg, und für die Einrichtungsarten des § 30 Abs. 3 BSIG schreibt Anhang Nummer 5.1.4 Buchstabe d der Verordnung (EU) 2024/2690 sie ohnehin vor.

Wenn beim Dienstleister etwas passiert

Von sich aus löst ein Vorfall beim Anbieter keine Meldung an Sie aus. Einen Weg kennt das BSIG allerdings: Nach § 35 Abs. 1 Satz 1 BSIG kann das Bundesamt besonders wichtigen und wichtigen Einrichtungen anordnen, die Empfänger ihrer Dienste unverzüglich über einen erheblichen Sicherheitsvorfall zu unterrichten, der die Erbringung des jeweiligen Dienstes beeinträchtigen könnte; nach Satz 3 kann diese Unterrichtung auch durch eine Veröffentlichung auf der Internetseite der Einrichtung erfolgen. Das setzt eine Anordnung voraus, geschieht nicht automatisch und erreicht Sie unter Umständen nur über eine Webseite. Darauf planen lässt sich nicht. Maßgeblich bleibt Ihre eigene Lage: Erfüllt das Geschehen die Merkmale des erheblichen Sicherheitsvorfalls nach § 2 Nr. 11 BSIG in Bezug auf Ihre Einrichtung, greifen Ihre Meldepflichten — Stufen und Inhalte stehen in NIS2-Meldung in 24 Stunden. Praktische Folge, die keine Norm vorschreibt, aber jede Fristenrechnung nahelegt: Läuft Ihre erste Meldung 24 Stunden nach Kenntniserlangung ab, muss die Information des Anbieters deutlich früher da sein.

Der Bußgeldrahmen hängt an der Maßnahme, nicht an der Lieferkette im Besonderen. § 65 Abs. 2 Nr. 2 BSIG erfasst, wer entgegen § 30 Abs. 1 Satz 1 BSIG eine dort genannte Maßnahme nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift; Nummer 3 erfasst die fehlende Dokumentation. Der Regelrahmen dafür reicht nach § 65 Abs. 5 Satz 1 Nr. 1 BSIG bis zu zehn Millionen Euro bei besonders wichtigen und bis zu sieben Millionen Euro bei wichtigen Einrichtungen; ab einem Gesamtumsatz von über 500 Millionen Euro treten nach § 65 Abs. 6 und 7 BSIG umsatzbezogene Obergrenzen von 2 beziehungsweise 1,4 Prozent des Gesamtumsatzes an ihre Stelle. Das sind Höchstbeträge, keine Regelbeträge.

Zuständig für Umsetzung und Überwachung bleibt die Geschäftsleitung: § 38 Abs. 1 BSIG verpflichtet sie, die Maßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Die Lieferkettenmaßnahme ist eine davon; was daraus für die persönliche Verantwortung folgt, steht in Geschäftsführerhaftung nach § 38 BSIG.

RegelWerk deckt davon den vorderen Teil ab: Es führt eine Einstufung aus Sektorgruppe und Größe und leitet eine abhakbare Pflichten-Roadmap mit Horizonten wie sofort, 30, 60 oder 90 Tagen, laufend oder jährlich ab. Ein Anbieterverzeichnis, eine Kritikalitätsbewertung je Anbieter oder eine Ablage für Prüfergebnisse gehören nicht dazu; einen einzelnen Anbieter oder einen Vertrag bewertet es nicht, und eine Rechtsberatung ersetzt es nicht. Einen Berührungspunkt zur Lieferkette hat es dennoch, am unerwarteten Ende: Ergibt die Einstufung, dass Ihr Sektor keiner Einrichtungsart der Anlagen 1 und 2 zuzuordnen ist, weist RegelWerk darauf hin, dass Kunden aus kritischen Sektoren NIS2-Nachweise zunehmend in der Lieferkette verlangen, und setzt einen optionalen Punkt für eine freiwillige Basis-Dokumentation auf die Roadmap. Genau das ist die Lage vieler Zulieferer: formell nicht betroffen, faktisch im Fragebogen. Welche Maßnahmen dabei abgefragt werden, ordnet die Roadmap der NIS2-Pflichten.

Häufige Fragen

Was verlangt NIS2 in der Lieferkette?

§ 30 Abs. 2 Satz 2 Nr. 4 BSIG verlangt, dass die Risikomanagementmaßnahmen die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern umfassen. Verpflichtet ist die besonders wichtige oder wichtige Einrichtung selbst, nicht der Anbieter.

Muss ich alle Lieferanten prüfen oder nur die direkten?

Der Wortlaut des § 30 Abs. 2 Satz 2 Nr. 4 BSIG knüpft an unmittelbare Anbieter oder Diensteanbieter an, also an die direkte Beziehung. Eine eigenständige Prüfung der Subunternehmer Ihrer Anbieter verlangt die Nummer nicht. Anders liegt es, wenn Ihre Einrichtung zu den Arten des § 30 Abs. 3 BSIG gehört, darunter Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider und DNS-Diensteanbieter: Für sie hat die Durchführungsverordnung (EU) 2024/2690 Vorrang, und deren Anhang Nummer 5.1.4 Buchstabe g verlangt, dass der Vertrag mit dem direkten Anbieter Anforderungen an die Unterauftragsvergabe regelt. Wie tief Sie im Übrigen prüfen, richtet sich nach den Verhältnismäßigkeitskriterien des § 30 Abs. 1 Satz 2 BSIG.

Muss mein IT-Dienstleister nach NIS2 zertifiziert sein?

Nein, eine allgemeine Zertifizierungspflicht für Dienstleister gibt es nicht. § 30 Abs. 6 BSIG lässt eine Pflicht zur Verwendung zertifizierter IKT-Produkte, IKT-Dienste und IKT-Prozesse nur zu, soweit eine Rechtsverordnung nach § 56 Abs. 3 BSIG dies bestimmt. Ein ISO-27001-Zertifikat als Zulassungsvoraussetzung ist eine unternehmerische Entscheidung, keine gesetzliche Vorgabe.

Fällt mein Dienstleister selbst unter NIS2?

Das hängt von Einrichtungsart und Größe ab. Managed Services Provider und Managed Security Services Provider stehen in Anlage 1 BSIG unter den Nummern 6.1.10 und 6.1.11; als wichtige Einrichtung gelten sie nach § 28 Abs. 2 Nr. 3 BSIG ab mindestens 50 Mitarbeitern oder ab einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro. Ab mindestens 250 Mitarbeitern oder ab über 50 Millionen Euro Jahresumsatz und zudem über 43 Millionen Euro Jahresbilanzsumme rücken sie nach § 28 Abs. 1 Nr. 4 BSIG in die Kategorie der besonders wichtigen Einrichtung auf; § 28 Abs. 2 Satz 2 BSIG nimmt besonders wichtige Einrichtungen von den wichtigen Einrichtungen ausdrücklich aus. Qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter gelten nach § 28 Abs. 1 Nr. 2 BSIG ohne Größenschwelle als besonders wichtige Einrichtung.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall — wenden Sie sich dafür an fachkundige Beratung.