Lieferanten-Onboarding nach NIS2: Was verlangt § 30 BSIG zur Lieferkette?

Das BSI-Gesetz in der Fassung des Gesetzes zur Umsetzung der NIS-2-Richtlinie (BGBl. 2025 I Nr. 301) unterscheidet besonders wichtige und wichtige Einrichtungen (§ 28 BSIG). Maßgeblich sind die Einrichtungsart nach den Anlagen 1 und 2 – etwa Energie, Transport und Verkehr, Finanzwesen, Post- und Kurierdienste oder das verarbeitende Gewerbe – und die Größe.

Besonders wichtig ist eine Einrichtung der Anlage 1 ab 250 Beschäftigten oder ab mehr als 50 Mio. € Jahresumsatz und zugleich mehr als 43 Mio. € Bilanzsumme. Wichtig ist eine Einrichtung der Anlagen 1 oder 2 ab 50 Beschäftigten oder ab jeweils mehr als 10 Mio. € Umsatz und Bilanzsumme. Einige Einrichtungen, etwa Betreiber kritischer Anlagen, fallen unabhängig von ihrer Größe darunter.

Lieferanten müssen nicht selbst unter das Gesetz fallen, um die Folgen zu spüren: Ihre Kunden müssen die Sicherheit der Lieferbeziehung belegen und geben die Anforderungen deshalb an sie weiter.

§ 30 Abs. 2 zählt zehn Maßnahmen auf, die mindestens zum Risikomanagement gehören. Nummer 4 nennt die Sicherheit der Lieferkette einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Nummer 5 ergänzt Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung, einschließlich des Managements und der Offenlegung von Schwachstellen.

Die Richtlinie (EU) 2022/2555 wird an dieser Stelle konkreter: Nach Art. 21 Abs. 3 berücksichtigen die Einrichtungen die spezifischen Schwachstellen jedes unmittelbaren Anbieters sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter. Im deutschen Gesetzestext steht dieser Absatz nicht wörtlich; die Gesetzesbegründung (BT-Drucksache 21/1501) greift ihn bei § 30 auf.

Aus dem Gesetz folgt kein fester Fragenkatalog. Bewährt haben sich vier Schritte: Lieferanten nach Kritikalität einstufen (Welche Daten, Systeme und Prozesse berühren sie?), Mindestanforderungen je Stufe festlegen, die Erfüllung anhand von Nachweisen prüfen und das Ergebnis so ablegen, dass es bei einer Prüfung vorgelegt werden kann.

Typische Anforderungen betreffen den Zugangsschutz wie Mehr-Faktor-Authentisierung, Verschlüsselung, Schwachstellen- und Patch-Management, Notfallvorsorge, Meldewege bei Sicherheitsvorfällen und Zertifizierungen wie ISO/IEC 27001. Verarbeitet der Lieferant personenbezogene Daten im Auftrag, kommt der Vertrag nach Art. 28 DSGVO hinzu.

Die Prüfung ist keine einmalige Sache: Zertifikate laufen ab, Unterauftragnehmer wechseln, Anforderungen ändern sich. Wiederkehrende Kontrollen gehören deshalb zum Risikomanagement.

Betroffene Einrichtungen müssen sich nach § 33 BSIG spätestens drei Monate, nachdem sie erstmals als Einrichtung gelten, beim BSI registrieren. Für Einrichtungen, die schon beim Inkrafttreten betroffen waren, ist diese Frist nach Angaben des BSI abgelaufen; die Registrierung ist nachzuholen.

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG) und regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG).

Verstöße gegen § 30 können nach § 65 BSIG mit Geldbußen bis zu 10 Mio. € bei besonders wichtigen und bis zu 7 Mio. € bei wichtigen Einrichtungen geahndet werden. Bei einem weltweiten Jahresumsatz von mehr als 500 Mio. € liegt die Obergrenze bei 2 % bzw. 1,4 % dieses Umsatzes.

Vendo4u bildet die Anforderungen nicht als Fragebogen je Kunde ab, sondern als gemeinsamen Katalog: Lieferanten hinterlegen ihre Angaben zu Informationssicherheit, Datenschutz und Betriebskontinuität einmal und belegen sie mit Dokumenten am jeweiligen Kriterium. Einkäufer filtern nach ihren Mindestanforderungen, vergleichen Lieferanten und exportieren das Profil samt Nachweisen für die eigene Dokumentation.

Die Pflicht zur Bewertung bleibt bei der Einrichtung. Vendo4u liefert die einheitliche, nachvollziehbare Grundlage dafür.