Ein Zulieferer mit zwölf Mitarbeitenden bekommt von seinem größten Kunden, einem mittelständischen Maschinenbauer, plötzlich einen mehrseitigen Fragebogen zu Sicherheitsmaßnahmen zugeschickt. Der Kunde selbst fällt unter NIS2, und diese Pflicht reicht offenbar in die eigene Lieferkette hinein, ohne dass der Zulieferer bisher davon gewusst hätte.

Diese Situation trifft derzeit viele kleine Unternehmen, die sich selbst nie als Ziel einer Regulierung für kritische Infrastrukturen gesehen hätten. Die Verunsicherung liegt vor allem daran, dass zwei unterschiedliche Regelwerke, eines für Betreiber und eines für Produkte, oft in einen Topf geworfen werden.

Dieser Text ordnet die Anwendungsbereiche beider Regelwerke, den Unterschied zwischen Betreiberpflichten und Produktanforderungen und die Frage der Betroffenheit als Zulieferer ein, mit einer Selbsteinordnung in fünf Fragen für den eigenen Betrieb.

Der Überblick in Kürze

• NIS2: betrifft Betreiber bestimmter Sektoren ab einer gewissen Unternehmensgröße direkt.
• Cyber Resilience Act: betrifft Hersteller vernetzter Produkte, unabhängig vom Sektor.
• Zulieferer: selten direkt erfasst, aber häufig indirekt über Vertragsanforderungen betroffen.
• Fragebögen von Kunden: ein typisches erstes Anzeichen indirekter Betroffenheit.
• Selbsteinordnung: fünf Fragen zu Sektor, Größe, Produktart, Kundenkreis und Lieferkettenrolle.
• Fristen: unterscheiden sich je Regelwerk und werden national umgesetzt.
• Unsicherheit bleibt: eine verbindliche Einordnung gehört in eine rechtliche Beratung.

Warum die Frage der Betroffenheit so oft unklar bleibt

Beide Regelwerke wurden im selben Zeitraum diskutiert, betreffen beide das Thema Cybersicherheit, und werden in der öffentlichen Berichterstattung häufig ohne klare Trennung genannt. Für ein kleines Unternehmen entsteht daraus schnell der Eindruck, gleich mehrfach unmittelbar reguliert zu sein.

Tatsächlich richten sich beide Regelwerke an unterschiedliche Adressaten mit unterschiedlichen Pflichten. Diese Unterscheidung zu kennen, ist der erste Schritt, um die eigene Lage realistisch einzuschätzen, statt vorschnell einen kompletten Compliance-Apparat aufzubauen, der möglicherweise gar nicht nötig ist.

Ebenso häufig ist der umgekehrte Fehler: ein Unternehmen hält sich für nicht betroffen, weil es keinen großen Namen und keine kritische Infrastruktur betreibt, übersieht dabei aber eine indirekte Betroffenheit über einen Kunden, der selbst reguliert ist.

NIS2 Betroffenheit: was das Regelwerk eigentlich regelt

Die Frage der NIS2 Betroffenheit betrifft in erster Linie Betreiber von Einrichtungen in bestimmten, im Regelwerk aufgezählten Sektoren, etwa Energie, Verkehr, Gesundheit oder digitale Infrastruktur, sofern eine bestimmte Unternehmensgröße erreicht wird.

Ziel des Regelwerks ist es, dass diese Einrichtungen ein Mindestniveau an Risikomanagement und Meldepflichten bei Sicherheitsvorfällen einhalten, weil ein Ausfall in diesen Sektoren gesamtgesellschaftliche Folgen haben kann. Ein Überblick über den Anwendungsbereich findet sich bei der NIS-2-Richtlinie.

Die konkrete Umsetzung erfolgt über nationale Gesetze, die Einzelheiten wie genaue Schwellenwerte und Meldefristen festlegen. Diese nationale Umsetzung kann sich von Land zu Land leicht unterscheiden und wird zudem im Zeitverlauf angepasst.

Zu den geforderten Maßnahmen gehören unter anderem ein Konzept für das Risikomanagement, Vorkehrungen für den Umgang mit Sicherheitsvorfällen, Regelungen zur Absicherung der Lieferkette und Meldepflichten innerhalb bestimmter Fristen nach einem erheblichen Vorfall. Diese Liste ist nicht abschließend und wird durch die nationale Umsetzung weiter konkretisiert.

Für die Geschäftsführung direkt betroffener Einrichtungen ergibt sich zudem eine persönliche Verantwortung für die Umsetzung dieser Maßnahmen, die sich nicht vollständig an eine IT-Abteilung delegieren lässt. Diese Verantwortung ist einer der Gründe, warum größere Unternehmen das Thema derzeit mit spürbarem Nachdruck verfolgen.

Der Cyber Resilience Act als zweites Regelwerk

Der Cyber Resilience Act verfolgt einen anderen Ansatz. Er richtet sich an Hersteller und Anbieter von Produkten mit digitalen Elementen und verlangt grundlegende Sicherheitsanforderungen über den gesamten Produktlebenszyklus, unabhängig davon, in welchem Sektor das Produkt eingesetzt wird.

Während NIS2 also den Betrieb einer Einrichtung reguliert, reguliert der Cyber Resilience Act das Produkt selbst, das in Verkehr gebracht wird. Ein Hersteller von vernetzten Geräten kann deshalb betroffen sein, auch wenn sein eigenes Unternehmen keinerlei kritische Infrastruktur betreibt.

Für Zulieferer, die Bauteile oder Softwarekomponenten für vernetzte Endprodukte liefern, kann diese Regulierung relevant werden, wenn ihre Komponente Teil eines Produkts mit digitalen Elementen ist, das später in Verkehr gebracht wird.

Betreiberpflichten gegen Produktanforderungen

Der zentrale Unterschied lässt sich auf eine einfache Frage zurückführen: Geht es um die Art und Weise, wie ein Unternehmen seine eigenen Systeme betreibt, oder um die Sicherheit eines Produkts, das verkauft wird? Die erste Frage betrifft NIS2, die zweite den Cyber Resilience Act.

Ein Unternehmen kann theoretisch von beiden Regelwerken gleichzeitig betroffen sein, etwa wenn es sowohl eine regulierte Einrichtung betreibt als auch vernetzte Produkte herstellt. Für die meisten kleinen Zulieferern ist jedoch meist nur eine der beiden Fragen überhaupt relevant.

Diese Trennung hilft auch bei Gesprächen mit Kunden, die Anforderungen stellen: Es lohnt sich nachzufragen, ob eine Anforderung aus der Betreiberpflicht des Kunden stammt oder aus einer Produktanforderung, die an die eigene Lieferung weitergereicht wird.

Wer direkt unter NIS2 fällt

Direkt betroffen sind Einrichtungen in den im Regelwerk benannten Sektoren, die bestimmte Schwellenwerte bei Mitarbeiterzahl und Umsatz überschreiten. Sehr kleine Unternehmen fallen in vielen Fällen nicht direkt darunter, auch wenn sie im selben Sektor tätig sind.

Wichtig ist, dass auch Unternehmen unterhalb der allgemeinen Schwellenwerte erfasst sein können, wenn sie eine besonders wichtige Rolle für einen bestimmten Sektor oder eine bestimmte Region einnehmen. Diese Ausnahme betrifft in der Praxis eher wenige Fälle, sollte aber nicht pauschal ausgeschlossen werden.

Eine erste Orientierung zum eigenen Sektor bietet die Aufzählung im jeweiligen nationalen Umsetzungsgesetz sowie die Informationsangebote der zuständigen nationalen Behörde, etwa des Bundesamts für Sicherheit in der Informationstechnik.

Warum auch Zulieferer betroffen sein können

NIS2 verlangt von direkt betroffenen Einrichtungen unter anderem, Risiken in der eigenen Lieferkette zu berücksichtigen. Das führt in der Praxis dazu, dass große Kunden ihre eigenen Anforderungen an Zulieferer weitergeben, etwa über vertragliche Sicherheitsanforderungen oder Fragebögen.

Diese indirekte Betroffenheit ist rechtlich etwas anderes als eine eigene, unmittelbare Pflicht aus dem Regelwerk selbst, fühlt sich für den betroffenen Zulieferer aber ähnlich verbindlich an, weil ein Auftrag ohne Erfüllung dieser Anforderungen gefährdet sein kann.

Wer als Zulieferer für ein größeres, direkt reguliertes Unternehmen arbeitet, sollte deshalb frühzeitig das Gespräch suchen, welche konkreten Anforderungen erwartet werden, statt auf einen unerwarteten Fragebogen zu warten.

Diese Anforderungen reichen von einfachen Selbstauskünften über technische Schutzmaßnahmen bis hin zu vertraglich vereinbarten Prüfrechten, bei denen ein Kunde die Umsetzung beim Zulieferer selbst kontrollieren darf. Wie weit ein Kunde dabei gehen kann, hängt von der Verhandlungsposition und der Bedeutung der Lieferung für dessen eigenen regulierten Betrieb ab.

Für kleinere Zulieferer mit mehreren größeren Kunden aus unterschiedlichen Branchen kann es sinnvoll sein, ein gemeinsames Grundniveau an Sicherheitsmaßnahmen zu etablieren, das die üblichen Anforderungen mehrerer Kunden gleichzeitig abdeckt, statt für jeden Kunden eine eigene Lösung zu entwickeln. Ein solches Grundniveau lässt sich sinnvoll mit den allgemeinen Empfehlungen aus dem Beitrag über Cybersicherheit für kleine Unternehmen abgleichen.

Die Selbsteinordnung in fünf Fragen

1. In welchem Sektor ist das eigene Unternehmen tätig, und taucht dieser Sektor in der Aufzählung der betroffenen Bereiche auf?
2. Wie groß ist das eigene Unternehmen nach Mitarbeiterzahl und Umsatz, gemessen an den geltenden Schwellenwerten?
3. Stellt das eigene Unternehmen ein Produkt mit digitalen Elementen her oder liefert es eine Komponente dafür?
4. Beliefert das eigene Unternehmen Kunden, die selbst direkt reguliert sind, etwa aus Energie, Gesundheit oder digitaler Infrastruktur?
5. Sind bereits vertragliche Sicherheitsanforderungen von einem Kunden angekündigt oder gestellt worden?

Diese fünf Fragen ersetzen keine rechtliche Prüfung, geben aber eine erste, greifbare Orientierung, in welche Richtung die eigene Betroffenheit tendiert.

Frage eins bis drei im Detail

Bei der ersten Frage lohnt sich ein Blick über die eigene, oft enge Selbstwahrnehmung hinaus. Ein Unternehmen, das sich als reiner Softwaredienstleister versteht, kann trotzdem im Sektor digitale Infrastruktur mitgezählt werden, wenn ein bestimmter Anteil der Leistung genau dorthin fällt.

Bei der zweiten Frage zählen nicht nur die eigenen Zahlen, sondern in bestimmten Konstellationen auch die eines verbundenen Unternehmens, etwa bei Konzernstrukturen. Diese Zusammenrechnung wird in der Praxis häufig übersehen.

Bei der dritten Frage hilft eine nüchterne Beschreibung des eigenen Produkts: Enthält es eine eigene Software, eine Netzwerkverbindung oder eine Möglichkeit zur Fernsteuerung? Solche Merkmale erhöhen die Wahrscheinlichkeit, dass der Cyber Resilience Act relevant wird.

Frage vier und fünf im Detail

Bei der vierten Frage lohnt sich ein direktes Gespräch mit dem größten Kunden, statt eine Vermutung anzustellen. Viele Unternehmen wissen selbst nicht sicher, ob ihre wichtigsten Abnehmer unter NIS2 fallen, bis sie konkret nachfragen.

Bei der fünften Frage zählt bereits eine informelle Ankündigung, nicht erst ein förmliches Schreiben. Ein Kunde, der in einem Gespräch erwähnt, künftig auch Lieferanten nach Sicherheitsmaßnahmen zu fragen, liefert damit bereits ein klares Signal für die eigene Vorbereitung.

Wer alle fünf Fragen durchgeht und bei mehreren mit Ja antwortet, sollte die eigene Situation nicht mehr allein einschätzen, sondern eine fachkundige, auf Regulierung spezialisierte Beratung hinzuziehen, um die tatsächliche rechtliche Lage zu klären.

NIS2 und Cyber Resilience Act im Vergleich

Merkmal	NIS2	Cyber Resilience Act
Adressat	Betreiber von Einrichtungen	Hersteller und Anbieter von Produkten
Gegenstand	Betrieb, Risikomanagement, Meldepflichten	Produktsicherheit über den Lebenszyklus
Anwendungsbereich	bestimmte Sektoren, ab Schwellenwert	Produkte mit digitalen Elementen, sektorübergreifend
Typische Zulieferbetroffenheit	indirekt, über Vertragsanforderungen	direkt, wenn Komponente Teil des Produkts ist

Die Tabelle ersetzt keine Einzelfallprüfung, zeigt aber, warum eine pauschale Aussage über die eigene Betroffenheit selten zutrifft.

Was bei Betroffenheit konkret zu tun ist

Bei indirekter Betroffenheit über einen Kunden steht zunächst ein Gespräch über die konkreten Erwartungen an, gefolgt von einer ehrlichen Bestandsaufnahme der eigenen Sicherheitsmaßnahmen gegenüber diesen Erwartungen.

Bei direkter Betroffenheit als Hersteller eines vernetzten Produkts gehört eine strukturierte Prüfung der Produktsicherheit über den gesamten Lebenszyklus dazu, von der Entwicklung über die Auslieferung bis zu Sicherheitsupdates nach dem Verkauf.

In beiden Fällen ist eine vollständige, verbindliche Einschätzung der eigenen Pflichten eine Aufgabe für eine spezialisierte rechtliche Beratung, da sich Details je nach nationaler Umsetzung und Einzelfall erheblich unterscheiden können.

Ein pragmatischer erster Schritt, bevor eine solche Beratung beauftragt wird, ist eine interne Bestandsaufnahme: Welche Systeme sind besonders schützenswert, wer hat Zugriff darauf, und welche Maßnahmen bestehen bereits. Diese Vorarbeit macht ein anschließendes Beratungsgespräch deutlich effizienter, weil grundlegende Fragen bereits beantwortet sind. Wie technische Prioritäten insgesamt gesetzt werden, beschreibt der Beitrag über die Rolle von Technologie in der Produktentwicklung.

Fristen und Übergangsregelungen

Beide Regelwerke sehen Übergangsfristen vor, bevor die vollständigen Pflichten greifen. Diese Fristen unterscheiden sich zwischen den Regelwerken und teils zwischen den Ländern, je nach Stand der nationalen Umsetzung.

Ein Unternehmen, das sich frühzeitig mit der eigenen Betroffenheit beschäftigt, gewinnt Zeit, um Maßnahmen schrittweise umzusetzen, statt kurz vor einer Frist unter Druck zu handeln. Diese Zeit ist besonders wertvoll, wenn technische Anpassungen an Produkten notwendig werden.

Ein realistischer Zeitplan berücksichtigt außerdem, dass technische Anpassungen an bestehenden Produkten oft länger dauern als gedacht, insbesondere wenn ältere Produktversionen weiterhin im Einsatz sind und ebenfalls berücksichtigt werden müssen. Wer diese Altbestände ignoriert, riskiert eine Lücke zwischen neuen und bestehenden Produkten im Markt.

Was kleine Zulieferer oft übersehen

Ein häufig übersehener Punkt ist, dass Sicherheitsanforderungen von Kunden sich nicht nur auf die eigene IT-Infrastruktur beziehen, sondern auch auf gelieferte Komponenten und deren spätere Wartung, etwa über Sicherheitsupdates.

Ein zweiter Punkt ist die Annahme, geringe Unternehmensgröße schütze automatisch vor jeder Anforderung. Vertragliche Anforderungen eines größeren Kunden gelten unabhängig von der eigenen Unternehmensgröße, sobald sie Teil des Liefervertrags werden.

Ein dritter, seltener genannter Punkt betrifft die Dokumentation. Selbst wenn ein kleiner Zulieferer die geforderten technischen Maßnahmen bereits umgesetzt hat, fehlt häufig eine schriftliche Übersicht, die einem Kunden auf Nachfrage vorgelegt werden kann. Diese Lücke lässt sich mit überschaubarem Aufwand schließen, sollte aber nicht erst unter Zeitdruck bei der ersten Kundenanfrage entstehen.

Ein vierter Punkt betrifft die Verantwortlichkeit im eigenen Betrieb. Auch in einem kleinen Unternehmen sollte eine Person klar benannt sein, die Anfragen zu Sicherheitsanforderungen entgegennimmt und koordiniert, statt dass solche Anfragen zufällig bei wechselnden Personen landen und dort liegen bleiben.

Häufige Fragen

Reicht es, die Anforderungen des größten Kunden zu erfüllen?

Das deckt die vertragliche Erwartung dieses Kunden ab, ersetzt aber keine eigenständige Prüfung, ob das eigene Unternehmen auch direkt reguliert sein könnte.

Wie sicher sind die genannten Schwellenwerte?

Die grundsätzliche Struktur gilt als gesetzt, einzelne Zahlen können sich mit der nationalen Umsetzung noch anpassen. Eine aktuelle Prüfung vor jeder Entscheidung ist deshalb sinnvoll.

Braucht ein sehr kleines Unternehmen ohne Kundenanfrage schon eine Beratung?

Eine erste Selbsteinordnung anhand der fünf Fragen reicht meist zunächst aus. Erst bei mehreren Ja-Antworten lohnt sich eine vertiefte rechtliche Prüfung.

Gilt der Cyber Resilience Act auch für reine Software ohne Hardware?

Software mit digitalen Elementen kann grundsätzlich erfasst sein. Die genaue Einordnung hängt vom konkreten Produkt ab und sollte fachkundig geprüft werden.

Was, wenn ein Kunde widersprüchliche Anforderungen zu verschiedenen Regelwerken stellt?

In diesem Fall lohnt eine direkte Rückfrage, auf welches Regelwerk sich die jeweilige Anforderung stützt, um Missverständnisse zu klären, statt beide Anforderungen ungeprüft zu übernehmen.

Weder NIS2 noch der Cyber Resilience Act treffen automatisch jeden kleinen Zulieferer, aber beide können über Kunden und Produkte in den eigenen Betrieb hineinwirken. Wer die fünf Fragen ehrlich beantwortet, weiß, ob eine vertiefte Prüfung überhaupt nötig ist.