NIS2 in der Lieferkette: Wenn fremde Pflichten zu eigenen Obliegenheiten werden

Am Morgen des 1. März 2022 standen alle vierzehn Toyota-Werke in Japan still. 28 Fertigungslinien, rund 13.000 Fahrzeuge Produktionsausfall – an einem einzigen Tag. Der Grund war kein Angriff auf Toyota. Gehackt worden war Kojima Industries, ein Zulieferer für Kunststoffteile und Schläuche: solide Mittelstandsware, nichts, was man auf einer Cyber-Risikokarte rot markiert hätte. Berichten zufolge kamen die Angreifer nicht einmal bei Kojima direkt herein, sondern über die Fernwartungsverbindung eines noch kleineren Geschäftspartners – die Kette riss also zwei Glieder unterhalb des Konzerns, dessen Name am Ende in den Schlagzeilen stand.

Genau dieses Muster hat der europäische Gesetzgeber vor Augen, wenn NIS2 von Sicherheit der Lieferkette spricht. Und genau deshalb bekommen gerade viele Mittelständler Post, die mit NIS2 eigentlich nichts zu tun haben wollten.

Was NIS2 zur Lieferkette sagt – und wen das wirklich trifft

Wer direkt unter NIS2 fällt, muss unter anderem die Sicherheit seiner Lieferkette managen: die Cybersicherheitspraxis der unmittelbaren Zulieferer und Dienstleister bewerten, deren Schwachstellen in die eigene Risikoanalyse einbeziehen und die Ergebnisse in Verträge gießen. Wer erfasst ist und was der Leitungsebene persönlich droht, haben wir im Grundlagenartikel beschrieben – als Faustregel: 18 Sektoren, ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz.

Die interessantere Frage ist die nach den anderen: dem Werkzeugbauer mit 35 Leuten, dem Softwarehaus mit acht Entwicklern, dem Logistiker knapp unter der Schwelle. Sie stehen in keinem NIS2-Sektor oder unterschreiten die Größe – und trotzdem liegt seit einigen Monaten ein Sicherheitsfragebogen mit 180 Positionen auf dem Tisch, geschickt vom größten Kunden, mit freundlicher Frist. Denn der Kunde muss fragen. Seine Pflicht zur Lieferkettensicherheit kann er nur erfüllen, indem er sie nach unten weiterreicht: als Fragebogen, als Vertragsklausel, als Auditrecht, notfalls als Lieferantenwechsel.

Das ist der Mechanismus, der NIS2 im Mittelstand wirksamer macht als jede Behörde: Die Aufsicht erreicht ein paar tausend erfasste Unternehmen. Deren Einkaufsabteilungen erreichen alle.

Pflicht oder Obliegenheit? Der Unterschied, der über die Reaktion entscheidet

Juristen unterscheiden zwischen einer Pflicht und einer Obliegenheit – und die Unterscheidung ist hier keine Wortklauberei, sondern der Schlüssel zum Verständnis der eigenen Lage.

Eine Pflicht kann erzwungen werden; ihre Verletzung löst Bußgelder oder Schadensersatz aus. So stellt sich NIS2 für die direkt erfassten Unternehmen dar: Risikomanagement, 24-Stunden-Meldung, Billigung durch die Geschäftsführung – alles einklagbar, alles bußgeldbewehrt.

Eine Obliegenheit dagegen erzwingt niemand. Man darf sie ignorieren. Nur verliert man dann etwas: einen Anspruch, einen Vorteil, eine Position. Das klassische Beispiel liefert die Versicherung – wer die vereinbarte Alarmanlage nachts nicht einschaltet, begeht keine Rechtsverletzung, bekommt aber nach dem Einbruch kein Geld.

Für den nicht erfassten Zulieferer ist NIS2 exakt das: eine Obliegenheit. Kein Gesetz zwingt ihn zu Multi-Faktor-Authentisierung, getesteten Backups oder einem Meldeprozess. Kein Bußgeldbescheid kommt. Es passiert etwas viel Leiseres – der Fragebogen wird schlecht bewertet, die Ausschreibung geht an den Wettbewerber, der Rahmenvertrag wird beim nächsten Termin „neu strukturiert“. Der Sanktionsapparat ist der Markt, und der stellt keine Anhörungsschreiben zu.

Diese Obliegenheit hat drei Stufen, und jede ist tückischer als die vorherige:

• Vor dem Vertrag entscheidet der Fragebogen mit. Wer bei „Haben Sie ein getestetes Backup-Konzept?“ ehrlich nein ankreuzt, fliegt vielleicht aus der Wertung. Wer unehrlich ja ankreuzt, hat ein größeres Problem – dazu gleich.
• Im Vertrag verwandelt sich die Obliegenheit in echte Pflichten. Die NIS2-Klausel im Rahmenvertrag – Mindestmaßnahmen, Meldung von Vorfällen an den Kunden binnen 24 Stunden, Auditrecht, außerordentliches Kündigungsrecht – ist ganz gewöhnliches Vertragsrecht. Ab der Unterschrift gibt es sehr wohl Schadensersatz, und zwar nicht gedeckelt auf ein Bußgeld, sondern orientiert am Schaden des Kunden. Der Tagesausfall von vierzehn Werken ist eine andere Größenordnung als jede Buße.
• Nach dem Vorfall meldet sich die eigene Cyber-Versicherung – mit demselben Begriff. Auch Versicherungsbedingungen sind voller Obliegenheiten (MFA, Patch-Stände, Backups), und wer die im Fragebogen zugesicherten Maßnahmen nicht gelebt hat, riskiert den Deckungsverlust genau in dem Moment, in dem er die Deckung braucht.

Die gefährlichste Variante ist die mittlere: der Fragebogen, der ungelesen von der Assistenz „durchgejaht“ wird, weil der Kunde drängt. Aus einem ehrlichen „haben wir noch nicht“ lässt sich ein Projekt machen. Aus einem unehrlichen „haben wir“ wird im Schadensfall eine falsche Zusicherung – und die trägt vor Gericht niemand mit Achselzucken davon.

„Das Bußgeld ist für die meisten Mittelständler die kleinste Sorge – sie fallen ja gar nicht unter NIS2. Was ich in der Praxis sehe, ist der Sicherheitsfragebogen, der unter Termindruck durchgewinkt wird. In diesem Moment wird aus einer folgenlosen Obliegenheit eine verbindliche vertragliche Zusicherung. Und wenn es dann kracht, streitet man nicht mehr über IT-Maßnahmen, sondern über Haftung – mit dem Schaden des Kunden als Maßstab, nicht mit einem gedeckelten Bußgeld.“

— Christian Zöpfchen, Geschäftsführer der etis GmbH

Was realistischerweise auf dem Tisch landet

Aus den Projekten der letzten Monate lässt sich das Anforderungspaket recht präzise vorhersagen, das erfasste Kunden weiterreichen:

1. Fragebogen oder Nachweis: von zwei Seiten Selbstauskunft bis zur Forderung nach ISO 27001 oder – in der Automobilkette – TISAX. Wichtig: Kein Mittelständler muss reflexhaft zertifizieren. Oft genügt ein sauber dokumentierter Maßnahmenstand; das Zertifikat lohnt erst, wenn mehrere Kunden es verlangen.
2. Vertragsklauseln: Mindestmaßnahmen nach „Stand der Technik“, Meldepflichten an den Kunden (oft binnen 24 Stunden – der Kunde muss seine eigene Frist ans BSI ja halten), Mitwirkung bei der Aufklärung, Auditrechte, Kündigungsrechte.
3. Durchgriff auf die eigene Kette: Die Klauseln verlangen regelmäßig, dass man dieselben Anforderungen an die eigenen Unterauftragnehmer weitergibt. Der Fernwartungszugang des kleinen Partners – die Kojima-Lücke – ist damit ausdrücklich Vertragsgegenstand.
4. Der Fernzugriff als Dauerbrenner: Wer als Dienstleister Zugänge zu Kundensystemen hält (Wartung, Support, Schnittstellen), ist aus Kundensicht Teil von dessen Angriffsfläche und wird am strengsten geprüft. Managed Service Provider fallen ohnehin häufig selbst unter NIS2.

Die pragmatische Reihenfolge

Wer den ersten Fragebogen schon auf dem Tisch hat, sollte nicht mit dem Fragebogen anfangen, sondern mit sich selbst:

1. Eigene Betroffenheit klären – Sektor und Größe ehrlich prüfen. Mancher „Zulieferer“ ist als Managed Service Provider oder Hersteller kritischer Komponenten direkt erfasst und hat dann echte Pflichten, keine Obliegenheiten.
2. Ist-Stand dokumentieren – die Basismaßnahmen (MFA, Backups mit Wiederherstellungstest, Patch-Prozess, Zugriffs- und Berechtigungskonzept, Notfallplan mit Meldeweg) einmal sauber aufschreiben. Neun von zehn Fragebögen sind damit beantwortbar.
3. Ehrlich antworten, Lücken terminieren – ein „in Umsetzung bis Q1“ ist eine akzeptierte Antwort; ein falsches „ja“ ist eine Haftungsfalle.
4. Klauseln lesen, bevor sie gelten – besonders Meldefristen, Auditrechte und Haftung. Eine 24-Stunden-Meldepflicht an den Kunden kann nur halten, wer intern einen Meldeweg hat, auch am Wochenende.
5. Die eigene Kette ansehen – Fernwartungszugänge, Softwarelieferanten, IT-Dienstleister. Die Frage, die der Kunde einem selbst stellt, eine Ebene tiefer wiederholen.

Die gute Nachricht zum Schluss: Anders als viele Regulierungsthemen ist dieses hier kein reiner Papiertiger. Die Maßnahmen, die die Fragebögen abfragen, sind exakt die, die einen Betrieb tatsächlich vor dem Kojima-Szenario schützen – dem eigenen Namen in der Schlagzeile eines fremden Produktionsstillstands. Die Obliegenheit von heute ist insofern nur die Rechnung, die bisher niemand gestellt hat.

Dieser Artikel ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall.