Leitfaden Lieferkette · 9 Min.
Verbindliche technische NIS2-Anforderungen an Cloud-, MSP- und DNS-Anbieter (Verordnung 2024/2690)
NIS2 ist größtenteils eine Richtlinie, die jedes Land in eigenes Recht überführt, und deshalb enden viele Lieferantengespräche noch immer mit "wir warten auf das nationale Gesetz". Für eine Gruppe von Anbietern trifft das nicht zu. Die Durchführungsverordnung (EU) 2024/2690 der Kommission gilt seit Oktober 2024 unmittelbar in allen 27 Mitgliedstaaten und ersetzt die allgemeinen Formulierungen des Artikels 21 durch dreizehn Abschnitte konkreter technischer Anforderungen. Wenn Sie Cloud-Dienste, verwaltete Dienste, DNS-Dienste, Rechenzentrumsdienste oder Vertrauensdienste beziehen, trägt Ihr Anbieter diese Pflichten bereits, und Sie können heute Nachweise verlangen.
Prüfen Sie jetzt Ihre Domain
Sehen Sie, was über die Sicherheit Ihrer Organisation öffentlich sichtbar ist, ohne Anmeldung.
Diese Sofortvorschau prüft:
- HTTPS erreichbar
- HSTS aktiviert
- HTTP→HTTPS-Weiterleitung
- SPF konfiguriert
- DMARC durchgesetzt
- E-Mail (MX) konfiguriert
Der vollständige Bericht ergänzt Ransomware, Dark Web, Zertifikate, Unternehmensdaten und über 100 weitere Kontrollen.
Das Wichtigste
- • Die Verordnung gilt unmittelbar in jedem Mitgliedstaat. Auf ein nationales Gesetz muss niemand warten.
- • Sie benennt elf Anbietertypen, darunter Managed-Service- und Managed-Security-Service-Anbieter.
- • Sechs der dreizehn Anforderungsbereiche hinterlassen Spuren, die Sie von außen prüfen können. Die übrigen sieben müssen erfragt werden.
Welche Anbieter erfasst sind
Die Verordnung gilt nicht für jede Einrichtung im Anwendungsbereich von NIS2. Sie gilt für elf Anbietertypen in drei Gruppen, und die Liste lohnt genaues Lesen, denn zwei der Gruppen beschreiben Anbieter, von denen inzwischen fast jedes Unternehmen abhängt.
Digitale Infrastruktur
DNS-Diensteanbieter, Registrierungsstellen für Top-Level-Domains, Cloud-Computing-Dienste, Rechenzentrumsdienste, Content Delivery Networks, Vertrauensdiensteanbieter
Verwaltung von IKT-Diensten
Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste
Anbieter digitaler Dienste
Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke
Amtliche Quelle: Durchführungsverordnung (EU) 2024/2690 der Kommission — erlassen am 17. Oktober 2024, unmittelbar in allen Mitgliedstaaten anwendbar. Geprüft am 13. August 2026.
Warum sich diese Verordnung vom übrigen NIS2 unterscheidet
NIS2 ist eine Richtlinie: sie setzt Ziele, und jeder Mitgliedstaat gießt sie im eigenen Zeitplan in nationales Recht. Das ist der ehrliche Grund dafür, dass über Lieferantenanforderungen noch verhandelt statt auf sie verwiesen wird. Eine Durchführungsverordnung wirkt umgekehrt. Sie gilt so, wie sie geschrieben ist, in jedem Mitgliedstaat, ohne nationalen Zwischenschritt. Für diese elf Anbietertypen gibt es daher keine Umsetzung abzuwarten und keine nationalen Unterschiede zu bestreiten, und die Anforderungen sind aufgezählt statt als Grundsätze beschrieben.
Sehen Sie, wie Sie und Ihre Lieferanten tatsächlich abschneiden
Kostenlos · keine Kreditkarte · ohne Zeitlimit
Die dreizehn Anforderungsbereiche
Der Anhang nennt dreizehn Bereiche. Aus Sicht eines Einkäufers zerfallen sie in drei Arten: solche, die Spuren im öffentlichen Internet hinterlassen, solche mit teilweisen Spuren, und solche, die nur innerhalb der Organisation des Anbieters existieren.
- 1Konzept für die Sicherheit von Netz- und InformationssystemenMuss erfragt werden
- 2RisikomanagementkonzeptMuss erfragt werden
- 3Behandlung von SicherheitsvorfällenMuss erfragt werden
- 4Betriebskontinuität und KrisenmanagementMuss erfragt werden
- 5Sicherheit der LieferketteTeilweise sichtbar
- 6Sicherheit bei Beschaffung, Entwicklung und WartungVon außen sichtbar
- 7Bewertung der Wirksamkeit der MaßnahmenTeilweise sichtbar
- 8Grundlegende Cyberhygiene und SchulungenMuss erfragt werden
- 9KryptografieVon außen sichtbar
- 10PersonalsicherheitMuss erfragt werden
- 11ZugriffskontrolleTeilweise sichtbar
- 12Verwaltung der WerteVon außen sichtbar
- 13Umgebungs- und physische SicherheitMuss erfragt werden
Was Sie prüfen können und was nicht
Hier lohnt Genauigkeit, denn eine Lieferantenbewertung, die mehr zu sehen behauptet, als sie sieht, ist schlechter als eine, die ihre Grenzen benennt. Sieben der dreizehn Bereiche lassen sich von außen überhaupt nicht beobachten.
Von außen sichtbar
Drei Bereiche hinterlassen unmittelbare Spuren. Wartung und Patches zeigen sich als bekannte Schwachstellen in exponierten Diensten. Kryptografie zeigt sich in der Gültigkeit der Zertifikate und der Stärke der TLS-Konfiguration. Die Verwaltung der Werte zeigt sich in Systemen im Internet, die der Anbieter womöglich vergessen hat, einschließlich Subdomains und Diensten, die niemand offen lassen wollte.
Teilweise sichtbar
Drei weitere sind teilweise sichtbar. Die Sicherheit der Lieferkette lässt sich stichprobenartig daran ablesen, von welchen Dritten die eigenen Systeme des Anbieters abhängen. Die Zugriffskontrolle lässt sich an exponierten Administrationsoberflächen und geleakten Zugangsdaten stichprobenartig prüfen, auch wenn die Mehr-Faktor-Authentifizierung selbst nicht sichtbar ist. Die Wirksamkeit der Maßnahmen zeigt sich teilweise daran, ob extern sichtbare Mängel behoben werden und behoben bleiben.
Muss erfragt werden
Sieben sind gar nicht sichtbar: Konzept, Risikomanagement, Vorfallbehandlung, Kontinuität, Schulung, Personalsicherheit und physische Sicherheit. Keine externe Prüfung wird sie je belegen, und ein Lieferantenfragebogen ist der übliche Weg, sie abzudecken. Genau deshalb gehören beide zusammen und sind keine Alternativen zueinander.
Wann ein Vorfall meldepflichtig wird
Die Verordnung legt auch fest, wann ein Vorfall als erheblich gilt, also ab wann der Anbieter seine Behörde unterrichten muss. Zu den allgemeinen Kriterien zählen ein finanzieller Schaden über 500 000 Euro oder fünf Prozent des Jahresumsatzes, der Abfluss von Geschäftsgeheimnissen sowie Todesfälle oder erhebliche Gesundheitsschäden. Einzelne Anbietertypen haben eigene Schwellen: bei DNS-Anbietern und Top-Level-Domain-Registern etwa eine Verfügbarkeit unter 99,9 Prozent, fehlerhafte Antworten oder die Kompromittierung von Registrierungsdaten. Für Sie als Einkäufer hat das einen praktischen Nutzen: es zeigt, was Ihr Anbieter einer Behörde melden muss, und das ist eine brauchbare Untergrenze für das, was Sie selbst erfahren sollten.
Was daraus folgt
Wenn Sie diese Dienste einkaufen
Bestimmen Sie, welche Ihrer Anbieter unter die elf Typen fallen. Bei den meisten Unternehmen sind das die Cloud-Plattform, der Anbieter verwalteter Dienste und der Domain-Registrar, oft auch ein Rechenzentrum oder ein Content Delivery Network. Teilen Sie Ihre Bewertung dann so auf, wie die Verordnung selbst geteilt ist: prüfen Sie die sechs beobachtbaren Bereiche fortlaufend von außen und fragen Sie die sieben internen schriftlich ab. Berufen Sie sich auf die Verordnung statt auf einen Wunsch, und bewahren Sie Antworten wie externe Nachweise auf, denn ein Widerspruch zwischen Aussage und Messung ist selbst ein Befund.
Wenn Sie selbst ein solcher Anbieter sind
Die Pflichten gelten für Sie unmittelbar, und zwar seit 2024. Der praktische erste Schritt ist, sich so anzusehen, wie ein Kunde es tut: was ist exponiert, was ist abgelaufen, welche Systeme gehören Ihnen, ohne dass Sie es noch wissen. Ihre Kunden beginnen, Nachweise statt Zusicherungen zu verlangen, und gerade dort, wo sie ohne Nachfrage prüfen können, ist eine Lücke am unangenehmsten.
Häufig gestellte Fragen
Gilt diese Verordnung für mein Unternehmen?⌄
Nur wenn Ihr Unternehmen einer der elf genannten Typen ist: DNS, Top-Level-Domain-Register, Cloud, Rechenzentrum, Content Delivery Network, Vertrauensdienste, Anbieter verwalteter Dienste oder verwalteter Sicherheitsdienste, Online-Marktplatz, Suchmaschine oder soziale Plattform. Ist es das nicht, bleibt die Verordnung für Sie als Einkäufer dennoch bedeutsam, denn sie legt fest, was Sie von Anbietern dieser Dienste erwarten dürfen.
Wie verhält sich das zu Artikel 21 NIS2?⌄
Artikel 21 zählt Risikomanagementmaßnahmen allgemein für alle erfassten Einrichtungen auf. Diese Verordnung macht sie für die elf von ihr benannten Anbietertypen konkret, in dreizehn aufgezählten Bereichen. Wo sie gilt, ist sie das genauere Instrument, und sie gilt ohne nationale Umsetzung.
Kann ich die Einhaltung eines Anbieters von außen überprüfen?⌄
Teilweise, und es lohnt sich, genau zu sagen wie weit. Drei Bereiche hinterlassen unmittelbare externe Spuren, drei weitere teilweise, und sieben existieren nur innerhalb der Organisation. Externe Prüfungen belegen also etwa die Hälfte und niemals den Rest, weshalb ein Fragebogen zu Steuerung, Schulung und Kontinuität daneben weiterhin nötig bleibt.
Sehen Sie, was Ihre Anbieter nach außen zeigen
Prüfen Sie die beobachtbare Hälfte fortlaufend und fragen Sie den Rest mit einem strukturierten Fragebogen ab, jeder Befund dem Artikel dahinter zugeordnet.
Kostenlos · keine Kreditkarte · ohne Zeitlimit
Kostenloser Plan: der NIS2-Fragebogen mit 39 Fragen für bis zu 10 Lieferanten, öffentliche Prüfungen Ihrer eigenen Domain und DMARC-Überwachung für eine Domain.
Verwandte Leitfäden
ENISA-Beschaffungsleitlinien zur Cybersicherheit für Krankenhäuser: so bewerten Sie Ihre Lieferanten
ENISAs Beschaffungsleitlinien vom Juli 2026 machen Lieferanten-Cybersicherheit zum Teil des Gesundheitseinkaufs. In konkrete Schritte übersetzt: Anforderungen festlegen, Kandidaten extern bewerten, vertraglich regeln, überwachen und dokumentieren, zugeordnet zur NIS2-Lieferkettenpflicht (Art. 21(2)(d)).
Wie Sie NIS2 erfüllen: ein Schritt-für-Schritt-Fahrplan
Die Schritte zur NIS2-Konformität in der richtigen Reihenfolge: Anwendungsbereich bestätigen, registrieren, Verantwortung der Leitung (Art. 20), die Maßnahmen nach Art. 21 Abs. 2, Lieferkettensicherheit, Vorfallmeldung (Art. 23) und fortlaufende, nachgewiesene Absicherung.
Wer fällt unter NIS2? Wesentliche und wichtige Einrichtungen, Sektoren und Größenschwellen
Stellen Sie fest, ob NIS2 für Sie gilt: die zwei Kategorien, die Sektoren aus Anhang I/II, die Größenschwellen, größenunabhängige Ausnahmen und wie die Lieferkette Sie auch ohne Benennung erfasst.
NIS2 für Lieferanten: Sie sind nicht eingestuft, aber Ihre Kunden
Die meisten Unternehmen werden nie unter NIS2 eingestuft, müssen aber dennoch konform sein. Wie die Lieferkettenpflicht eines erfassten Kunden nach Artikel 21 Absatz 2 Buchstabe d auf Sie übergeht, was er verlangt und wie Sie glaubwürdig reagieren.
NIS2 und die Lieferkettenpflicht: was das in der Praxis bedeutet
NIS2 verpflichtet wesentliche und wichtige Einrichtungen zur Bewertung ihrer Lieferkettenrisiken. Lieferanten-Tiering, 4th-Party-Risiken, Art. 23-Meldepflicht und worauf Prüfer achten.
So entsteht ein Sicherheitsvorfall 2026: Ihre externe Angriffsfläche und Ihre Lieferkette
Die Angriffskette 2026 Schritt für Schritt — gestohlene Zugangsdaten, ausgenutzte Edge-Geräte, E-Mail-Spoofing — auf Ihrer eigenen Angriffsfläche und der Ihrer Lieferanten, und wo norppa.io die Kette durchbricht.
Lieferanten-Cyberrisikobeurteilung: was das automatisierte NIS2-Monitoring prüft
Alle Prüfkategorien erklärt: Ransomware, Dark-Web-Lecks, TLS/DNSSEC, Cookie-Sicherheit, CVE/EPSS, Sanktionen, MX-Blacklists und SAQ. Befundslebenszyklus und NIS2-Artikelzuordnung.
NIS2 Art. 21(2): Sicherheits-Checkliste für Lieferanten
Checkliste für Beschaffungs- und Sicherheitsteams: Was zu fragen ist, welche Nachweise zu sammeln sind und wie zu reagieren ist, wenn ein Lieferant Anforderungen nicht erfüllt. Mit empfohlenen Nachweisdokumenten.
NIS2-Lieferantenfragebogen (SAQ): was fragen, wie bewerten, plus Vorlage
Was Lieferanten nach Art. 21(2)(d) zu fragen ist, wie man Antworten bewertet und auf Lücken reagiert, warum Selbstauskunft Überprüfung braucht, plus eine kostenlose Vorlage.
NIS2-Vorfallmeldung: die 24- und 72-Stunden-Fristen erklärt
Was ein erheblicher Vorfall ist, der Zeitplan nach Artikel 23 (24-Stunden-Frühwarnung, 72-Stunden-Meldung, Abschlussbericht nach einem Monat) und wann der Vorfall eines Lieferanten zu Ihrer Pflicht wird.
NIS2 und die Verantwortung der Leitung: Was Vorstand und Geschäftsführung wissen müssen
Was NIS2 vom Leitungsorgan erwartet: Genehmigungs- und Aufsichtspflichten, persönliche Haftung (Art. 20), Schulung, Vorstands-KPIs und die Sanktionen nach Art. 34.
ISO 27001 und NIS2: Was Ihr ISMS bereits abdeckt, und die Lücken, die bleiben
Wenn Sie ISO 27001 halten: was auf NIS2 übertragbar ist und was nicht (gesetzliche Vorfallmeldung, Haftung der Leitung, Registrierung und kontinuierliche Lieferkettensicherung) und wie Sie die Lücke schließen.
NIS2-Bußgelder und Sanktionen: wie hoch, wer haftet und wie man sie vermeidet
Was NIS2-Sanktionen sind: die Obergrenzen nach Artikel 34 (10 Mio. € / 2 % für wesentliche, 7 Mio. € / 1,4 % für wichtige Einrichtungen), die persönliche Haftung der Leitung (Art. 20, Art. 32), nicht-monetäre Durchsetzung und wie man sie vermeidet.
NIS2 vs. DORA: Unterschiede, Überschneidungen und was für Sie gilt
Wie sich die zwei EU-Regime unterscheiden und überschneiden, warum DORA Lex specialis für Finanzunternehmen ist, was für Sie gilt und was beide für Drittparteienrisiko bedeuten.
DSGVO vs. NIS2: Überschneidungen, Unterschiede und wann ein Vorfall beide auslöst
Wie sich DSGVO und NIS2 unterscheiden und überschneiden, wann ein Vorfall beide auslöst (DSGVO Art. 33 72 h an die Datenschutzbehörde vs. NIS2 Art. 23 24 h/72 h/ein Monat an das CSIRT), die Art.-35-Kooperation und das Verbot des doppelten Bußgelds, und was beide für die Lieferanten-Sorgfaltsprüfung bedeuten.
Der EU Cyber Resilience Act (CRA): Anwendungsbereich, Zeitplan und was er für Ihre Lieferkette bedeutet
Was der CRA verlangt, seine gestaffelten Termine (in Kraft 2024, Meldung Sep. 2026, volle Konformität Dez. 2027), wer in den Anwendungsbereich fällt und warum reine SaaS oft nicht, wie er NIS2 ergänzt und was er für Beschaffung und Lieferanten-Sorgfaltsprüfung bedeutet.
Die EU-KI-Verordnung: Risikostufen, Zeitplan und die Pflichten der Betreiber (Artikel 26)
Was die EU-KI-Verordnung verlangt: die Risikostufen, die gestaffelten Termine (in Kraft 2024, verboten Feb. 2025, GPAI Aug. 2025, Hochrisiko Aug. 2026), die Betreiberpflichten nach Art. 26, wie sie sich mit NIS2 und der DSGVO stapelt und was sie für die KI-Beschaffung bedeutet.
NIS2-Umsetzungsstand: in welchen EU-Ländern es in Kraft ist
Welche der 27 EU-Mitgliedstaaten NIS2 in nationales Recht überführt haben und welche noch daran arbeiten, und warum die Lücken Ihre Lieferkette ohnehin betreffen.
NIS2-Lieferantenvertragsklauseln: was Sie von Ihren Lieferanten verlangen sollten
Die Vertragsklauseln, die die Lieferkettenpflicht von NIS2 durchsetzbar machen: Sicherheitsbasis, Meldefenster, Nachweis- und Auditrechte, Weitergabe an Subunternehmer und laufende Überprüfung.
Ihre externe Sicherheitslage unter NIS2: was Lieferanten und Kunden sehen
Die öffentlich sichtbaren Signale, die Kunden nach NIS2 Art. 21(2)(d) bewerten: E-Mail-Fälschbarkeit (SPF/DMARC), Zertifikatshygiene, aus dem Internet erreichbare Systeme und geleakte Zugangsdaten, warum jedes zählt und wie man sie prüft und behebt.
Nutzen Ihre Lieferanten KI? NIS2-Lieferantenrisiko trifft den EU AI Act
Lieferanten betten zunehmend KI in Dienste ein, von denen Sie abhängen, und deren Lieferanten ebenso. Wo KI von Lieferanten und in der n-ten Ebene Risiken nach NIS2 Art. 21(2)(d) und dem EU AI Act schafft, was zu bewerten ist und wie Sie den Überblick behalten.
Lieferanten-Identitätsbetrug und CEO-Fraud (BEC): E-Mail-Spoofing, DMARC und NIS2
Einer der häufigsten Lieferkettenangriffe braucht keinen Einbruch: gefälschte E-Mail, die eine Zahlung umlenkt oder Daten stiehlt. Wie BEC und Lieferanten-Identitätsbetrug funktionieren, welche SPF-, DKIM- und DMARC-Einstellungen sie stoppen und wie das zu NIS2 Art. 21(2)(d) passt.
Zuletzt geprüft: 19. Juni 2026
Dieser Leitfaden bietet allgemeine Informationen zum EU-Recht, keine Rechtsberatung. NIS2 wird durch das nationale Umsetzungsgesetz jedes EU-Mitgliedstaats wirksam, das im Detail abweichen kann. Prüfen Sie die für Sie geltenden Pflichten mit Ihrer zuständigen Behörde oder Ihrem Rechtsbeistand.