NIS2 und Ihre Softwarelieferanten: was beide Seiten tun müssen

01Wo NIS2 im Herbst 2026 steht

Die NIS-2-Richtlinie (öffnet externe Website), Richtlinie (EU) 2022/2555, wurde am 27. Dezember 2022 im Amtsblatt veröffentlicht und trat am 16. Januar 2023 in Kraft. Die Mitgliedstaaten mussten ihre nationalen Vorschriften bis zum 17. Oktober 2024 erlassen und veröffentlichen und ab dem 18. Oktober 2024 anwenden. An diesem Tag wurde die erste NIS-Richtlinie aufgehoben.

Weil NIS2 eine Richtlinie ist, bindet eine Organisation das nationale Umsetzungsgesetz, nicht die Richtlinie selbst. Die Umsetzung verläuft ungleich: Einige Mitgliedstaaten wandten ihr Gesetz fristgerecht an, andere erst 2025 oder 2026, und die Europäische Kommission hat gegen Mitgliedstaaten, die die Frist versäumt haben, Vertragsverletzungsverfahren eingeleitet. Registrierung, Meldeportale und Aufsichtsbehörden unterscheiden sich daher von Land zu Land.

02Wesentliche und wichtige Einrichtungen

NIS2 gilt für öffentliche und private Einrichtungen in den Sektoren von Anhang I (Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum) und Anhang II (sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung). In der Regel erfasst sie mittlere und große Organisationen. Manche fallen unabhängig von ihrer Größe darunter, etwa Vertrauensdiensteanbieter, DNS-Diensteanbieter und Einrichtungen der Zentralregierung.

Artikel 3 teilt diese Organisationen dann in zwei Kategorien ein:

• Wesentliche Einrichtungen: vor allem große Organisationen in Sektoren des Anhangs I, dazu Einrichtungen, die unabhängig von ihrer Größe wesentlich sind, etwa qualifizierte Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe, DNS-Diensteanbieter und Einrichtungen der Zentralregierung. Sie werden proaktiv beaufsichtigt, was Audits und Vor-Ort-Kontrollen einschließen kann.
• Wichtige Einrichtungen: die übrigen Organisationen im Anwendungsbereich der Anhänge I und II. Die Aufsicht erfolgt nachträglich: Die Behörde wird tätig, wenn Hinweise auf Verstöße vorliegen.

Beide Kategorien haben dieselben Kernpflichten: Risikomanagementmaßnahmen (Artikel 21), Meldung von Sicherheitsvorfällen (Artikel 23) und Verantwortung der Leitung (Artikel 20). Der Unterschied liegt in der Aufsicht und bei den Geldbußen. Für Verstöße gegen Artikel 21 oder 23 muss das nationale Recht Höchstbeträge von mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen vorsehen und von mindestens 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist. Ob und in welchem Umfang Geldbußen gegen Einrichtungen der öffentlichen Verwaltung verhängt werden können, entscheidet jeder Mitgliedstaat selbst.

Fällt Ihr Softwarelieferant selbst unter NIS2?

Software zu entwickeln ist für sich genommen kein NIS2-Sektor. Ein Lieferant kann aber direkt betroffen sein. Anhang I erfasst Anbieter verwalteter Dienste, und NIS2 fasst diese weit: Einrichtungen, die für Kunden IKT-Produkte, Netze, Infrastruktur oder Anwendungen installieren, verwalten, betreiben oder warten, vor Ort oder aus der Ferne. Ein mittlerer oder größerer Lieferant, der Anwendungen für Kunden betreibt oder wartet, kann daher selbst unter NIS2 fallen, ebenso Anbieter von Cloud-Computing- und Rechenzentrumsdiensten. Für diese Anbieter regelt die Durchführungsverordnung (EU) 2024/2690 (öffnet externe Website) die technischen Anforderungen im Detail.

Die meisten Softwarelieferanten erreicht NIS2 jedoch über ihre Kunden, die ihre eigene Pflicht zur Lieferkettensicherheit in Vertragsklauseln, Fragebögen und Audits übersetzen. Softwareprodukte fallen zudem unter den Cyber Resilience Act (öffnet externe Website), die Verordnung (EU) 2024/2847: Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten ab dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027.

03Die zehn Mindestmaßnahmen nach Artikel 21

Artikel 21 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen auf Grundlage eines gefahrenübergreifenden Ansatzes. Sie berücksichtigen den Stand der Technik und einschlägige europäische und internationale Normen und stehen im Verhältnis zur Risikoexposition, zur Größe der Einrichtung und zur wahrscheinlichen Schwere von Vorfällen. Sie umfassen mindestens:

1. 01Konzepte für Risikoanalyse und Sicherheit von Informationssystemen;
2. 02Bewältigung von Sicherheitsvorfällen;
3. 03Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement;
4. 04Sicherheit der Lieferkette, einschließlich der Sicherheitsaspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern;
5. 05Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen;
6. 06Konzepte und Verfahren, um die Wirksamkeit dieser Maßnahmen zu bewerten;
7. 07grundlegende Verfahren der Cyberhygiene und Schulungen zur Cybersicherheit;
8. 08Konzepte und Verfahren für Kryptografie und gegebenenfalls Verschlüsselung;
9. 09Personalsicherheit, Konzepte für die Zugriffskontrolle und Management von Anlagen;
10. 10gegebenenfalls Multi-Faktor- oder kontinuierliche Authentifizierung sowie gesicherte Sprach-, Video-, Text- und Notfallkommunikation.

Bei den Punkten 4 und 5 kommen die Lieferanten ins Spiel. Artikel 21 Absatz 3 verlangt, die spezifischen Schwachstellen jedes unmittelbaren Anbieters, die Gesamtqualität seiner Produkte und Cybersicherheitspraktiken sowie seine Verfahren für eine sichere Entwicklung zu berücksichtigen. Ihre Kunden müssen also darauf schauen, wie Sie Software entwickeln, nicht nur darauf, was Sie liefern.

04Die Leitung billigt, überwacht und haftet

Nach Artikel 20 müssen die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen und ihre Umsetzung überwachen, und sie können für Verstöße verantwortlich gemacht werden. Ihre Mitglieder müssen an Schulungen teilnehmen, und den Einrichtungen wird empfohlen, auch ihre Beschäftigten regelmäßig zu schulen. Für öffentliche Stellen gelten die nationalen Haftungsregeln für öffentliche Einrichtungen und Amtsträger weiter.

Das verändert das Gespräch mit Lieferanten. Eine Leitung, die die Maßnahmen billigen muss, will Nachweise, die sie nachvollziehen kann: welche Lieferanten welche Dienste tragen, welche Risiken bleiben und was tatsächlich getestet wurde.

05Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Artikel 23 verpflichtet Einrichtungen, erhebliche Sicherheitsvorfälle ihrem CSIRT oder der zuständigen Behörde zu melden. Ein Vorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt. Die Meldung erfolgt in Stufen:

Gegebenenfalls müssen Einrichtungen außerdem die Empfänger ihrer Dienste unverzüglich über erhebliche Sicherheitsvorfälle unterrichten, die die Erbringung dieser Dienste beeinträchtigen könnten. Die nationalen Gesetze ergänzen eigene Formulare und Portale.

Die Frist beginnt, wenn die Einrichtung Kenntnis vom Vorfall erhält. Beginnt der Vorfall in einem System des Lieferanten, kann der Kunde die 24 Stunden nur einhalten, wenn der Lieferant ihn binnen weniger Stunden erkennt, einordnet und weitergibt. Erkennung, Protokollierung und ein vereinbarter Meldeweg gehören deshalb in den Vertrag, nicht nur in die Technik.

06Was ein Kunde unter NIS2 von seinem Softwarelieferanten verlangt

In der Praxis übersetzt sich Artikel 21 in technische Maßnahmen und Nachweise, die ein Lieferant ohne eigenes Projekt vorlegen können sollte. Diese begegnen uns am häufigsten:

• Ein sicherer Entwicklungsprozess. Bedrohungsmodellierung bei wesentlichen Änderungen, Peer Reviews, automatisierte Sicherheitstests und Abhängigkeitsprüfung in der Pipeline, signierte Builds und eine Software-Stückliste (SBOM) für jedes Release.
• Schwachstellenmanagement und Offenlegung. Ein öffentlicher Meldeweg für Schwachstellen, nach Schweregrad vereinbarte Reaktionszeiten und eine Information des Kunden, wenn eine Schwachstelle seine Umgebung betrifft.
• Zugriffskontrolle für Mitarbeitende des Lieferanten. Persönliche Konten, Multi-Faktor-Authentifizierung, minimale Rechte, zeitlich begrenzte erhöhte Rechte und ein Protokoll jeder administrativen Aktion in der Umgebung des Kunden.
• Protokollierung und Nachweise bei Vorfällen. Sicherheitsrelevante Ereignisse mit verlässlichen Zeitstempeln, für einen vereinbarten Zeitraum aufbewahrt und exportierbar, damit der Kunde die Fragen der Frühwarnung und des Abschlussberichts beantworten kann.
• Zusammenarbeit bei Vorfällen. Feste Ansprechpersonen und ein fester Kanal, eine Meldefrist deutlich innerhalb der 24 Stunden des Kunden und Unterstützung bei der Ursachenanalyse.
• Kontinuität und Wiederherstellung. Backups, deren Wiederherstellung getestet ist, mit den Zielen des Kunden abgestimmte Wiederanlaufzeiten und ein geübtes Verfahren.
• Dokumentation der Lieferkette. Eine aktuelle Liste der Unterauftragnehmer und Hosting-Standorte sowie der wichtigsten Komponenten und Dienste Dritter, auf denen die Lösung aufbaut.
• Ein Exit-Plan. Datenexport in nutzbaren Formaten, Dokumentation und Unterstützung bei der Übergabe, damit der Kunde den Lieferanten wechseln kann, ohne die Kontrolle über den Dienst zu verlieren.

Für reife Engineering-Teams ist nichts davon neu. Neu ist, dass der Kunde es nachweisen können muss. Unsere Seite zu Vertrauen und Compliance beschreibt, wie wir als Lieferant arbeiten, mit einem nach ISO/IEC 27001 zertifizierten Informationssicherheits-Managementsystem.

07Eine Checkliste für Verträge und Vergabe

1. 01Ordnen Sie Lieferanten den Diensten zu. Halten Sie fest, welche Lieferanten welche betroffenen Dienste tragen und wer Zugriff auf Ihre Systeme oder Daten hat.
2. 02Stufen Sie nach Kritikalität ein. Stellen Sie die höchsten Anforderungen an Lieferanten, die kritische Systeme betreiben oder verändern können.
3. 03Verankern Sie die Maßnahmen im Vertrag. Sicherheitsanforderungen, Meldefrist und Meldeweg für Vorfälle, Schwachstellenmanagement, Protokollierung und Aufbewahrung, Audit- oder Nachweisrechte, Regeln für Unterauftragnehmer und Standorte.
4. 04Verlangen Sie Nachweise statt Erklärungen. Zertifikate mit ihrem Geltungsbereich, Testergebnisse, eine SBOM, das Datum des letzten Wiederherstellungstests.
5. 05Vereinbaren Sie den Ausstieg im Voraus. Rückgabe der Daten, Unterstützung beim Übergang und den Zeitraum, in dem der Lieferant den Dienst weiter erbringt.
6. 06Üben Sie gemeinsam. Führen Sie mit Ihren kritischen Lieferanten eine Übung durch, einschließlich der Frühwarnung innerhalb von 24 Stunden.
7. 07Überprüfen Sie regelmäßig. Lieferanten, Dienste und Bedrohungen ändern sich; ein Lieferantenverzeichnis, das einmal im Jahr aktualisiert wird, ist den größten Teil des Jahres veraltet.

08Die Details regelt das nationale Recht

Registrierung, Meldeportale, Formulare, die zuständige Behörde und etwaige zusätzliche Anforderungen ergeben sich aus dem nationalen Recht. Manche Mitgliedstaaten verknüpfen die Maßnahmen nach Artikel 21 mit einem nationalen Rahmenwerk oder einer Zertifizierung. In der Regel unterliegt eine Einrichtung dem Mitgliedstaat, in dem sie niedergelassen ist. Artikel 26 macht Ausnahmen: Anbieter öffentlicher elektronischer Kommunikation unterliegen jedem Land, in dem sie ihre Dienste erbringen, Cloud-, Rechenzentrums- und Managed-Service-Anbieter sowie einige weitere digitale Anbieter dem Land ihrer Hauptniederlassung und Einrichtungen der öffentlichen Verwaltung dem Staat, der sie errichtet hat.

09Was Sie in den nächsten Monaten verfolgen sollten

• Ihre nationale Umsetzung: Registrierungsfristen, Durchführungsvorschriften und die Hinweise Ihrer Behörde.
• Den Vorschlag der Kommission für einen digitalen Omnibus (öffnet externe Website) vom 19. November 2025, COM(2025) 837, nach dem Meldungen nach NIS2, DSGVO, DORA und weiteren Rechtsakten über eine zentrale Meldestelle der ENISA laufen würden. Im Oktober 2026 lag er noch beim Europäischen Parlament (öffnet externe Website)); bis er angenommen ist und gilt, bleiben die heutigen Meldewege und Fristen maßgeblich.
• Koordinierte EU-Risikobewertungen kritischer IKT-Lieferketten nach Artikel 22, die Einrichtungen bei der Wahl ihrer Maßnahmen gegenüber Lieferanten berücksichtigen müssen.
• Den Zeitplan des Cyber Resilience Act für Softwareprodukte, der ab dem 11. Dezember 2027 vollständig gilt.

Für Finanzunternehmen ersetzt die Verordnung über die digitale operationale Resilienz (DORA) die NIS2-Regeln zu IKT-Risikomanagement, Meldung von Vorfällen und Aufsicht; siehe unseren Beitrag zu DORA und IKT-Drittdienstleistern. Einen Überblick über NIS2 und die Durchführungsrechtsakte gibt die Kommission auf ihrer NIS2-Seite (öffnet externe Website).