Kurzdefinition: Die Lieferkettensicherheit ist eine der Risikomanagementmaßnahmen des BSIG. Nach § 30 Abs. 2 Nr. 4 BSIG gehört zur Sicherheit der Informationstechnik auch die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. [N-BSIG-30]
Der Normwortlaut
§ 30 Abs. 2 Nr. 4 BSIG nennt die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ als Bestandteil der zu ergreifenden Risikomanagementmaßnahmen. [N-BSIG-30]
Was ist Lieferkettensicherheit?
Die Absicherung der eigenen Zulieferer und Dienstleister. § 30 BSIG verlangt, dass Einrichtungen die Sicherheitsrisiken ihrer Lieferkette in den Blick nehmen — insbesondere die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Damit reicht die Verantwortung über die eigenen Systeme hinaus. [N-BSIG-30]
Gilt die Pflicht auch für Dienstleister?
Für die Beziehungen zu ihnen. § 30 BSIG adressiert die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Die Einrichtung muss also die Sicherheit dieser direkten Geschäftsbeziehungen bewerten und steuern — etwa durch Anforderungen und vertragliche Regelungen. [N-BSIG-30]
Wie fügt sich das in das Risikomanagement ein?
Als einer von mehreren Bausteinen. Die Lieferkettensicherheit steht in § 30 BSIG neben weiteren Maßnahmen wie Risikoanalyse, Vorfallbewältigung und Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen. Sie ist die NIS-2-spezifische Erweiterung, die über die klassische interne Absicherung hinausgeht. Für die Lieferkettensicherheit ist Absatz 2 Nummer 4 maßgeblich. [N-BSIG-30]
Auf welche Anbieter bezieht sich die Pflicht?
Auf die unmittelbaren. § 30 Abs. 2 Nr. 4 BSIG stellt auf die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern ab. Die Pflicht verlangt nicht die lückenlose Kontrolle jeder Vorstufe der Kette, sondern eine Steuerung der direkten Anbieterbeziehungen. [N-BSIG-30]
Ist Lieferkettensicherheit eine eigenständige Pflicht?
Nein, ein Bestandteil. Sie ist eine der Risikomanagementmaßnahmen, die § 30 BSIG verlangt, und fügt sich in das Gesamtkonzept der technischen und organisatorischen Maßnahmen ein. Anbieterbeziehungen werden damit Teil des systematischen Risikomanagements. [N-BSIG-30]
Häufige Fehlannahmen
- „Sicherheit endet an den eigenen Systemen.“ Nein. § 30 BSIG bezieht die Lieferkette ausdrücklich ein. [N-BSIG-30]
- „Die gesamte Lieferkette muss lückenlos kontrolliert werden.“ Der Wortlaut nennt die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. [N-BSIG-30]
- „Lieferkettensicherheit ist ein reines IT-Thema.“ Nein. Sie umfasst auch vertragliche und organisatorische Aspekte der Anbieterbeziehungen. [N-BSIG-30]
- „Nur die eigene Cybersicherheit zählt, nicht die der Zulieferer.“ Nein. Zur Sicherheit der Lieferkette gehören ausdrücklich die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. [N-BSIG-30]
- „Eine einmalige Lieferantenbewertung genügt.“ Nein. Erwartet werden geeignete Maßnahmen entlang der Anbieterbeziehungen, etwa vertragliche Vereinbarungen und eine laufende Steuerung, nicht nur eine einmalige Prüfung. [N-BSIG-30]
Was die Geschäftsleitung tun sollte
- Anbieter erfassen. Unmittelbare Anbieter und Diensteanbieter identifizieren.
- Risiken bewerten. Sicherheitsbezogene Aspekte der Beziehungen prüfen.
- Anforderungen vereinbaren. Sicherheitspflichten vertraglich verankern.
- In das RMS einbetten. Lieferkettensicherheit als Teil der Maßnahmen führen.
Für die Geschäftsleitung
Die Lieferkettensicherheit ist der Punkt, an dem NIS-2 die eigene Organisation verlässt: Wer besonders wichtige oder wichtige Einrichtung ist, muss auch die Sicherheit seiner unmittelbaren Anbieter und Dienstleister steuern. Für die Geschäftsleitung heißt das, Sicherheit in die Beschaffung und in Verträge zu tragen — nicht nur in die eigene IT.
Quellen
- [N-BSIG-30] § 30 BSIG (Risikomanagementmaßnahmen), Abs. 2 Nr. 4 (Sicherheit der Lieferkette). Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__30.html
