Mein Auftraggeber fällt unter NIS2 und ich nicht, was bedeutet das für mich

Sie sind über den Vertrag betroffen, nicht über das Gesetz

Sie unterliegen NIS2 selbst nicht, aber das bedeutet nicht, dass sich nichts ändert. Ihr Kunde, der unter die Richtlinie fällt, muss selbst gemäß Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 für Sicherheit in der gesamten Lieferkette sorgen. Dies verpflichtet ihn, Anforderungen an seine Lieferanten weiterzugeben — also an Sie. Nicht weil Sie eine Einheit im Sinne des Gesetzes sind, sondern weil Ihr Kunde seine eigene Verantwortung nachweisen muss, und Sie sind Teil davon.

In der Praxis nehmen Sie dies als Frageliste oder als zusätzliche Vertragsbedingungen wahr, nicht als gesetzliche Pflicht, die direkt auf Ihnen lastet. Die Fragen beziehen sich üblicherweise auf dieselben zehn Maßnahmen, die Ihr Kunde selbst treffen muss: Risikopolitik, Vorfallbehandlung, Kontinuität, Schwachstellenmanagement, Zugriff und Kryptografie. Sie können also die gleiche Begründung verwenden, die Sie bereits haben, auch wenn Sie diese für sich selbst nie aufstellen mussten. Falls Sie diese Unterlagen noch nicht vollständig haben, ist es ratsam, zunächst zu prüfen, ob es eine Richtlinie für Risikoanalyse und Sicherheit von Informationssystemen gibt und ob Sicherheitsanforderungen an eigene Lieferanten bereits irgendwo festgehalten ist — denn diese beiden Themen tauchen in nahezu jeder LieferkettenFrageliste auf, unabhängig davon, ob Sie selbst eine Einheit sind.

Festgehalten in Artikel 21, wirkend über den Vertrag

Die Verpflichtung zur Lieferkettensicherheit ist in Artikel 21 Absatz 2 Buchstabe d der Richtlinie (EU) 2022/2555 festgehalten: Einheiten müssen Maßnahmen zur Sicherung der Lieferkette treffen, einschließlich der Beziehung zu ihren unmittelbaren Lieferanten. Die niederländische Umsetzung erfolgt über das Cybersicherheitsgesetz, das am 15. August 2026 in Kraft tritt. Solange Sie selbst nicht in den Anwendungsbereich dieses Gesetzes fallen, bleibt die Weitergabe an Sie vertraglich: Ihr Kunde bestimmt selbst, wie er seine Verpflichtung bei Ihnen abfragt, und das kann von Kunde zu Kunde unterschiedlich sein.