NIS2 und die Lieferkette: Wo Governance auf Vertrag trifft

Die NIS2-Richtlinie verlangt von wesentlichen und wichtigen Einrichtungen, die Sicherheit ihrer Lieferkette aktiv zu steuern, nicht nur zu dokumentieren. Wer diese Pflicht ignoriert, riskiert denselben Bussgeldrahmen wie bei einem Verstoss gegen die Meldepflicht oder das übrige Risikomanagement. Die Aufmerksamkeit, die diese Drohkulisse erzeugt, lenkt den Blick auf eine offene Frage in vielen Organisationen: welche Funktion zuständig ist, wenn ein Lieferant zum Risiko wird.

Was verlangt Artikel 21 der NIS2-Richtlinie von der Lieferkette?

Artikel 21 Absatz 2 Buchstabe d zählt die Sicherheit der Lieferkette einschliesslich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern ausdrücklich zu den geforderten Risikomanagementmassnahmen.

Absatz 3 desselben Artikels konkretisiert diese Pflicht: Einrichtungen müssen bei der Wahl geeigneter Massnahmen die spezifischen Schwachstellen jedes einzelnen Anbieters sowie die Gesamtqualität von dessen Produkten und Cybersicherheitspraktiken berücksichtigen.

Auf Unionsebene ergänzt Artikel 22 diese Einzelpflicht um koordinierte Risikobewertungen für kritische Lieferketten. Das zeigt, dass der Gesetzgeber Lieferkettenrisiken als eigenständiges, europaweit relevantes Thema behandelt und nicht als Anhängsel des internen Risikomanagements.

Wie eng hängt das Bussgeld am Lieferkettenversagen?

Verstösse gegen Artikel 21 werden im selben Bussgeldrahmen sanktioniert wie andere Kernpflichten der Richtlinie, für wesentliche Einrichtungen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Artikel 34 der NIS2-Richtlinie legt diesen Rahmen fest und sieht für wichtige Einrichtungen bei Verstössen gegen Artikel 21 oder Artikel 23 einen Höchstbetrag von mindestens 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes vor.

Damit steht ein mangelhaftes Lieferantenmanagement bussgeldrechtlich auf derselben Stufe wie eine versäumte Meldung oder ein fehlendes Notfallkonzept. Für die Governance-Funktion bedeutet das, dass die Bewertung von Anbieterrisiken denselben Nachweisstandard braucht wie die übrigen Massnahmen nach Artikel 21.

Was zeigt die deutsche Umsetzung über den Bussgeldmechanismus?

Paragraf 30 Absatz 2 Nummer 4 BSIG übersetzt die Lieferkettenpflicht in eine konkrete Massnahmenpflicht, und Paragraf 65 BSIG hinterlegt sie mit einem gestaffelten Bussgeldkatalog.

Das deutsche NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft und schaltete damit die Bussgeldvorschriften in Paragraf 65 BSIG scharf. Laut secjur kennt die Vorschrift insgesamt 17 Bussgeldtatbestände, von 100’000 Euro bei Fahrlässigkeit bis 10 Millionen Euro bei fehlenden Risikomanagementmassnahmen oder Meldepflichtverletzungen.

Nach Paragraf 65 Absatz 8 BSIG kann das Bundesamt für Sicherheit in der Informationstechnik den weltweiten Konzernumsatz als Berechnungsgrundlage heranziehen und diesen im Zweifel schätzen. Das dehnt die Bemessungsgrundlage auch auf Lieferantenbeziehungen innerhalb eines Konzerns aus.

Warum sind Schweizer Zulieferer trotzdem betroffen?

Die NIS2-Richtlinie gilt formal nur für die EU, doch Schweizer Unternehmen geraten in ihren Wirkungsbereich, sobald ein EU-Kunde seine eigenen Sicherheitspflichten vertraglich an Zulieferer weitergibt.

Laut ncloud.swiss werden Schweizer Betriebe damit nicht durch eigenes Recht adressiert, sondern durch Vertragsklauseln, die ein EU-Kunde zur Erfüllung seiner eigenen Artikel-21-Pflicht durchreicht.

Das revidierte Schweizer Informationssicherheitsgesetz richtet sich vor allem an Bundesbehörden und Betreiber kritischer Infrastruktur und sieht anders als NIS2 keine persönliche Haftung der Geschäftsleitung vor. Für Schweizer Lieferanten heisst das: Die eigentliche Durchsetzung findet nicht über ein Gesetz, sondern über den Liefervertrag mit dem EU-Kunden statt.

Wie lässt sich die Zuständigkeit zwischen Einkauf, Risikomanagement und IT-Sicherheit verteilen?

Keine der geprüften Quellen schreibt eine Aufteilung normativ vor, doch die Struktur von Artikel 21 legt eine Arbeitsteilung entlang der Prozesskette nahe.

Die IT-Sicherheit bewertet die fachlichen Kriterien, die Artikel 21 Absatz 3 nennt: die spezifischen Schwachstellen eines Anbieters und die Qualität seiner Cybersicherheitspraktiken. Das Risikomanagement führt diese Einzelbewertungen im Rahmen der Third-Party Risk Governance zusammen und ordnet sie in den Gesamtrisikoappetit ein. Der Einkauf übersetzt das Ergebnis in Vertragsklauseln, die im Streitfall durchsetzbar sind, etwa Auditrechte oder Meldefristen bei Sicherheitsvorfällen.

Artikel 20 verpflichtet die Leitungsorgane, Risikomanagementmassnahmen zu billigen und deren Umsetzung zu überwachen. Ohne eine dokumentierte Zuordnung der drei Funktionen lässt sich diese Überwachungspflicht kaum glaubhaft nachweisen. Ein erster, überprüfbarer Schritt ist, dass das Risikomanagement in den kommenden drei Monaten ein Verzeichnis der unmittelbaren Anbieter anlegt, das für jeden Anbieter die Kriterien aus Artikel 21 Absatz 3 dokumentiert, und dieses Verzeichnis dem Einkauf als Grundlage für die nächste Vertragsverhandlung übergibt.