NIS2 und Lieferkette — Warum Ihre Zulieferer jetzt Security Awareness brauchen
NIS2 endet nicht an den Grenzen Ihres Unternehmens. Die Richtlinie verpflichtet betroffene Unternehmen, Cybersicherheitsrisiken in ihrer gesamten Lieferkette zu berücksichtigen. In der Praxis bedeutet das: Ihre Zulieferer, Dienstleister und Partner werden Teil Ihres Risikomanagements — ob sie wollen oder nicht.
Was NIS2 zur Lieferkettensicherheit sagt
Artikel 21 der NIS2-Richtlinie listet die Sicherheit der Lieferkette explizit als Pflichtmaßnahme auf. Betroffene Unternehmen müssen sicherstellen, dass auch ihre direkten Dienstleister und Zulieferer ein angemessenes Sicherheitsniveau einhalten.
Das NISG 2026 in Österreich setzt dies mit der Anforderung um, dass Risikomanagementmaßnahmen die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern" berücksichtigen müssen.
Für die Praxis heißt das: Wenn ein Auftraggeber unter NIS2 fällt, wird er von seinen Zulieferern zunehmend Nachweise über Sicherheitsmaßnahmen verlangen — einschließlich Mitarbeiterschulungen.
Das Problem: KMU-Zulieferer ohne Security-Budget
Das typische Szenario sieht so aus: Ein Produktionsbetrieb mit 30 Mitarbeitenden liefert Komponenten an ein größeres Unternehmen, das unter NIS2 fällt. Der Zulieferer hat keine eigene IT-Abteilung, kein LMS, kein Security-Budget. Die Mitarbeitenden arbeiten in der Fertigung, nicht am Schreibtisch. Ein klassisches Enterprise-Security-Training — 60 Minuten am Desktop, auf Englisch, mit Fachjargon — geht an der Realität komplett vorbei.
Trotzdem wird der Auftraggeber fragen: „Wie stellen Sie sicher, dass Ihre Mitarbeitenden grundlegende Cybersicherheitsrisiken kennen?" Und „Wir haben kein Budget dafür" ist keine Antwort, die eine Lieferantenbeziehung stärkt.
Dazu kommt ein psychologischer Faktor, den unsere Forschung immer wieder zeigt: Geklickt wird selten aus Unwissen, sondern weil eine Nachricht im richtigen Moment in den Arbeitskontext passt — die Bestellbestätigung im Einkauf, die Lieferavis im Versand — und weil sich Menschen im Erkennen sicherer fühlen, als sie sind. Genau diese Szenarien nutzen Angreifer entlang der Lieferkette gezielt aus: Eine kompromittierte Zulieferer-Mailbox liefert den perfekten Kontext für den Angriff auf den Auftraggeber.
Drei Lösungsansätze für die Lieferkette
Der erste Ansatz ist ein kostenloses Basistraining. Zulieferer können ihre Mitarbeitenden auf ein frei zugängliches Training verweisen, das die ENISA-empfohlenen Kernthemen abdeckt. Ohne Registrierung als Unternehmen, ohne Kosten, ohne IT-Aufwand. Das Training funktioniert am Smartphone — wichtig für Mitarbeitende ohne Firmen-Laptop.
Der zweite Ansatz sind gesponserte Zugänge. Größere Unternehmen können ihren Zulieferern Zugang zu einem strukturierten Trainingsprogramm verschaffen — als Teil der Lieferantenbeziehung. Das ist keine Großzügigkeit, sondern Risikomanagement: Ein geschulter Zulieferer ist ein sichererer Zulieferer.
Der dritte Ansatz kombiniert Training mit Phishing-Simulationen. Eine realistische Phishing-Kampagne zeigt, wie gut Mitarbeitende des Zulieferers tatsächlich auf Angriffe reagieren. Der Benchmark-Report dient beiden Seiten als Nachweis — dem Zulieferer für seine eigene Dokumentation, dem Auftraggeber für sein Lieferketten-Risikomanagement.
Dokumentation gegenüber dem Auftraggeber
Wenn ein Auftraggeber fragt „Wie schulen Sie Ihre Mitarbeitenden in Cybersicherheit?", braucht der Zulieferer eine konkrete Antwort. Idealerweise besteht diese aus einem Schulungsnachweis, der die Teilnahme dokumentiert, einem Zertifikat pro Mitarbeiter und einem Überblick über die behandelten Themen.
Diese Dokumente werden zunehmend Teil der Lieferantenqualifizierung — ähnlich wie Nachweise über Qualitätsmanagement oder Arbeitssicherheit. Wer sie proaktiv vorlegen kann, hat einen Vorteil gegenüber Wettbewerbern, die erst auf Nachfrage reagieren.
Ein Wettbewerbsvorteil für Zulieferer
Für KMU, die als Zulieferer arbeiten, ist Security Awareness nicht nur eine Pflicht — es ist eine Chance zur Differenzierung. Ein Zulieferer, der proaktiv Schulungsnachweise vorlegt und zeigen kann, dass seine Belegschaft auf Phishing-Angriffe vorbereitet ist, positioniert sich als verlässlicher Partner.
In einer Welt, in der Cyberangriffe über die Lieferkette zunehmen und NIS2 die Verantwortung auf Auftraggeber ausdehnt, wird Cybersicherheit zum Auswahlkriterium bei der Lieferantenbewertung.
Häufige Fragen zu NIS2 und Lieferkette
Gilt NIS2 auch für Zulieferer, die selbst nicht unter die Richtlinie fallen?
Nicht direkt — aber faktisch ja: Betroffene Auftraggeber müssen die Sicherheit ihrer Lieferkette nachweisen und geben die Anforderungen vertraglich und über die Lieferantenbewertung an ihre Zulieferer weiter. Wer liefern will, muss zunehmend Schulungs- und Sicherheitsnachweise vorlegen können.
Was verlangt Artikel 21 der NIS2-Richtlinie konkret zur Lieferkette?
Die Sicherheit der Lieferkette ist als verpflichtende Risikomanagementmaßnahme gelistet — einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Unternehmen müssen die spezifischen Schwachstellen ihrer direkten Zulieferer bewerten und angemessene Maßnahmen treffen.
Welche Nachweise verlangen Auftraggeber von Zulieferern?
Üblich sind ein Schulungsnachweis über die Teilnahme der Mitarbeitenden, Zertifikate pro Person und ein Überblick über die behandelten Themen — analog zu Nachweisen aus Qualitätsmanagement oder Arbeitssicherheit in der Lieferantenqualifizierung.
Wie erfüllen Zulieferer ohne Security-Budget die Anforderung?
Der niederschwelligste Einstieg ist ein kostenloses Basistraining, das Mitarbeitende auch am privaten Smartphone absolvieren können — ohne Registrierung als Unternehmen. Alternativ sponsern Auftraggeber ihren Zulieferern den Zugang zu einem strukturierten Programm als Teil des eigenen Lieferketten-Risikomanagements.
Reicht eine einmalige Schulung der Lieferkette?
Nein — wie im eigenen Unternehmen gilt: Awareness muss regelmäßig aufgefrischt werden, sonst verfällt die Wirkung. In der Praxis hat sich ein jährlicher Rhythmus etabliert; ein einmaliges Training überzeugt weder Auditoren noch Auftraggeber dauerhaft.
Kostenloses Training für Ihr gesamtes Team — auch für Zulieferer. Mehr dazu im gratis Security Awareness Training.
Kostenlos starten →