Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz. Es setzt die EU-Richtlinie NIS-2 in deutsches Recht um. Fällt Ihr Kunde darunter, muss er die Sicherheit seiner Lieferkette regeln (§ 30 Abs. 2 Nr. 4 BSIG). Die Pflicht trifft also Ihren Kunden, nicht Sie. Erfüllen kann er sie aber nur mit Ihrer Hilfe: mit Nachweisen, Zusagen im Vertrag und Antworten auf seine Fragen. Bieten Sie Managed Services, Cloud oder Rechenzentren an, kann das Gesetz auch für Sie selbst gelten.
Wer unter das Gesetz fällt
Das BSI-Gesetz nennt die Unternehmen, für die es gilt, „Einrichtungen“. Es unterscheidet drei Gruppen. Betreiber kritischer Anlagen und große Unternehmen bestimmter Sektoren sind besonders wichtige Einrichtungen. Kritische Anlagen sind Anlagen, die für die Versorgung der Bevölkerung wichtig sind, etwa ein Wasserwerk. Mittlere Unternehmen dieser Sektoren sind wichtige Einrichtungen.
Die Schwellen: ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz und Bilanzsumme für wichtige Einrichtungen, ab 250 Mitarbeitenden für besonders wichtige.
Ob Ihr Kunde dazugehört, weiß er in der Regel selbst. Er musste sich bis März 2026 beim BSI registrieren (§ 33 BSIG). Finanzunternehmen, für die DORA gilt, sind ausgenommen (§ 28 Abs. 6 BSIG). Liefern Sie an ein solches Unternehmen, lesen Sie den Beitrag zu Art. 30 DORA.
Was das Gesetz zur Lieferkette sagt
§ 30 BSIG verlangt von Ihrem Kunden geeignete, verhältnismäßige und wirksame Maßnahmen, technisch und organisatorisch. Absatz 2 nennt zehn Bereiche. Nummer 4 betrifft Sie als Dienstleister.
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
Das Gesetz schreibt Ihrem Kunden nicht vor, welche Nachweise er von Ihnen verlangt. Es verlangt nur, dass er die Risiken aus der Zusammenarbeit mit Ihnen im Griff hat. In der Praxis heißt das: ein Fragebogen, ein Vertragsanhang mit Sicherheitsklauseln, ein Zertifikat als Nachweis, manchmal ein Audit bei Ihnen.
Betreibt Ihr Kunde eine kritische Anlage, muss er dem BSI zusätzlich alle drei Jahre nachweisen, dass seine Maßnahmen umgesetzt sind (§ 39 BSIG). Der Prüfer sieht sich dabei auch an, wie er seine Dienstleister steuert. Ihre Unterlagen landen dann in seiner Prüfung.
Wann Sie selbst betroffen sind
Die Durchführungsverordnung (EU) 2024/2690 nennt einige Arten von IT-Dienstleistern ausdrücklich. Dazu gehören Managed Service Provider und Managed Security Service Provider, also Anbieter, die IT oder IT-Sicherheit für ihre Kunden betreiben. Ebenso Cloud-Anbieter, Rechenzentren sowie CDN- und DNS-Anbieter. Erreichen Sie die Größenschwellen, gilt das BSI-Gesetz auch für Sie. Die Verordnung legt dann die technischen Anforderungen im Detail fest. Sie sind in diesem Fall Einrichtung und Lieferant zugleich.
Die Verordnung verlangt unter anderem eine eigene Richtlinie für Ihre Lieferkette, Kriterien für die Auswahl Ihrer Lieferanten, Vorgaben für Verträge und ein Verzeichnis Ihrer Dienstleister.
Was Ihr Kunde typischerweise verlangt
Die Tabelle zeigt, was daraus in der Praxis wird. Die Zuordnung beruht auf unserer Erfahrung, nicht auf dem Wortlaut des Gesetzes.
| Bereich im Gesetz | Was Ihr Kunde fragt | Was Sie bereithalten |
|---|---|---|
| Nr. 1 Risikoanalyse und Sicherheitskonzept | Haben Sie ein ISMS? Nach welchem Standard? | Sicherheitsleitlinie, Zertifikat oder Selbstauskunft |
| Nr. 2 Bewältigung von Sicherheitsvorfällen | Wie und wann melden Sie uns Vorfälle? | Vorfallprozess mit Meldeweg und Fristen |
| Nr. 3 Aufrechterhaltung des Betriebs | Haben Sie ein Notfallkonzept? Wann haben Sie es zuletzt geübt? | Notfallkonzept, Übungsprotokoll, Backup-Nachweis |
| Nr. 4 Sicherheit der Lieferkette | Welche Unterauftragnehmer setzen Sie ein? | Liste der Unterauftragnehmer mit Standort |
| Nr. 6 Bewertung der Wirksamkeit | Lassen Sie sich prüfen? | Auditberichte, Pentest-Zusammenfassung |
| Nr. 10 Mehrfaktor-Authentisierung und Verschlüsselung | Wie sichern Sie Zugänge und Daten? | Technische Maßnahmen, Verschlüsselungskonzept |
ISMS steht für Informationssicherheits-Managementsystem. Gemeint sind feste Regeln und Abläufe, mit denen ein Unternehmen seine Informationssicherheit plant, umsetzt und regelmäßig prüft.
Fällt Ihr Kunde unter das BSI-Gesetz, muss er erhebliche Sicherheitsvorfälle in drei Stufen an das BSI melden: nach 24 Stunden, nach 72 Stunden und nach einem Monat (§ 32 BSIG). Daran richtet er die Fristen aus, die er Ihnen in den Vertrag schreibt.
Was Sie jetzt tun können
- Prüfen Sie, ob das BSI-Gesetz oder die Durchführungsverordnung auch für Sie selbst gilt (§ 28 BSIG).
- Stellen Sie die sechs Unterlagen aus der Tabelle zusammen. Damit beantworten Sie die meisten Fragebögen.
- Legen Sie fest, wer bei Ihnen Vorfälle an Kunden meldet und innerhalb welcher Zeit.