NIS2 Lieferkette: Was Handwerksbetriebe wissen müssen, bevor der Auftraggeber fragt
Inhaltsverzeichnis
Veröffentlicht: 20. September 2026 · Lesezeit: ca. 7 Minuten
Wann haben Sie zuletzt geprüft, ob Ihr größter Auftraggeber Ihnen demnächst einen Sicherheitsfragebogen schickt – und ob Sie ihn beantworten könnten? Und falls Sie diesen Fragebogen nicht zufriedenstellend ausfüllen: Wissen Sie, ob das den Auftrag gefährdet?
Viele Inhaber von Handwerksbetrieben würden auf beide Fragen ehrlich mit „Nein“ antworten. Das ist kein Versagen – es ist die logische Folge davon, dass NIS2 bisher als „Großunternehmen-Thema“ galt. Doch diese Wahrnehmung ändert sich gerade, schneller als die meisten erwarten.
Die NIS2 Lieferkette ist längst kein abstraktes Konzept mehr: Seit dem deutschen Umsetzungsgesetz (BSIG, in Kraft seit Dezember 2025) beaufsichtigt das BSI rund 29.500 Einrichtungen – sechsmal mehr als zuvor. Diese Unternehmen sind gesetzlich verpflichtet, ihre eigene Lieferkette auf Sicherheitsrisiken zu prüfen. Das bedeutet: Wer als Handwerksbetrieb für einen dieser Auftraggeber tätig ist, rückt automatisch in den Fokus – unabhängig von der eigenen Betriebsgröße.
Selbst wenn Sie die gesetzlichen Schwellenwerte (50 Beschäftigte oder 10 Millionen Euro Jahresumsatz) nicht erreichen, können regulierte Auftraggeber Sicherheitsanforderungen vertraglich an Sie weitergeben. Wer dann keine belastbare Antwort liefern kann, riskiert nicht nur einen schlechten Eindruck – sondern den Auftrag selbst. Das ist keine Spekulation, sondern eine zunehmend beobachtbare Praxis.
Dieser Artikel erklärt, wie die Weitergabe von Pflichten in der NIS2 Lieferkette funktioniert, was ein Handwerksbetrieb konkret erwarten muss – und welche Schritte in kurzer Zeit einen glaubwürdigen Nachweis ermöglichen, ohne ein IT-Projekt zu starten.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Betroffene Einrichtungen in Deutschland nach BSIG (NIS2UmsuCG) | ca. 29.500 (zuvor ca. 4.500 – Versechsfachung) | shattered.io / BSI-Daten |
| Registrierungsquote bis Fristablauf (6. März 2026) | ≈ 38,5 % (ca. 11.500 von 29.500 Unternehmen) | comquent.de / BSI-Daten, März 2026 |
| Unternehmen, für die die EU-Kommissions-Novelle Erleichterungen bringen soll | 28.700 (davon 6.200 Mikro- und Kleinunternehmen) | EU-Kommission, Januar 2026 |
Was sich bei der NIS2 Lieferkette gerade verändert – die Lage in fünf Sätzen
Das BSIG – das deutsche Umsetzungsgesetz zur NIS2-Richtlinie – ist seit Dezember 2025 in Kraft. Die Zahl der beaufsichtigten Einrichtungen ist von rund 4.500 auf etwa 29.500 gestiegen. Diese Unternehmen sind gesetzlich verpflichtet, Risiken in ihrer Lieferkette aktiv zu bewerten und zu dokumentieren – dazu zählen ausdrücklich auch Dienstleister und Handwerksbetriebe mit Zugang zu Daten, Gebäuden oder IT-Systemen des Auftraggebers.
Einen guten Überblick zu den gesetzlichen Anforderungen liefert das BSI – IT-Grundschutz für Unternehmen. Ergänzend sollten Sie wissen: Knapp 62 % der betroffenen Einrichtungen haben die Registrierungsfrist beim BSI (März 2026) versäumt – das BSI hat die aktive Aufsicht seitdem aufgenommen. Das erhöht den Druck auf alle Beteiligten, auch auf Zulieferer.
Parallel dazu hat die EU-Kommission im Januar 2026 ein Änderungspaket vorgeschlagen, das speziell Nachweispflichten für kleinere Unternehmen in der NIS2 Lieferkette vereinfachen soll. Bis dieses Paket wirksam wird, gelten die bestehenden Anforderungen unverändert. Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH begleiten wir Handwerksbetriebe durch diese Veränderungen – ohne unnötigen Aufwand.
- Prüfen Sie, ob Ihre direkten Auftraggeber unter das BSIG fallen (Indiz: öffentliche Hand, Energie, Gesundheit, Wasserwirtschaft, digitale Infrastruktur).
- Rechnen Sie damit, dass diese Auftraggeber in naher Zukunft Sicherheitsnachweise von Ihnen anfordern.
- Informieren Sie sich jetzt – nicht erst, wenn der Fragebogen im Briefkasten liegt.
Was die vererbten Pflichten konkret für Ihren Betrieb bedeuten
Wenn ein regulierter Auftraggeber die Anforderungen aus der NIS2 Lieferkette vertraglich an Sie weiterreicht, sieht das im Alltag meist so aus: Sie erhalten einen Sicherheitsfragebogen – manchmal mehrere Seiten – und werden gebeten zu bestätigen, dass Sie bestimmte Mindeststandards einhalten. Typische Fragen betreffen Zugriffsregelungen für Mitarbeiter, den Umgang mit mobilen Geräten, Backup-Prozesse und die Meldung von Sicherheitsvorfällen.
Für einen Handwerksbetrieb ist das ungewohntes Terrain. Monteure, die mit einer Aufmaß-App oder einem digitalen Bautagebuch auf der Baustelle arbeiten, nutzen dabei oft private Smartphones – ein Umstand, der in solchen Fragebögen ausdrücklich abgefragt wird. Wer hier keine klare Antwort hat, macht keinen guten Eindruck. Im schlimmsten Fall verliert er den Auftrag an einen Wettbewerber, der einen besseren Nachweis vorlegen kann.
Hinzu kommt: Wer von einem regulierten Auftraggeber als kritischer Lieferant eingestuft wird, muss gegebenenfalls auch Prüfungsrechte akzeptieren – das heißt, der Auftraggeber darf Ihre IT-Sicherheitsmaßnahmen im Rahmen eines Audits überprüfen. Die IT-Sicherheitslösungen der TTG GmbH sind darauf ausgelegt, genau diesen Nachweis dokumentierbar zu machen.
- Klären Sie intern: Welche Mitarbeiter haben Zugang zu Kundensystemen, Gebäuden oder sensiblen Daten?
- Regeln Sie den Umgang mit privaten Geräten schriftlich – auch für Aushilfen mit hoher Fluktuation.
- Stellen Sie sicher, dass Ihre Handwerkersoftware (z. B. pds, Streit oder Label) mit aktuellen Sicherheitsupdates versorgt wird.
- Prüfen Sie, ob Sie eine Meldepflicht bei Sicherheitsvorfällen gegenüber Ihrem Auftraggeber vertraglich bereits eingegangen sind.
Drei Maßnahmen, die gegenüber Auftraggebern sofort zählen
Einen vollständig ausgearbeiteten Informationssicherheitsrahmen braucht kein Handwerksbetrieb – zumindest nicht sofort. Was Sie brauchen, sind drei dokumentierbare Maßnahmen, die einem Auftraggeber zeigen: Dieser Betrieb nimmt das Thema ernst. Das reicht für einen ersten glaubwürdigen Nachweis in der NIS2 Lieferkette und kostet wenige Stunden, keinen Monat.
| Maßnahme | Aufwand (einmalig) | Warum sie zählt |
|---|---|---|
| Lieferanten- und Zugriffsliste erstellen | 2–4 Stunden | Zeigt, dass Sie wissen, wer Zugang zu Ihren Systemen hat |
| Schriftliche Regelung für mobile Geräte | 1–2 Stunden | Deckt den häufigsten Schwachpunkt bei Außendienst und Baustelle ab |
| Backup-Prozess dokumentieren | 1–2 Stunden | Belegt Ihre Wiederherstellungsfähigkeit bei einem Vorfall |
Aktuell sollten Sie dabei auch technische Risiken im Blick behalten: Im September 2026 wurden kritische Sicherheitslücken in weit verbreiteten Backup-Systemen und Netzwerkgeräten bekannt – unter anderem in Acronis-Backuplösungen (heise Security, September 2026). Wer solche Systeme einsetzt, sollte prüfen, ob Updates eingespielt sind – das ist exakt der Typ von Frage, den ein Auftraggeber im Rahmen seiner Lieferkettenbewertung stellen wird.
Die Sichere IT-Infrastruktur für KMU – TTG GmbH umfasst auch die Unterstützung bei der Dokumentation dieser Maßnahmen – so dass Sie beim nächsten Fragebogen eine belastbare Antwort parat haben.
- Legen Sie eine einfache Liste aller Software an, die Ihre Mitarbeiter auf Baustellen nutzen – inklusive Aufmaß-Apps und mobiler Zeiterfassung.
- Dokumentieren Sie, wer in Ihrem Betrieb welche IT-Zugänge hat und wie diese bei Austritt gesperrt werden.
- Stellen Sie sicher, dass Ihre Backup-Lösung regelmäßig getestet wird und die letzte Wiederherstellung dokumentiert ist.
Ihr nächster Schritt – auch wenn Sie nur 30 Minuten Zeit haben
30 Minuten reichen nicht für eine vollständige NIS2-Compliance – aber sie reichen, um den wichtigsten Engpass zu beseitigen: Unwissenheit darüber, ob und wie Sie von der NIS2 Lieferkette betroffen sind.
Starten Sie mit einer einzigen Frage an Ihren wichtigsten Auftraggeber: „Plant Ihr Unternehmen, Sicherheitsanforderungen an Lieferanten weiterzugeben?“ Die Antwort bestimmt Ihren Handlungsbedarf. Erkundigen Sie sich beim BSI direkt – der BSI Lagebericht Cybersicherheit gibt einen realistischen Eindruck, wie ernst die aktuelle Bedrohungslage ist, der Ihnen bei diesem Gespräch hilft.
Ergänzend empfiehlt sich ein Blick auf die Orientierungshilfen des Mittelstand-Digital-Zentrums, das speziell für Handwerksbetriebe und kleinere Unternehmen kostenfreie Beratungsangebote zur Digitalisierung und IT-Sicherheit bereitstellt.
Wenn Sie dann konkret werden wollen: Die TTG GmbH begleitet Handwerksbetriebe in der Region mit über 25 Jahren Erfahrung dabei, genau die Nachweise aufzubauen, die Auftraggeber heute verlangen – GoBD-konforme Belegablage, Zugriffsmanagement, Backup-Dokumentation und mehr. Auch Betriebe aus Eschwege und dem weiteren Umland werden dabei betreut. Nutzen Sie die IT-Dienstleistungen der TTG GmbH für einen strukturierten Einstieg.
- Fragen Sie Ihren Hauptauftraggeber direkt nach geplanten Lieferantenanforderungen.
- Legen Sie eine einfache Übersicht Ihrer IT-Systeme und Zugänge an – das dauert selten länger als einen halben Vormittag.
- Prüfen Sie, ob Ihre Verträge mit Auftraggebern bereits Sicherheitsklauseln enthalten.
- Sprechen Sie mit einem IT-Dienstleister Ihres Vertrauens über einen kompakten Sicherheitscheck – bevor der Fragebogen kommt.
Ihre Checkliste: So starten Sie jetzt
- Prüfen Sie, ob Ihre wichtigsten Auftraggeber unter das BSIG fallen – ein kurzes Gespräch oder eine E-Mail reicht für eine erste Einschätzung.
- Erstellen Sie eine Liste aller Software, die Ihre Mitarbeiter mobil einsetzen – Aufmaß-Apps, Zeiterfassung, digitale Bautagebücher – und klären Sie, wer Zugang zu welchen Kundendaten hat.
- Regeln Sie schriftlich, wie mit privaten Smartphones und Tablets auf der Baustelle umzugehen ist – auch für Aushilfen und Saisonkräfte.
- Dokumentieren Sie Ihren Backup-Prozess: Wann wurde zuletzt ein Restore getestet? Wer ist verantwortlich?
- Sprechen Sie Ihren IT-Dienstleister auf einen NIS2-Lieferketten-Check an – idealerweise bevor der erste Sicherheitsfragebogen eines Auftraggebers eintrifft.
Häufig gestellte Fragen
Mein Betrieb hat 12 Mitarbeiter – bin ich wirklich von der NIS2 Lieferkette betroffen?
Direkt verpflichtet sind Sie durch das BSIG nur, wenn Sie mindestens 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz in einem der regulierten Sektoren erreichen. Kleiner bedeutet aber nicht automatisch außen vor: Wenn Ihr Auftraggeber selbst unter das Gesetz fällt, kann er Sicherheitsanforderungen vertraglich an Sie weitergeben. Das passiert bereits und nimmt zu. Entscheidend ist also nicht Ihre Betriebsgröße, sondern für wen Sie arbeiten.
Wir nutzen eine Handwerkersoftware wie pds oder Streit – reicht das nicht schon als Sicherheitsnachweis?
Leider nein – zumindest nicht alleine. Eine Handwerkersoftware organisiert Aufträge und Belege, ist aber kein Sicherheitsnachweis im Sinne der NIS2 Lieferkette. Was Auftraggeber sehen wollen, ist: Wer hat Zugang zu welchen Daten? Wie sind Updates geregelt? Was passiert bei einem Datenverlust? Diese Fragen betreffen den Umgang mit der Software, nicht die Software selbst. Genau diese Dokumentation lässt sich aber mit überschaubarem Aufwand erstellen.
Wie viel kostet es, die Anforderungen aus der NIS2 Lieferkette zu erfüllen?
Das hängt vom Ausgangszustand ab. Wer bereits eine strukturierte IT-Betreuung hat, braucht in der Regel nur Dokumentation und eine kurze Bestandsaufnahme – das ist ein überschaubarer Aufwand von wenigen Stunden. Wer hingegen noch keine geregelten Prozesse für Zugriffsrechte, Backup oder den Umgang mit mobilen Geräten hat, sollte mit einem halben bis einem Arbeitstag für Grundlagen rechnen. Die Kosten für fehlende Nachweise – Auftragsverlust, Vertragsstrafen – übersteigen den Aufwand in jedem realistischen Szenario.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute, was Sie antworten, wenn Ihr größter Auftraggeber morgen einen Sicherheitsfragebogen schickt?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
