Computer-Security durch die Cloud

In den Postfächern mittelständischer Zulieferer liegen seit dem Frühjahr 2026 Fragebögen, die es dort vorher nicht gab: 40 bis 80 Fragen zu Patch-Zyklen, Backup-Tests, Notfallplänen und Zugriffsrechten, versehen mit einer Rücklauffrist und dem Hinweis, dass die Antwort in die Lieferantenbewertung eingeht. Absender ist nicht das BSI. Absender ist der größte Kunde.

Das ist kein Übereifer der Einkaufsabteilung, sondern der vom Gesetzgeber vorgesehene Mechanismus. Das deutsche NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz neu gefasst. Eine der zehn Mindestmaßnahmen darin betrifft nicht das eigene Haus, sondern die Lieferanten. Weil sie ausschließlich das regulierte Unternehmen bindet, wandert sie über Verträge weiter — bis zu Betrieben, die vom BSIG selbst nie erfasst werden.

Die Norm, um die es geht: § 30 Absatz 2 Nummer 4 BSIG

Das BSI-Gesetz in der Fassung vom 6. Dezember 2025 verpflichtet besonders wichtige und wichtige Einrichtungen in § 30 Absatz 1 zu „geeigneten, verhältnismäßigen und wirksamen“ technischen und organisatorischen Maßnahmen. Absatz 2 zählt zehn Bereiche auf, die diese Maßnahmen mindestens umfassen müssen. Nummer 4 lautet wörtlich: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“.

Bemerkenswert ist, was dort nicht steht. Die Norm nennt keine Zertifikate, keine Fragebogenlänge, keine Auditfrequenz und keinen Mindeststandard, den ein Lieferant erfüllen müsste. Sie beschreibt ein Ergebnis — die Lieferantenbeziehung muss sicherheitstechnisch beherrscht sein — und überlässt den Weg dorthin dem verpflichteten Unternehmen. Genau diese Offenheit ist der Grund, warum die Fragebögen von Kunde zu Kunde so unterschiedlich ausfallen, und warum es keine Liste gibt, die ein Zulieferer einmal abarbeiten und dann als erledigt betrachten könnte.

Der Kreis endet bei den unmittelbaren Anbietern

Der Gesetzeswortlaut begrenzt die Pflicht auf „unmittelbare Anbieter oder Diensteanbieter“. Gemeint ist die erste Stufe: Wer direkt an die regulierte Einrichtung liefert oder für sie Dienstleistungen erbringt, fällt darunter. Vorlieferanten der zweiten und dritten Stufe erfasst § 30 Absatz 2 Nummer 4 BSIG nicht.

Praktisch bedeutet das etwas anderes, als es zunächst klingt. Die Pflicht endet zwar auf Stufe eins, doch jeder Zulieferer auf Stufe eins hat selbst Zulieferer — und sobald er die Anforderung des Auftraggebers vertraglich zusagt, muss er sie an die eigene Kette weiterreichen, um sie halten zu können. Der Effekt ist eine Kaskade, die das Gesetz nicht anordnet, die der Vertrag aber erzeugt. Wer als Auftraggeber pauschal „die gesamte Lieferkette“ verlangt, fordert deshalb mehr, als ihn selbst bindet. Das ist der erste Punkt, an dem sich eine Klausel nachverhandeln lässt.

Direkt betroffen, mittelbar betroffen — der Unterschied im Alltag

Ob ein Unternehmen selbst reguliert ist, entscheidet § 28 BSIG. Besonders wichtige Einrichtungen sind unter anderem Betreiber kritischer Anlagen sowie Unternehmen der Sektoren aus Anlage 1 mit mindestens 250 Beschäftigten oder über 50 Millionen Euro Jahresumsatz und über 43 Millionen Euro Bilanzsumme. Wichtige Einrichtungen sind Unternehmen der Sektoren aus Anlage 1 und 2 ab 50 Beschäftigten oder über 10 Millionen Euro Umsatz und Bilanzsumme.

Ein Zulieferer mit 40 Beschäftigten in einem nicht gelisteten Sektor fällt durch beide Raster. Er muss sich nicht beim BSI registrieren, keine Vorfälle melden und kein Risikomanagement nach § 30 BSIG dokumentieren. Bekommt er den Fragebogen trotzdem, ist das kein Irrtum: Er wird nicht als Normadressat angesprochen, sondern als Risikofaktor im Risikomanagement eines anderen.

Was ein Auftraggeber verlangen darf

Weil das Gesetz keinen Katalog vorgibt, entsteht der zulässige Umfang aus dem Zweck der Norm: Der Auftraggeber muss belegen können, dass er die Sicherheitsrisiken aus dieser konkreten Lieferbeziehung kennt und steuert. Alles, was diesem Nachweis dient, ist grundsätzlich verhandelbar. Alles, was darüber hinausgeht, braucht eine eigene Begründung.

Wo die Überwälzung unzulässig wird: § 307 BGB gilt auch im B2B

Sicherheitsklauseln stehen fast immer in vorformulierten Lieferbedingungen und sind damit Allgemeine Geschäftsbedingungen. Nach § 310 Absatz 1 BGB entfallen gegenüber Unternehmern zwar die Klauselverbote der §§ 308 Nummer 1 und 2 bis 9 sowie 309 — die Inhaltskontrolle nach § 307 Absatz 1 und 2 BGB bleibt jedoch anwendbar. Unwirksam ist danach, was den Vertragspartner „entgegen den Geboten von Treu und Glauben unangemessen benachteiligt“; eine unangemessene Benachteiligung ist im Zweifel anzunehmen, wenn die Klausel wesentliche Vertragspflichten so einschränkt, dass der Vertragszweck gefährdet wird.

Die praktische Konsequenz ist unspektakulär: Eine Klausel, die dem Zulieferer pauschal das Bußgeldrisiko des Auftraggebers aufbürdet, überträgt eine höchstpersönliche öffentlich-rechtliche Verantwortung, die nach § 38 BSIG ausdrücklich bei der Geschäftsleitung der regulierten Einrichtung liegt. Wer solche Klauseln formuliert, kauft sich Rechtsunsicherheit statt Sicherheit ein.

Nicht dasselbe: LkSG, CSDDD und die IT-Sicherheit

Eine Verwechslung taucht in Ausschreibungsunterlagen regelmäßig auf: Lieferkettenanforderungen aus dem Lieferkettensorgfaltspflichtengesetz werden mit denen aus dem BSIG in einen Abschnitt geschrieben. Beide Regelwerke haben mit IT-Sicherheit jedoch nur eines gemein — das Wort „Lieferkette“. Das LkSG schützt nach § 2 menschenrechtliche und umweltbezogene Rechtspositionen: Kinderarbeit, Zwangsarbeit, Arbeitsschutz, bestimmte Umweltbelange. Cybersicherheit kommt darin nicht vor.

Beim LkSG ist zusätzlich der Vollzug in Bewegung: Das BAFA prüft seit dem 1. Oktober 2025 keine Unternehmensberichte mehr und verhängt Bußgelder nur noch bei besonders gravierenden Verstößen. Der Gesetzestext selbst enthält die Berichtspflicht des § 10 LkSG dagegen weiterhin. Wer beides gleichsetzt, argumentiert an der Rechtslage vorbei — geändert hat sich die Vollzugspraxis, nicht das Gesetz.

Kein Bußgeld für Zulieferer — dafür kein Auftrag

Hier liegt die eigentliche Pointe der Regelung. Der Sanktionskatalog des § 65 BSIG richtet sich ausschließlich gegen die regulierte Einrichtung: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Gesamtumsatzes bei besonders wichtigen, bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen. Ein Zulieferer außerhalb des Anwendungsbereichs steht in diesem Katalog nicht. Er kann die Fragebögen ignorieren, ohne dass eine Behörde reagiert.

Die Reaktion kommt stattdessen aus dem Einkauf. Ein Auftraggeber, der die Sicherheitslage eines Lieferanten nicht belegen kann, hat an dieser Stelle eine Lücke in der eigenen Dokumentationspflicht nach § 30 Absatz 1 Satz 3 BSIG. Die billigste Art, diese Lücke zu schließen, ist der Wechsel des Lieferanten. Die Anforderung wird damit nicht durch Aufsicht durchgesetzt, sondern durch Vergabeentscheidungen — und die fallen ohne Anhörung, ohne Bescheid und ohne Rechtsmittel.

Verhältnismäßigkeit ist ein Verhandlungsargument

§ 30 Absatz 1 Satz 2 BSIG nennt die Kriterien, an denen sich der Aufwand bemisst: Ausmaß der Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen. Diese Kriterien binden den Auftraggeber bei seinen eigenen Maßnahmen — und sie sind das sachliche Argument gegen Anforderungen, die zum Auftrag nicht passen.

Eine Modellrechnung verdeutlicht den Hebel. Angenommen, ein Zulieferer mit 40 Beschäftigten bedient sechs regulierte Kunden, jeder schickt einen eigenen Fragebogen, und jede Beantwortung samt Belegsammlung kostet drei Arbeitstage: Das sind 18 Personentage im Jahr, ohne dass sich am tatsächlichen Sicherheitsniveau etwas ändert. Wer stattdessen einmal ein belastbares Sicherheitsdossier aufbaut — Asset-Liste, Berechtigungskonzept, Backup-Nachweis, Meldeweg, Schulungsnachweis — beantwortet damit den größten Teil aller sechs Fragebögen. Der Aufwand verschiebt sich von der Wiederholung zur Substanz.

Der blinde Fleck der Auftraggeber: sammeln statt bewerten

Auf der anderen Seite entsteht ein Fehler, der erst in der Prüfung auffällt. Viele Auftraggeber sammeln ausgefüllte Fragebögen in einem Ordner und halten die Pflicht damit für erfüllt. § 30 Absatz 2 Nummer 6 BSIG verlangt jedoch ausdrücklich Konzepte und Verfahren zur Bewertung der Wirksamkeit — ein unausgewerteter Rücklauf ist kein Risikomanagement, sondern Ablage.

Wer die NIS2-Anforderungen an die Lieferkette gegenüber zwanzig oder fünfzig Zulieferern gleichzeitig durchsetzen muss, stößt mit Tabellen schnell an Grenzen: Der Rücklauf ist unvollständig, die Antworten sind nicht vergleichbar, und niemand sieht, welcher Zulieferer sich seit dem letzten Jahr verschlechtert hat. Plattformen, mit denen sich die Sicherheitslage der eigenen Lieferanten bewerten lässt, setzen genau dort an — bei frag.hugo etwa über ein Self-Assessment mit 50 Fragen, aus dem ein Score von A bis F entsteht, den der Zulieferer gegenüber allen Auftraggebern verwenden kann. Ein solches Werkzeug ersetzt weder eine Zertifizierung noch die eigene Risikobewertung; es macht den Rücklauf lediglich vergleichbar und wiederverwendbar.

Was die Anforderung nicht leistet — und wann sie kommt

Ein Compliance-Score, ein Fragebogen und eine unterschriebene Sicherheitsanlage sagen nichts über die tatsächliche Widerstandsfähigkeit eines Betriebs aus. Sie dokumentieren einen Selbstauskunftsstand zu einem Stichtag. Kein Instrument dieser Art ersetzt eine Zertifizierung nach ISO/IEC 27001, die nur eine akkreditierte Stelle vergeben darf, und keines ersetzt die Prüfung der Klauseln durch eine Anwaltskanzlei.

Der Zeitpunkt, zu dem Zulieferer die Frage üblicherweise das erste Mal ernst nehmen, ist die Vertragsverlängerung — und damit meist zu spät für eine Verhandlung. Sinnvoller ist der umgekehrte Weg.

1. Kundenliste sichten Welche Kunden fallen nach § 28 BSIG selbst unter das Gesetz? Diese Aufträge sind die betroffenen.
2. Vorhandene Verträge lesen Sicherheitsanlagen, Meldefristen und Auditrechte stehen oft längst drin, unbemerkt mitgezeichnet.
3. Dossier statt Fragebogen Asset-Liste, Berechtigungskonzept, Backup- und Wiederanlauftest, Meldeweg, Schulungsnachweis — einmal sauber, für alle Kunden.
4. Lücken benennen statt beschönigen Eine offen ausgewiesene Lücke mit Termin ist im Einkauf belastbarer als ein durchgehendes Ja.
5. Vor der Verlängerung verhandeln Stufenbegrenzung, Kostenregelung für Audits und der Verzicht auf pauschale Bußgeldfreistellung sind die drei lohnendsten Punkte.

Häufige Fragen

Gilt NIS2 auch für Zulieferer, die selbst nicht unter das BSIG fallen?

Nein, nicht unmittelbar. Verpflichtet sind nach § 28 BSIG nur besonders wichtige und wichtige Einrichtungen. Zulieferer außerhalb dieses Kreises trifft keine gesetzliche Pflicht, wohl aber die vertragliche Anforderung ihrer regulierten Auftraggeber, die diese aus § 30 Absatz 2 Nummer 4 BSIG ableiten.

Welcher Paragraf regelt die Sicherheit der Lieferkette?

§ 30 Absatz 2 Nummer 4 des BSI-Gesetzes in der seit dem 6. Dezember 2025 geltenden Fassung. Er verlangt Maßnahmen zur „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ und setzt Artikel 21 der NIS-2-Richtlinie um.

Darf ein Auftraggeber ein Audit beim Zulieferer verlangen?

Grundsätzlich ja, wenn es vertraglich vereinbart ist und zum Risiko des Auftrags passt. In vorformulierten Verträgen unterliegt die Klausel der Inhaltskontrolle nach § 307 BGB, die nach § 310 Absatz 1 BGB auch zwischen Unternehmen gilt. Unangekündigte, unbegrenzte Audits auf Kosten des Zulieferers sind der Punkt, an dem diese Prüfung ansetzt.

Was ist der Unterschied zwischen NIS2 und dem Lieferkettengesetz?

Das BSIG schützt die Sicherheit informationstechnischer Systeme, das Lieferkettensorgfaltspflichtengesetz schützt nach § 2 LkSG Menschenrechte und bestimmte Umweltbelange. Die Schwellen unterscheiden sich ebenfalls deutlich: 50 beziehungsweise 250 Beschäftigte in gelisteten Sektoren gegenüber 1.000 Arbeitnehmern im Inland. IT-Sicherheit ist im LkSG kein Schutzgut.

Welches Bußgeld droht einem Zulieferer, der die Anforderung nicht erfüllt?

Keines, sofern er nicht selbst besonders wichtige oder wichtige Einrichtung ist. Der Sanktionskatalog des § 65 BSIG erfasst nur regulierte Einrichtungen, dort mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes. Das reale Risiko für Zulieferer liegt im Verlust des Auftrags, nicht in einem Bescheid.