IT-Sicherheit in der Lieferkette: Wie mittelständische Zulieferer NIS-2 pragmatisch umsetzen

Schon längst im Visier der Angreifer

Heutzutage sind Cyberangriffe nicht mehr nur ein Problem großer Konzerne. Mittelständische Zulieferer geraten zunehmend ins Visier, weil sie häufig eng mit den Systemen, Produktionsabläufen und Daten ihrer Kunden verbunden sind. Ein kompromittierter Fernzugang, ein ungepatchter Server oder ein manipuliertes Benutzerkonto kann ausreichen, um Fertigungsprozesse zu unterbrechen, Konstruktionsdaten abzugreifen oder Liefertermine zu gefährden. Für Unternehmen mit knappen Personal- und IT-Budgets kann bereits ein einzelner Sicherheitsvorfall erhebliche finanzielle Folgen haben.

Mit der Umsetzung der europäischen NIS-2-Richtlinie in Deutschland zum 6. Dezember 2025 hat sich der Handlungsdruck weiter erhöht. Auch wenn ein Zulieferer nicht unmittelbar als regulierte Einrichtung eingestuft ist, erwarten große Abnehmer zunehmend belastbare Nachweise zur Informationssicherheit. Kundenfragebögen, Vertragsklauseln, TISAX-Anforderungen, Audits und Vorgaben zur Meldung von Sicherheitsvorfällen reichen damit faktisch in die gesamte Lieferkette hinein. Ein strukturierter Schutz für die Lieferkette wird deshalb zu einer Voraussetzung, um lieferfähig und wettbewerbsfähig zu bleiben.

Pragmatismus ist dabei der entscheidende Ansatz. Ein mittelständischer Betrieb muss kein eigenes Großkonzern-Security-Operations-Center aufbauen und rund um die Uhr mit hochspezialisierten Teams besetzen. Sinnvoller ist eine klare Trennung: Grundlegende organisatorische und technische Maßnahmen werden intern verankert, während besonders komplexe oder dauerhaft zu betreibende Aufgaben gezielt an geeignete Managed Security Service Provider vergeben werden. So entsteht ein Sicherheitsniveau, das regulatorische Anforderungen unterstützt, ohne die wirtschaftliche Leistungsfähigkeit zu überdehnen.

Der NIS-2-Kaskadeneffekt und die Pflichten für Zulieferbetriebe

NIS-2 verpflichtet betroffene Einrichtungen unter anderem zu geeigneten technischen, organisatorischen und risikobasierten Sicherheitsmaßnahmen. In Deutschland konkretisiert § 30 BSIG zentrale Anforderungen. Dazu gehören unter anderem Risikoanalysen, Konzepte für die Bewältigung von Sicherheitsvorfällen, Backup- und Wiederherstellungsverfahren, Krisenmanagement, Verschlüsselung, Zugriffskontrolle, Schulungen und die Sicherheit der Lieferkette. Für direkt betroffene Unternehmen endet die Verantwortung daher nicht an der eigenen Firewall. Sie müssen auch Risiken berücksichtigen, die durch Lieferanten, Dienstleister und digitale Abhängigkeiten entstehen.

Genau daraus ergibt sich der Kaskadeneffekt. Ein großer Automobilhersteller, Maschinenbauer oder Logistikkonzern prüft seine direkten Vertragspartner. Diese Unternehmen reichen Anforderungen an ihre eigenen Zulieferer weiter, etwa durch Sicherheitsfragebögen, vertragliche Mindeststandards, Nachweise zu Penetrationstests oder Vorgaben für die Meldung von Vorfällen. Ein kleinerer Betrieb kann damit indirekt unter erheblichen Anpassungsdruck geraten, selbst wenn die unmittelbare gesetzliche Einordnung noch geprüft werden muss. Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass Unternehmen ihre Betroffenheit anhand von Branche, Größe und Tätigkeit selbst bewerten müssen.

Seit dem Inkrafttreten des deutschen Umsetzungsgesetzes am 6. Dezember 2025 gelten für unmittelbar erfasste Unternehmen Pflichten grundsätzlich ohne lange Übergangsphase. Je nach Einstufung können erhebliche Sanktionen drohen. Besonders wichtige Einrichtungen müssen mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes rechnen, wichtige Einrichtungen mit bis zu 7 Millionen Euro oder 1,4 Prozent, wobei jeweils der höhere Betrag maßgeblich sein kann. Für Zulieferer entsteht zusätzlicher Druck durch Kundenanforderungen und mögliche Haftungsfragen.

• Risikomanagement: Kritische Systeme, Prozesse, Daten und Abhängigkeiten müssen identifiziert und bewertet werden.
• Vorfallmanagement: Zuständigkeiten, Eskalationswege und Meldeprozesse müssen festgelegt und geübt werden.
• Geschäftskontinuität: Backups, Wiederanlaufpläne und Notfallverfahren müssen die Lieferfähigkeit unterstützen.
• Lieferkettensicherheit: Sicherheitsanforderungen für Dienstleister und Softwarelieferanten müssen nachvollziehbar geregelt werden.
• Governance: Die Geschäftsleitung muss Verantwortung übernehmen, Maßnahmen freigeben und sich regelmäßig schulen lassen.

Entscheidend ist dabei nicht, jede denkbare Kontrolle sofort einzuführen. Zuerst sollte geklärt werden, welche Systeme für Produktion, Qualität, Kommunikation und Kundenversorgung wirklich kritisch sind. Danach lassen sich Anforderungen priorisieren und mit vorhandenen Strukturen aus Datenschutz, ISO 27001, TISAX oder dem Qualitätsmanagement verbinden.

Interner Basisschutz als Fundament der Unternehmenssicherheit

Ein wirksamer Basisschutz beginnt mit Maßnahmen, die fast jedes Unternehmen selbst organisieren kann. Dazu zählen ein aktuelles Inventar der Hardware und Software, eindeutig vergebene Benutzerkonten, regelmäßige Datensicherungen, sichere Konfigurationen und ein geregeltes Berechtigungsmanagement. Besonders wichtig ist die Multi-Faktor-Authentifizierung, kurz MFA. Sie verlangt neben dem Passwort einen weiteren Nachweis, etwa über eine Authentifizierungs-App oder einen Sicherheitsschlüssel. Dadurch verlieren gestohlene Passwörter einen Teil ihrer unmittelbaren Wirkung.

Patch-Management gehört ebenfalls zur ersten Verteidigungslinie. Sicherheitsupdates sollten nicht nur für Bürosoftware, sondern auch für Firewalls, VPN-Systeme, Cloud-Dienste, Produktionsserver und mobile Geräte geplant werden. Ein einfaches Verfahren reicht oft aus: Systeme werden inventarisiert, kritische Schwachstellen priorisiert, Updates getestet und innerhalb definierter Fristen eingespielt. Für besonders wichtige Anlagen muss zusätzlich geprüft werden, ob Wartungsfenster, Kompatibilität oder Anforderungen an die Betriebssicherheit besondere Vorgehensweisen erfordern.

Technik allein schützt jedoch nicht vor Phishing, Fehlkonfigurationen oder unbedachten Freigaben. Mitarbeitende benötigen kurze, regelmäßige und verständliche Schulungen. Inhalte sollten zur jeweiligen Rolle passen. Die Buchhaltung muss beispielsweise gefälschte Zahlungsanweisungen erkennen, die Produktion braucht klare Regeln für USB-Medien und Fernwartung, während die Geschäftsleitung wissen muss, wann ein Vorfall eskaliert wird. Sicherheitsrichtlinien sollten auf wenigen, verständlichen Grundsätzen beruhen und nicht in einem ungenutzten Dokumentenordner verschwinden.

• Verzeichnis aller Systeme, Konten, Anwendungen und externen Zugänge erstellen.
• MFA für Administrations-, E-Mail-, VPN- und Cloud-Konten verpflichtend einführen.
• Patch- und Schwachstellenprozesse mit klaren Fristen dokumentieren.
• Backups regelmäßig testen und mindestens teilweise vom Produktionsnetz trennen.
• Rollenbasierte Berechtigungen und einen geregelten Austrittsprozess etablieren.
• Phishing-, Passwort- und Meldepflichten in kurzen Schulungen verankern.

Diese Grundlagen sind keine bloße Vorstufe zu anspruchsvolleren Sicherheitsprogrammen. Sie bilden das Fundament, auf dem später Überwachung, Risikoanalysen und Auditnachweise aufbauen. Die britische nationale Cybersecurity-Behörde beschreibt in ihrer Supply chain security guidance zwölf Prinzipien für mehr Kontrolle und Transparenz in Lieferketten. Für mittelständische Zulieferer ist besonders relevant, dass Sicherheitsstandards für Lieferanten nicht nur vertraglich gefordert, sondern auch regelmäßig überprüft werden sollten.

Inhouse-Betrieb versus Managed Security Services im direkten Vergleich

Einerseits bietet ein vollständig interner Sicherheitsbetrieb hohe Kontrolle. Eigene Beschäftigte kennen die Produktionsabläufe, die Kundenanforderungen und die tatsächlichen Geschäftsrisiken. Entscheidungen können schnell getroffen und Sicherheitsmaßnahmen eng mit IT, Produktion und Geschäftsführung abgestimmt werden. Andererseits ist ein professioneller Betrieb rund um die Uhr anspruchsvoll. Neben Fachwissen für Netzwerke, Cloud, Identitäten und Endpunkte werden Fähigkeiten für forensische Analysen, Schwachstellenbewertung und Incident Response benötigt.

Für viele Mittelständler ist es schwierig, genügend Fachkräfte zu gewinnen und dauerhaft zu binden. Ein 24/7-Monitoring durch eigenes Personal verursacht Kosten für Schichtbetrieb, Werkzeuge, Vertretungen und kontinuierliche Weiterbildung. Externe Managed Security Services können hier skalierbare Unterstützung bieten. Ein MSSP überwacht beispielsweise Logdaten, erkennt verdächtige Aktivitäten, unterstützt bei der Bewertung von Alarmen und begleitet die Reaktion auf Vorfälle. Die Auswahl muss jedoch sorgfältig erfolgen. Serviceumfang, Reaktionszeiten, Datenstandorte, Eskalationswege, Unterauftragnehmer und Nachweise zur eigenen Sicherheit gehören in die Prüfung.

Ein hybrides Modell ist häufig wirtschaftlich sinnvoll. Der Zulieferer behält intern die Verantwortung für Prioritäten, Freigaben, Risikobewertungen und die Kommunikation mit Kunden. Der externe Partner übernimmt standardisierbare oder technisch spezialisierte Aufgaben. Das passt zu den Empfehlungen des NIST zur Entscheidung zwischen interner Kompetenz und Outsourcing, wonach Budget, vorhandene Fähigkeiten, Risikoniveau und regulatorische Anforderungen gemeinsam betrachtet werden sollten.

Schritt für Schritt zur wirtschaftlichen NIS-2-Compliance

Eine wirtschaftliche Umsetzung beginnt nicht mit dem Kauf eines einzelnen Sicherheitstools. Zuerst braucht es ein realistisches Bild der bestehenden Risiken. Die folgenden vier Phasen helfen, Maßnahmen zu priorisieren und Fortschritte gegenüber Kunden, Prüfern und der Geschäftsleitung nachvollziehbar zu machen.

1. Gap-Analyse durchführen: Erfassen Sie zunächst Branche, Unternehmensgröße, Kundenanforderungen und mögliche direkte NIS-2-Betroffenheit. Danach werden Geschäftsprozesse, Informationswerte, Systeme, Lieferanten und bestehende Kontrollen aufgenommen. Die Analyse sollte Lücken gegen die relevanten Anforderungen des § 30 BSIG sichtbar machen. Besonders wichtig sind fehlende Notfallpläne, unklare Meldewege, unvollständige Asset-Listen und nicht geregelte Fernzugänge.
2. Basispflichten schließen: Legen Sie anschließend Verantwortlichkeiten fest und verabschieden Sie kompakte Richtlinien für Zugriffsschutz, Backups, Patch-Management, Lieferantenprüfung und Vorfallmeldungen. Schulen Sie Beschäftigte und Geschäftsleitung. Managementverantwortung bedeutet nicht, dass die Geschäftsführung jede technische Einzelheit selbst bearbeiten muss. Sie muss jedoch Risiken verstehen, Ressourcen freigeben, die Umsetzung überwachen und Entscheidungen dokumentieren.
3. Komplexe Kontrollen gezielt vergeben: Prüfen Sie, welche Aufgaben intern tragfähig sind und wo externe Unterstützung sinnvoll ist. SIEM, SOC, kontinuierliche Logauswertung, Penetrationstests oder forensische Bereitschaft können durch spezialisierte Dienstleister wirtschaftlicher erbracht werden. Der Vertrag sollte konkrete Servicezeiten, Reaktionsstufen, Verantwortungsgrenzen, Berichtspflichten und Exit-Regelungen enthalten. Ein günstiges Monitoring ohne klare Alarmbearbeitung erfüllt seinen Zweck nicht.
4. Nachweise auditfest aufbauen: Dokumentieren Sie nicht nur, dass eine Maßnahme geplant ist, sondern auch, wer sie wann durchgeführt und überprüft hat. Geeignet sind ein Risikoregister, ein Verzeichnis kritischer Systeme, Schulungsnachweise, Backup-Testprotokolle, Patchberichte, Lieferantenbewertungen, Incident-Runbooks und Protokolle von Managemententscheidungen. Kundenfragebögen lassen sich deutlich schneller beantworten, wenn diese Unterlagen zentral und aktuell verfügbar sind.

Bestehende Managementsysteme können die Umsetzung beschleunigen. Ein ISO-27001-System liefert beispielsweise Strukturen für Risiken, Verantwortlichkeiten und kontinuierliche Verbesserung. Eine Zertifizierung deckt jedoch nicht automatisch sämtliche NIS-2-Anforderungen ab. Meldepflichten, Managementschulungen und konkrete Vorgaben zur Lieferkette müssen zusätzlich geprüft werden. In der Automobilindustrie können außerdem TISAX-Anforderungen maßgeblich sein. Entscheidend ist, Überschneidungen zwischen gesetzlichen Pflichten, Kundenanforderungen und bestehenden Zertifizierungen zu nutzen, statt mehrere voneinander getrennte Dokumentationswelten aufzubauen.

Auch Lieferanten sollten risikobasiert bewertet werden. Ein Anbieter mit Zugriff auf Produktionssteuerung oder Entwicklungsdaten benötigt eine andere Prüfung als ein Dienstleister ohne Systemzugang. Vertragsklauseln sollten Sicherheitsstandards, Vorfallmeldungen, Unterauftragnehmer, Auditmöglichkeiten, Datenschutz sowie Rückgabe oder Löschung von Daten regeln. Für Softwarelieferanten können zusätzlich sichere Entwicklungsprozesse, Schwachstellenmanagement und künftig Anforderungen an Software-Stücklisten eine Rolle spielen.

Am Ende steht kein einmaliges Projekt, sondern ein wiederholbarer Steuerungsprozess. Mindestens jährlich sowie nach wesentlichen Änderungen sollten Risiken, Dienstleister, Systeme und Notfallpläne neu bewertet werden. Übungen mit realistischen Szenarien, etwa einem verschlüsselten Dateiserver oder einem kompromittierten Lieferantenkonto, zeigen schneller als reine Dokumentenprüfungen, ob Zuständigkeiten und Wiederanlauf wirklich funktionieren.

Cyberresilienz als dauerhaften Wettbewerbsvorteil etablieren

Pragmatische NIS-2-Umsetzung schützt nicht nur vor Bußgeldern. Sie stärkt die Lieferfähigkeit, verkürzt die Reaktionszeit bei Vorfällen und schafft belastbare Antworten auf Kundenanforderungen. Ein Zulieferer, der kritische Systeme kennt, Zugriffe kontrolliert, Backups testet und Sicherheitsvorfälle klar behandelt, kann Risiken gegenüber Abnehmern transparenter darstellen. Das verbessert Vertrauen und erleichtert die Teilnahme an Ausschreibungen und langfristigen Lieferbeziehungen.

Das Erfolgsmodell besteht aus zwei miteinander verbundenen Säulen: internem Bewusstsein und gezielter externer Unterstützung. Grundregeln, Verantwortlichkeiten und Managemententscheidungen müssen im Unternehmen verankert sein. Komplexe Daueraufgaben wie SOC-Betrieb, SIEM-Auswertung oder spezialisierte Incident Response können dagegen an geeignete Partner vergeben werden. Der nächste sinnvolle Schritt ist daher eine kompakte Gap-Analyse mit priorisiertem Maßnahmenplan. Danach sollten die größten Lücken geschlossen und alle wesentlichen Kontrollen so dokumentiert werden, dass der eigene Sicherheitsstatus auch unter Zeitdruck auditfest nachweisbar bleibt.