NIS2 Supply Chain Assessment: Wie bewerten Sie die Cybersicherheit Ihrer Lieferanten?

Was NIS2 von Ihnen als Einkäufer verlangt

NIS2 (Richtlinie (EU) 2022/2555), in Deutschland umgesetzt als NIS2UmsuCG und in Kraft seit 6. Dezember 2025, verpflichtet wesentliche und wichtige Einrichtungen ausdrücklich dazu, die Cybersicherheit ihrer Lieferkette zu bewerten und vertraglich abzusichern — Art. 21 Abs. 2 lit. d.

Das bedeutet konkret: Sie müssen von Ihren kritischen Lieferanten nachweisbar erheben, welche Cybersicherheitsmaßnahmen diese ergriffen haben, und diese Bewertung dokumentieren. Eine E-Mail mit der Frage „Sind Sie sicher?" reicht dafür nicht aus.

Die Aufsichtsbehörde ist das BSI (Bundesamt für Sicherheit in der Informationstechnik). Es kann im Rahmen von Audits nach dieser Dokumentation fragen; fehlende Nachweise können zu Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes führen.

Die zehn Bereiche des NIS2 Supply Chain Assessments

NIS2 Art. 21 definiert zehn Sicherheitsbereiche. Ein strukturiertes Supply Chain Assessment fragt Ihre Lieferanten zu jedem dieser Bereiche ab, statt eine einzelne pauschale Frage zu stellen.

CY1 — Risikomanagement. Existiert eine dokumentierte Cybersicherheits-Risikorichtlinie, und wird sie mindestens jährlich überprüft?

CY2 — Incident Management. Gibt es eine dokumentierte Incident-Response-Prozedur, und kann der Lieferant Sicherheitsvorfälle innerhalb von 24 Stunden an Sie melden?

CY3 — Business Continuity. Existieren ein Business Continuity Plan (BCP) und ein Disaster Recovery Plan (DRP), und werden diese mindestens jährlich getestet?

CY4 — Supply Chain Security. Hat der Lieferant seinerseits Cybersicherheitsanforderungen in Verträge mit seinen eigenen Lieferanten aufgenommen, und bewertet er deren Cybersicherheit?

CY5 — Secure Development, nur für Softwareanbieter. Werden Security-by-Design-Prinzipien angewendet und regelmäßige Penetrationstests durchgeführt? Für Nicht-Softwareunternehmen im Assessment als nicht anwendbar markierbar, ohne Punktabzug.

CY6 — Vulnerability Management. Gibt es einen formellen Patch-Management-Prozess, und werden kritische Patches innerhalb von 14 Tagen eingespielt?

CY7 — Cyberhygiene und Schulungen. Erhalten Mitarbeitende mindestens jährlich Cybersicherheitsschulungen, und gibt es eine Acceptable Use Policy für IT-Systeme?

CY8 — Kryptografie. Werden sensible Daten im Ruhezustand (at rest) und bei der Übertragung (HTTPS/TLS) verschlüsselt?

CY9 — Zugriffsverwaltung und HR-Sicherheit. Ist Multi-Faktor-Authentifizierung auf kritischen Systemen aktiviert, gilt das Prinzip der geringsten Berechtigung, und gibt es ein Offboarding-Verfahren für ausscheidende Mitarbeitende?

CY10 — Zertifizierungen, optional aber wertvoll. Besitzt der Lieferant ISO/IEC 27001, SOC 2 Type II, Cyber Essentials oder TISAX? Diese Zertifizierungen ergänzen den Maturity Score als Bonuspunkte, sind aber keine Voraussetzung für eine gute Bewertung.

Das Problem mit eigenen Fragebögen

Viele Einkaufsabteilungen verschicken eigene Excel-Fragebögen an ihre Lieferanten. Das führt in der Praxis systematisch zu drei Problemen.

Inkonsistente Antworten: Lieferanten interpretieren dieselben Fragen unterschiedlich. „Haben Sie eine Firewall?" bedeutet für einen IT-Dienstleister etwas anderes als für einen Handwerksbetrieb.

Keine Vergleichbarkeit: ohne einheitliche Bewertungsskala können Sie Lieferant A nicht mit Lieferant B vergleichen. Sie erhalten Antworten, aber keinen Score.

Keine audit-fähige Dokumentation: eine ausgefüllte Excel-Datei per E-Mail ist kein Nachweis, den das BSI im Rahmen einer Prüfung ohne Weiteres akzeptiert. Sie brauchen eine strukturierte, datierte, archivierbare Bewertung — ein standardisierter Maturity Score, berechnet nach denselben gewichteten Kriterien für jeden Lieferanten, löst alle drei Probleme gleichzeitig.

Wie verified.supply das NIS2 Assessment standardisiert

verified.supply implementiert das NIS2 Assessment als strukturierten Fragebogen entlang der zehn CY-Bereiche — direkt vom Lieferanten ausfüllbar, ohne IT-Kenntnisse. Das Ergebnis ist ein Maturity Score von 0 bis 100, gewichtet nach den Risikoprioritäten von NIS2 Art. 21.

Zugriffsverwaltung (CY9) trägt mit 16 von 100 Punkten am stärksten bei — Identität ist die häufigste Angriffsfläche. Incident Management (CY2) und Kryptografie (CY8) tragen je 14 Punkte bei. Risikomanagement (CY1) zählt 12 Punkte, Business Continuity (CY3), Vulnerability Management (CY6) und Cyberhygiene (CY7) je 10 Punkte, Supply Chain Security (CY4) 8 Punkte und Secure Development (CY5) 6 Punkte. CY5 erhält den vollen Punktestand, wenn es als „nicht anwendbar" markiert ist, damit Nicht-Softwareunternehmen nicht benachteiligt werden. CY10-Zertifizierungen fließen bewusst nicht in den Score ein — ein Zertifikat ist Beweis der Maßnahmen, keine elfte Maßnahme — und erscheinen separat als Bonus auf dem Profil.

Als Einkäufer laden Sie Ihre Lieferanten über das Enterprise-Dashboard ein. Sie sehen pro Lieferant den Maturity Score und den Status je Bereich und können einen Gesamtbericht exportieren — strukturiert, datiert und audit-fähig für BSI-Prüfungen.