Seit dem 6. Dezember 2025 gilt NIS-2 in Deutschland über das geänderte BSI-Gesetz. Für betroffene Unternehmen zählt dazu ausdrücklich die Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG). Gemeint sind die unmittelbaren Anbieter und Diensteanbieter, also nicht die ganze Kette bis zum Hersteller jeder Festplatte, wohl aber der Hoster, bei dem Ihre Website und Ihre Postfächer laufen.

Diese Checkliste ersetzt keine Rechtsberatung. Sie hilft Ihnen, die richtigen Fragen zu stellen.

1. Sind Sie überhaupt betroffen?

Das klärt die Betroffenheitsprüfung des BSI. Sind Sie es nicht, lohnt sich die Liste trotzdem: Betroffene Kunden und Auftraggeber geben die Anforderungen per Vertrag oder Fragebogen an ihre Dienstleister weiter.

2. Was tut der Anbieter für die Sicherheit?

Fragen Sie nach einer schriftlichen Beschreibung der technischen und organisatorischen Maßnahmen. Achten Sie darauf, ob dort Maßnahmen stehen, die sich prüfen lassen:

  • Wie melden sich Administratoren an, und gibt es einen zweiten Faktor?
  • Wie oft wird gesichert, wo liegt die Sicherung, und wird das Zurückspielen geprobt?
  • Wie schnell kommen Sicherheitsupdates auf die Server?
  • Ist die Verwaltung der Server nur von bekannten Adressen erreichbar?
  • Wird die Wirksamkeit regelmäßig überprüft – und was passiert mit dem Ergebnis?

Ein Satz wie „wir nehmen Sicherheit ernst“ ist keine Maßnahme.

3. Was steht im Vertrag?

  • Auftragsverarbeitung (AVV) nach Art. 28 DSGVO mit Maßnahmenliste als Anlage.
  • Liste der Unterauftragsverarbeiter und die Zusage, über Änderungen vorher informiert zu werden.
  • Meldung von Vorfällen: unverzüglich, mit den Angaben, die Sie für Ihre eigene Meldung brauchen. Für NIS-2-Einrichtungen läuft die Frist für die erste Meldung an das BSI 24 Stunden ab Kenntnis – eine Meldung Ihres Dienstleisters, die erst nach Tagen kommt, hilft Ihnen nicht.
  • Verfügbarkeit: eine Zusage in Prozent und ein Ort, an dem Störungen veröffentlicht werden.

4. Wer meldet sich bei einem Vorfall?

Sie brauchen einen Namen oder ein Postfach, hinter dem ein Mensch sitzt – nicht nur eine allgemeine Hotline. Viele Anbieter veröffentlichen ihren Sicherheitskontakt maschinenlesbar unter /.well-known/security.txt auf ihrer Website.

5. Ablegen und wiedervorlegen

Legen Sie AVV, Maßnahmenliste und Ansprechpartner zu Ihrer Dokumentation. Prüfen Sie einmal im Jahr, ob sich etwas geändert hat – neue Unterauftragnehmer, neue Zusagen, ein anderer Ansprechpartner.

So machen wir es

Was ProMedia24 messbar tut, welche Unterlagen Sie bekommen und wen Sie bei einem Vorfall erreichen, steht auf der Seite Sicherheit & NIS-2 für Ihre Lieferkette. Den AVV schließen Sie im Kundencenter ab, den Lieferanten-Fragebogen Ihres Auftraggebers beantworten wir auf Anfrage.