NIS2 in der Lieferkette: Wann sich ISO 27001 lohnt

Das Wichtigste auf einen Blick

Kundenanforderungen reichen über den gesetzlichen Anwendungsbereich hinaus. NIS2-regulierte Unternehmen müssen Sicherheit in der Lieferkette berücksichtigen. Daraus können Sicherheitsanforderungen an nicht regulierte Zulieferer entstehen. [1][2]
Sicherheitsnachweise sind bereits Beschaffungspraxis. In einer ENISA-Befragung verlangen 63 Prozent der Organisationen Standards und Zertifizierungen von Lieferanten. [3]
Der wirtschaftliche Nutzen hat drei Hebel. Zusätzlich gewonnene oder erhaltene Aufträge, weniger Aufwand für Kundenanfragen und Nachweise sowie ein höheres Sicherheitsniveau durch wirksame Maßnahmen zur Verringerung von Cyberrisiken.
Umsetzung zuerst, Zertifizierung gezielt. ISO 27001 lässt sich ohne Zertifizierung anwenden. Ob ein Zertifikat als Kundennachweis ausreicht, hängt unter anderem von Geltungsbereich und Risikobewertung ab. [4][5]

NIS2 in der Lieferkette: Wenn der Kunde Sicherheitsnachweise verlangt

Stellen Sie sich vor, eine wichtige Vertragsverlängerung steht an. Anstatt nur über Preise und Liefertermine zu sprechen, verlangt Ihr Kunde Nachweise zu Notfallvorsorge, Zugriffsrechten und Informationssicherheit. Ihre erste Reaktion lautet vielleicht, dass Sie das alles gar nicht brauchen, weil Ihr Unternehmen gar nicht unter die NIS2 fällt.

Vor dieser Herausforderung stehen viele Unternehmen. Für die Geschäftsplanung wird es dementsprechend immer relevanter, welche Sicherheitsnachweise der Kunde für die weitere Zusammenarbeit voraussetzt. Hieraus ergibt sich die konkrete Frage: Welche Anforderungen müssen Sie erfüllen, um den Auftrag zu erhalten? Und welche Investitionen sind dafür sinnvoll?

Dieser Artikel beleuchtet deshalb die unternehmerische Entscheidung hinter den Anforderungen der NIS2 an Lieferanten und zeigt, wie Sie Kundenanforderungen einordnen, den wirtschaftlichen Nutzen bewerten und eine mögliche Zertifizierung bedarfsgerecht vorbereiten.

Bin ich als Zulieferer von NIS2 betroffen?

Unmittelbare gesetzliche Pflichten treffen Sie als Zulieferer nur, wenn Ihr Unternehmen selbst in den Anwendungsbereich der entsprechenden BSIG-Vorgaben fällt. Unabhängig davon verpflichtet § 30 BSIG regulierte Kunden, sicherheitsbezogene Beziehungen zu unmittelbaren Lieferanten in ihr NIS2 & Third-Party Risk Management einzubeziehen und geeignete, wirksame und verhältnismäßige Maßnahmen zu ergreifen. Aus dieser Anforderung können vertragliche Sicherheits- und Nachweisanforderungen an Sie entstehen, ohne dass Ihr Unternehmen dadurch selbst unmittelbar NIS2-reguliert wird. [1]

Wie konkret Kundenanforderungen dabei werden können, zeigen die europäischen Vorgaben für bestimmte digitale Anbieter, beispielsweise Cloud- und Managed-Service-Provider. Diese sehen risikobezogene Vertragsregelungen zu Sicherheitsmaßnahmen, Vorfallmeldungen und Schwachstellen sowie Auditrechte zur Überprüfung der Maßnahmen vor. Diese Anforderungen gelten nicht unterschiedslos für alle NIS2-Unternehmen, verdeutlichen aber, wie die Sicherheitsverantwortung in Lieferantenverträge übersetzt wird. [2]

Dabei sind diese Instrumente bereits weit im Markt verbreitet. Im Bericht NIS Investments 2025 nennen 63 Prozent der befragten Organisationen Sicherheitsstandards und Zertifizierungen als Lieferantenanforderung. 54 Prozent führen Lieferantenrisikobewertungen oder Audits durch. Die Stichprobe umfasst 1.080 Organisationen, überwiegend Großunternehmen aus hochkritischen Sektoren. [3]

Auch eine internationale ISC2-Befragung aus dem Jahr 2025 unterstreicht die Bedeutung anerkannter Sicherheitsstandards im Lieferantenmanagement. Von 1.062 Befragten mit Cybersicherheitsverantwortung nennen 77 Prozent die Einhaltung von Standards beziehungsweise Nachweisrahmen wie ISO 27001, NIST oder SOC 2 als Lieferantenanforderung. Die Erhebung weist ISO 27001 nicht gesondert aus, zeigt aber, dass standardisierte Sicherheitsnachweise in den untersuchten Geschäftsbeziehungen eine wichtige Rolle spielen. [8]

Die Zahlen belegen damit zwar keine flächendeckende ISO-Pflicht und auch keinen ausschließlich durch NIS2 verursachten Trend. Für Zulieferer sind sie trotzdem ein Anlass, Kundenanforderungen systematisch zu prüfen und die Trends der Branche im Auge zu behalten. [3] [8]

Unsere Empfehlung für Geschäftsführung und Vertrieb lautet daher, bestehende Verträge und relevante Ausschreibungen nach drei Kategorien auszuwerten. Wird ein Zertifikat zwingend verlangt, als Vorteil bewertet oder durch andere Nachweise ersetzt? Daraus entsteht eine belastbarere Investitionsgrundlage als aus der allgemeinen Sorge, „NIS2-ready“ sein zu müssen.

Nachweisaufwand reduzieren mit einem wiederverwendbaren Fundament

Lieferantenfragebögen stellen Zulieferer vor eine konkrete Aufgabe. Sie müssen ihren Kunden nachvollziehbar darlegen, wie sie Informationssicherheit im Unternehmen umsetzen. Dafür reicht es nicht, Sicherheitsmaßnahmen aufzuzählen. Gefragt sind belastbare Nachweise zu Verantwortlichkeiten, Prozessen und deren Umsetzung. Je nach Kundenanforderung können zusätzlich Prüfberichte oder Zertifizierungen relevant werden. [2][5]

In der Praxis haben wir bereits Lieferantenfragebögen mit bis zu 500 Fragen gesehen, was zeigt, wie aufwendig die Bearbeitung werden kann. KI erleichtert die Erstellung umfangreicher Fragenkataloge. Ohne fachliche Prüfung seitens des Erstellers können dabei Fragen entstehen, deren Bezug zur gelieferten Leistung unklar bleibt und deren Umfang unverhältnismäßig hohen Aufwand auslöst. Wer für jede Anfrage Antworten neu formuliert, Dokumente zusammensucht und Rückfragen intern verteilt, bindet erhebliche Ressourcen. Ohne strukturierte Vorbereitung und gezielte Automatisierung wird die Bearbeitung schnell zum Zeitfresser.

Der größte Hebel liegt deshalb darin, Antworten und Nachweise systematisch wiederverwendbar zu machen. Ein Informationssicherheitsmanagementsystem, kurz ISMS, schafft dafür die organisatorische Grundlage. Eine Integration von ISO 27001 und NIS2 bietet einen Rahmen, um Informationsrisiken zu steuern, Verantwortlichkeiten festzulegen und das Sicherheitsmanagement kontinuierlich zu verbessern. [4]

Für Kundenanfragen empfehlen wir, darauf aufbauend einen zentral gepflegten Antwort- und Nachweiskatalog anzulegen. Wiederkehrende Fragen werden mit abgestimmten Antworten und den passenden Belegen verknüpft, beispielsweise zu Zugriffsrechten, Datensicherung oder Notfallprozessen, wobei Verantwortliche und Aktualisierungsstände hinterlegt sein sollten. So lässt sich bei einer neuen Anfrage gezielt prüfen, welche Nachweise bereits vorliegen und wo kundenspezifische Ergänzungen erforderlich sind.

Auch eine Zertifizierung kann Teil dieses Nachweispakets sein. Klären Sie frühzeitig mit dem Kunden, ob ein gültiges ISO-27001-Zertifikat mit passendem Geltungsbereich einzelne Nachweise ersetzt. Eine pauschale Befreiung von weiteren Prüfungen folgt daraus nicht, denn die kundenspezifische Risikobewertung bleibt maßgeblich. [4][5] Ob sich Ihre Vorbereitung auszahlt, können Sie konkret an den Bearbeitungsstunden je Anfrage und dem Aufwand für zusätzliche Rückfragen messen.

Den ROI an Zeit, Aufträgen und Sicherheit messen

Kommen wir nun zur wirtschaftlichen Betrachtung. Wir empfehlen, drei Nutzenpositionen getrennt zu betrachten, um sichtbar zu machen, wo das ISMS im eigenen Unternehmen Mehrwert schafft und welchen zusätzlichen Beitrag eine Zertifizierung leisten kann.

Erstens: den geschäftlichen Beitrag. Bewerten Sie zusätzlich gewonnene oder erhaltene Aufträge anhand ihres Deckungsbeitrags. Dokumentieren Sie im Vertrieb, bei welchen Ausschreibungen oder Kundenbeziehungen Sicherheitsnachweise eine Voraussetzung waren oder die Entscheidung beeinflusst haben. Ein Zertifikat allein garantiert keinen Zuschlag. Rechnen Sie deshalb nur den plausibel zurechenbaren, gegebenenfalls wahrscheinlichkeitsgewichteten Anteil an.

Zweitens: die operative Entlastung. Multiplizieren Sie eingesparte Stunden bei Kundenanfragen und Prüfungen mit den internen Kosten pro Stunde. Erfassen Sie dafür die Bearbeitungszeit vergleichbarer Anfragen, etwa von Lieferantenfragebögen oder Nachweisanforderungen in Ausschreibungen. Berücksichtigen Sie dabei den Aufwand für die laufende Pflege der Nachweise. Entscheidend ist die Entlastung, die nach Abzug dieses Pflegeaufwands tatsächlich verbleibt.

Drittens: den tatsächlichen Sicherheitsgewinn. Ein wirksames ISMS hilft, Informationsrisiken systematisch zu erkennen, zu behandeln und die Wirksamkeit von Maßnahmen zu überprüfen. Der Nutzen besteht darin, Sicherheitsvorfälle weniger wahrscheinlich zu machen und ihre möglichen Auswirkungen zu begrenzen. [4][6] Bewerten Sie hierfür konkrete Schadensszenarien, beispielsweise einen Produktionsstillstand, den Verlust vertraulicher Kundendaten, Reputationsschäden, den Abfluss von Betriebsgeheimnissen oder eine aufwendige Wiederherstellung nach einem Angriff. Vergleichen Sie das geschätzte Risiko vor und nach den vorgesehenen Maßnahmen. Dokumentieren Sie die zugrunde liegenden Annahmen und arbeiten Sie bei unsicheren Eintrittswahrscheinlichkeiten oder Schadenshöhen mit Bandbreiten.

Trennen Sie in Ihrer Budgetplanung den ISMS-Aufbau, das erstmalige Zertifizierungsaudit und die späteren Überwachungsaudits. Berücksichtigen Sie außerdem interne Arbeitszeit, technische Investitionen, den laufenden Betrieb und die Rezertifizierung, soweit diese nicht bereits eingerechnet sind.

Die Kosten einer ISO-27001-Zertifizierung hängen unter anderem von der Zahl der Personen im Geltungsbereich und der Komplexität des ISMS ab. Die spezifischen Anforderungen an Stellen, die ISMS auditieren und zertifizieren, regelt ISO/IEC 27006-1. [10] Für die Budgetplanung sollten Sie neben dem erstmaligen Zertifizierungsaudit auch die späteren Überwachungs- und Rezertifizierungsaudits berücksichtigen.

Der Aufwand im ersten Jahr hängt vor allem von der Zahl der Personen im Geltungsbereich, der Ausgangslage, der Zahl der Audittage und dem Umfang externer Unterstützung ab. Die Gesamtspanne umfasst mehr als die reinen Auditgebühren und hängt insbesondere von Unternehmensgröße, Ausgangslage und externer Unterstützung ab. Es handelt sich um eine Anbieter-Schätzung zur Orientierung, nicht um eine offizielle Preisliste oder ein verbindliches Angebot. [9]

Für den ISMS-Aufbau sollten Sie zusätzlich zur Unternehmensgröße und Komplexität vor allem die vorhandenen Prozesse und Sicherheitsmaßnahmen betrachten. Je mehr davon bereits wirksam umgesetzt und dokumentiert ist, desto weniger muss im Projekt neu aufgebaut werden.

Ein Rechenbeispiel für einen Zulieferer mit 80 Beschäftigten:

Das folgende vereinfachte Beispiel verwendet ausschließlich hypothetische Annahmen. Es zeigt die Rechenmethode, keine typischen Ergebnisse oder ADVISORI-Erfahrungswerte.

Operative Entlastung. Der Zulieferer spart nach Abzug der Nachweispflege jährlich 120 Arbeitsstunden bei Kundenanfragen und Prüfungen. Bei internen Kosten von 50 Euro pro Stunde entspricht das einem rechnerischen Nutzen von 6.000 Euro pro Jahr.

Geschäftlicher Beitrag. Ein zusätzlicher Auftrag erzielt jährlich 20.000 Euro Deckungsbeitrag. Das Unternehmen rechnet davon im Beispiel 50 Prozent den verbesserten Sicherheitsnachweisen zu. Daraus ergibt sich ein zurechenbarer Beitrag von 10.000 Euro pro Jahr.

Sicherheitsgewinn. Für ein definiertes Schadensszenario sinkt der geschätzte jährliche Schadenserwartungswert durch die umgesetzten Maßnahmen von 12.000 auf 4.000 Euro. Die rechnerische Risikoreduktion beträgt damit 8.000 Euro pro Jahr.

Zusammen ergeben die drei Nutzenpositionen einen angenommenen jährlichen Nutzen von 24.000 Euro.

Für das Beispiel betrachten wir die Aufbauphase und drei anschließende Betriebsjahre. Sämtliche Kosten sind hypothetische Annahmen. Für den Aufbau einschließlich interner Arbeitszeit, externer Unterstützung und Erstzertifizierung setzen wir einmalig 30.000 Euro an. Für den übrigen laufenden Betrieb und die Überwachungsaudits kommen über drei Jahre insgesamt 18.000 Euro hinzu. Die bereits bei der Zeitersparnis abgezogene Nachweispflege ist darin nicht enthalten. Weitere 6.000 Euro werden für die Rezertifizierung am Ende des betrachteten Zertifizierungszyklus angesetzt. Daraus ergeben sich 54.000 Euro Gesamtkosten.

Entsteht der zuvor berechnete Nutzen von jährlich 24.000 Euro in jedem der drei Betriebsjahre, summiert er sich auf 72.000 Euro. Für die Aufbauphase rechnen wir vorsichtig noch keinen Nutzen an. Der vereinfachte ROI über den gesamten Betrachtungszeitraum beträgt damit 33 %, berechnet als (72.000 − 54.000) ÷ 54.000. Eine Abzinsung bleibt in diesem Beispiel unberücksichtigt.

Jeder Aufwand und Nutzen wird nur einmal berücksichtigt. Die Nachweispflege ist bereits von der Zeitersparnis abgezogen und deshalb aus den zusätzlich angesetzten Betriebskosten ausgeschlossen. Ebenso umfasst die geschätzte Risikoreduktion im Beispiel keine Auftragsverluste, die bereits im geschäftlichen Beitrag berücksichtigt sind.

Eingesparte Arbeitszeit schafft zunächst freie Kapazität und senkt nicht automatisch die Personalausgaben. Auch der Sicherheitsgewinn ist eine geschätzte Verringerung erwarteter Schäden, kein garantierter Geldzufluss. Ohne diesen Risikobeitrag läge der rechnerische Nutzen bei 48.000 Euro und damit unter den Gesamtkosten. So wird sichtbar, welche Annahmen die Investitionsentscheidung tragen.

Entscheidend ist, den Nutzen des ISMS vom zusätzlichen Nutzen des Zertifikats zu unterscheiden. Der Sicherheitsgewinn entsteht durch wirksame Maßnahmen und deren kontinuierliche Verbesserung. Die Zertifizierung ergänzt einen unabhängigen Nachweis. [4] Bewerten Sie deshalb zunächst die Investition in das Sicherheitsmanagement und anschließend, welchen zusätzlichen wirtschaftlichen Beitrag die Zertifizierung leistet. So lässt sich auch entscheiden, ob das Zertifikat bereits jetzt benötigt wird oder zunächst der Aufbau eines zertifizierbaren ISMS im Vordergrund steht.

Ein Zertifikat muss die gelieferte Leistung abdecken

Ein gültiges ISO-27001-Zertifikat ist nur dann ein geeigneter Nachweis, wenn sein Geltungsbereich zur gelieferten Leistung passt. Das österreichische Bundesamt für Cybersicherheit betont, dass seine Eignung anhand der jeweiligen Risikobewertung zu prüfen ist. [5] Deckt das Zertifikat beispielsweise nur Verwaltungsprozesse ab, beantwortet es nicht automatisch Sicherheitsfragen zur Fernwartung einer Produktionsanlage.

Auch bei passendem Geltungsbereich können Kunden ergänzende Nachweise zur tatsächlichen Umsetzung verlangen und vertraglich Auditrechte vereinbaren. [2][5] Zulieferer sollten deshalb dokumentieren können, wie relevante Sicherheitsmaßnahmen im Alltag funktionieren und auf ihre Wirksamkeit überprüft werden. [6]

Ein ISO-27001-Zertifikat ist kein pauschaler Nachweis für die Erfüllung sämtlicher NIS2-Pflichten. Gleichen Sie daher den zertifizierten Geltungsbereich und die vorhandenen Nachweise mit den konkreten Kundenanforderungen ab. Eine weiterführende Einordnung bietet das BSI im Infopaket „ISO/IEC 27001 im Kontext NIS-2/BSIG“. [11]

ISO 27001 für KMU: strukturiert beginnen, bedarfsgerecht zertifizieren

Gerade kleinen und mittleren Unternehmen (KMU), jungen Unternehmen oder Organisationen mit wenig strukturiertem Sicherheitsmanagement empfehlen wir, den Aufbau früh an ISO 27001 oder anderen Cybersicherheitsframeworks auszurichten. Für KMU mit begrenzten personellen und finanziellen Ressourcen empfiehlt sich ein schrittweises Vorgehen, das die wesentlichen Risiken und konkreten Kundenanforderungen priorisiert. ISO 27001 bietet dafür einen Rahmen, der sich an Größe und Kontext der Organisation ausrichten lässt. Eine Zertifizierung sollte sich am tatsächlichen Bedarf orientieren. Ergänzend bietet der BSI-IT-Grundschutz konkrete Vorgehensweisen und Sicherheitsanforderungen. [4][6]

Daraus ergeben sich drei strategische Prioritäten.

Geschäftsführung und Vertrieb identifizieren Kundenbeziehungen und Ausschreibungen, bei denen Nachweise geschäftskritisch sind.
Finanzverantwortliche vergleichen zurechenbare Zeitersparnisse, Auftragsbeiträge und die geschätzte Verringerung erwarteter Schäden mit den gesamten Aufwänden. Dabei berücksichtigen sie beispielsweise Betriebsunterbrechungen, Datenverlust und Wiederherstellungskosten.
IT- und Sicherheitsverantwortliche bauen wirksame Maßnahmen samt überprüfbaren Nachweisen für den passenden Geltungsbereich auf.

Informationssicherheit bleibt dabei ein eigenes Unternehmensinteresse. Gerade heutzutage bestehen erhebliche Risiken durch Ransomware, digitale Abhängigkeiten und geopolitisch beeinflusste Cyberaktivitäten. [7]

Beginnen Sie mit einer kompakten Übersicht Ihrer wichtigsten Kundenanforderungen. Halten Sie geforderte Nachweise, Fristen, vorhandene Belege und Lücken fest. Daraus lässt sich ableiten, welche Maßnahmen zuerst erforderlich sind und wann eine Zertifizierung wirtschaftlich sinnvoll wird.

Bereit für die Sicherheitsanforderungen Ihrer Kunden?

Sie möchten klären, welche NIS2-Anforderungen Ihre Kunden an Sie weitergeben und wann sich eine ISO-27001-Zertifizierung lohnt? Wir unterstützen Sie dabei, Ihre Ausgangslage zu bewerten und die nächsten Schritte zu priorisieren.

Informieren Sie sich über unsere NIS2-Beratung und unsere Begleitung zur ISO-27001-Zertifizierung. Kontaktieren Sie uns und fordern Sie ein unverbindliches Angebot an, das zu Ihrem Unternehmen und Ihren Kundenanforderungen passt.

Häufige Fragen

Welche Unternehmen sind als Zulieferer von NIS2 betroffen?

Ob ein Zulieferer unmittelbar unter die NIS2-Vorgaben des BSIG fällt, hängt insbesondere von seiner Tätigkeit, der Unternehmensgröße und gesetzlichen Sonderfällen ab. Eine erste, rechtlich unverbindliche Orientierung bietet die NIS2-Betroffenheitsprüfung des BSI. Auch nicht unmittelbar regulierte Zulieferer können über ihre Kunden vertragliche Sicherheits- und Nachweisanforderungen erhalten, weil § 30 BSIG die Sicherheit der Lieferkette einbezieht. Die Lieferantenbeziehung allein begründet jedoch keine unmittelbare NIS2-Pflicht. [1]

Reicht ein ISO-27001-Zertifikat als Nachweis gegenüber NIS2-pflichtigen Kunden?

Ein Zertifikat kann als unabhängiger Nachweis dienen, ersetzt aber nicht automatisch die kundenspezifische Risikobewertung. Entscheidend ist unter anderem, ob sein Geltungsbereich die gelieferte Leistung umfasst. Kunden können ergänzende Nachweise zur tatsächlichen Umsetzung relevanter Sicherheitsmaßnahmen verlangen. [2][4][5]

Was regelt § 30 BSIG für Lieferanten?

§ 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, die Sicherheit ihrer Lieferkette in ihre Risikomanagementmaßnahmen einzubeziehen. Dazu gehören sicherheitsbezogene Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Für Zulieferer können daraus vertragliche Sicherheits- und Nachweisanforderungen entstehen, ohne dass sie allein dadurch selbst unmittelbar NIS2-reguliert werden. [1]

Was kostet ISO 27001 für ein KMU ungefähr?

Eine belastbare Größenordnung lässt sich erst nach Geltungsbereich und Ausgangslage nennen; die größten Aufwandstreiber sind interne Arbeitszeit, Zahl der Audittage und externe Unterstützung. Das ist eine grobe Schätzung, keine offizielle Preisliste; der tatsächliche Aufwand hängt insbesondere von Geltungsbereich, Ausgangslage und externer Unterstützung ab. [9] Kalkulieren Sie Aufbau, Zertifizierung und laufenden Betrieb getrennt und berücksichtigen Sie auch interne Arbeitszeit sowie spätere Überwachungs- und Rezertifizierungsaudits. Weitere Informationen zu den Kostenbestandteilen finden Sie auf unserer Seite zur ISO-27001-Zertifizierung.

Wie beantworte ich umfangreiche Lieferantenfragebögen effizient?

Bauen Sie ein gepflegtes Nachweispaket mit freigegebenen Standardantworten, dokumentierten Verantwortlichkeiten, Sicherheitsmaßnahmen und Notfallprozessen auf. Klären Sie vor der Bearbeitung, welche Fragen zur gelieferten Leistung passen und welche Belege der Kunde akzeptiert. Nutzen Sie wiederverwendbare Antworten und gezielte Automatisierung, prüfen Sie aber jede Antwort auf Aktualität und tatsächliche Umsetzung. Messen Sie die Entlastung anhand der Bearbeitungsstunden je Anfrage.