müssen wir dieselben Cyberfragen an unsere eigenen Lieferanten stellen

Ja, denn Artikel 21 Absatz 2 macht das ausdrücklich zur Pflicht

Ja, in den meisten Fällen muss das sein. Artikel 21 Absatz 2 der NIS2-Richtlinie nennt zehn Maßnahmen, die ein Unternehmen treffen muss, und Punkt (d) davon befasst sich speziell mit der Sicherheit der Lieferkette — einschließlich der Beziehung mit und zwischen jedem Lieferanten oder Dienstleister. Fragt Ihr Kunde also nach Lieferkettenbeveiliging, reicht es nicht aus, nur zu zeigen, was Sie selbst tun. Sie müssen auch nachweisen können, welche Anforderungen Sie an Ihre eigenen Unterauftragnehmer stellen und wie Sie diese kontrollieren.

In der Praxis bedeutet dies meist einen gestaffelten Ansatz, keine Kopie der ganzen Fragenliste Ihres Kunden. Fragen Sie üblicherweise: Hat der Unterauftragnehmer Basismaßnahmen geregelt (Zugang, Sicherungskopien, Incident Handling), gibt es eine vertragliche Klausel über die Meldepflicht bei einem Incident, und — bei kritischen Lieferanten — gibt es einen Nachweis wie ein ISO-27001-Zertifikat oder eine eigene Erklärung. Je größer das Gewicht des Unterauftragnehmers in Ihrer Leistung an den Kunden, desto spezifischer können die Anforderungen sein, die Sie weitergeben können. Dies ist die gleiche Frage, die Ihr Kunde Ihnen jetzt stellt über Sicherheitsanforderungen an eigene Lieferanten — Sie befinden sich hier in der Mitte der Kette, nicht am Anfang.

Wo dies in der Richtlinie und der Norm festgehalten ist

Die Verpflichtung selbst steht in Artikel 21 Absatz 2 Buchstabe (d) der NIS2-Richtlinie, die Lieferkettenbeveiliging als eine der zehn obligatorischen Maßnahmen nennt. Für die niederländische Praxis übersetzt sich dies in das Cybersecurity Act, die Umsetzung von NIS2, das am 15. August 2026 in Kraft tritt — ab diesem Zeitpunkt gilt die Verpflichtung auch formal nach niederländischem Recht für Unternehmen, die unter das Gesetz fallen. Wer nachweisen kann, dass dies systematisch geregelt ist, verweist oft auf Annex A der ISO/IEC 27001, wo Lieferantenbeziehungen und die Sicherheit in der Lieferkette als separate Kontrollmaßnahmen aufgeführt sind. Ob Ihr Unternehmen selbst unter die NIS2-Richtlinie als Unternehmen fällt, ist übrigens eine separate Frage, die unabhängig davon ist, was Ihr Kunde vertraglich von Ihnen verlangt; dieser Unterschied wird behandelt bei der Frage, ob das Unternehmen unter die Richtlinie fällt.