Mein Kunde fällt unter NIS2 und verlangt von mir Maßnahmen — muss das sein?

Kurze Antwort: Ihr Kunde, der unter NIS2 fällt, ist gesetzlich verpflichtet, die Sicherheit seiner Lieferkette zu beherrschen, und darf dafür Anforderungen an Sie stellen. Als gewöhnlicher Lieferant fallen Sie in der Regel nicht selbst unmittelbar unter NIS2, aber die Anforderungen erreichen Sie über den Vertrag. Die Erfüllung ist für Sie also keine gesetzliche Pflicht, aber häufig eine Voraussetzung, um den Kunden zu behalten.

Was NIS2 von Ihrem Kunden verlangt

NIS2 — Richtlinie (EU) 2022/2555 — verpflichtet wesentliche und wichtige Einrichtungen, angemessene und verhältnismäßige Maßnahmen zu ergreifen, um die Risiken für ihre Netz- und Informationssysteme zu beherrschen. Artikel 21 nennt dabei ausdrücklich die Sicherheit der Lieferkette, einschließlich der Sicherheitsaspekte der Beziehungen zwischen der Einrichtung und ihren unmittelbaren Lieferanten oder Diensteanbietern. Die Richtlinie verlangt von der betroffenen Organisation also, ihre eigenen Lieferkettenrisiken zu betrachten und ihnen Rechnung zu tragen — auch in ihren Beschaffungs- und Vertragsentscheidungen.

Das ist die Rechtsgrundlage hinter der Anforderung, die Sie erhalten: Ihr Kunde setzt seine eigene Pflicht in der Kette durch. Die Richtlinie legt diese Pflicht der Einrichtung selbst auf, nicht unmittelbar jedem Lieferanten.

Fallen Sie selbst unter NIS2?

NIS2 gilt für Organisationen in den in den Anhängen der Richtlinie genannten Sektoren (wie Energie, Verkehr, digitale Infrastruktur, Lebensmittel und bestimmte Fertigung), die oberhalb der Schwelle für mittlere Unternehmen liegen. Fallen Sie als Lieferant selbst in diese Sektoren und über diese Größe, können Sie unmittelbar unter das Gesetz fallen — mit eigenen Pflichten. Die Richtlinie wird je Mitgliedstaat in nationales Recht umgesetzt; der genaue Anwendungsbereich und die Ausnahmen ergeben sich aus dieser nationalen Umsetzung und der zugehörigen Aufsicht.

Fallen Sie nicht darunter, entsteht Ihre Pflicht nicht aus dem Gesetz, sondern aus dem Vertrag. Die Anforderung Ihres Kunden ist dann eine kommerzielle, vertragliche Anforderung — keine unmittelbare gesetzliche Pflicht für Sie.

Was bedeutet das praktisch?

Drei nüchterne Schlussfolgerungen. Erstens: Die Anforderung ist legitim und wird häufiger wiederkehren, weil Ihr Kunde selbst dafür in die Verantwortung genommen wird. Zweitens: Beurteilen Sie, ob Sie selbst unter NIS2 fallen — das ändert, ob das "Müssen" gesetzlich oder vertraglich ist. Drittens: Selbst ohne eigene gesetzliche Pflicht ist Mitwirken oft sinnvoll, denn eine Ablehnung kann bedeuten, dass der Kunde einen Lieferanten wählt, der die geforderten Maßnahmen sehr wohl nachweisen kann. Welche Maßnahmen angemessen und verhältnismäßig sind, hängt von Ihrer Rolle in der Kette und der Art der Dienstleistung ab; die Richtlinie verlangt Verhältnismäßigkeit, keine identischen Anforderungen für alle.

Lesen Sie auch: Transport & Logistik. Machen Sie den Scan.