NIS2 für den Mittelstand: was Ihr Kunde demnächst von Ihnen fragt

Ihr Kunde schickt einen Fragebogen zur Informationssicherheit. Oder in einer Ausschreibung steht plötzlich ein Absatz über NIS2. Sie führen einen Mittelstandsbetrieb mit dreißig Mitarbeitenden, der gute Arbeit leistet, und Sie fragen sich, ob dieses Gesetz auch für Sie gilt.

Die kurze Antwort: Das Gesetz verlangt meist nichts von Ihnen, aber Ihr Kunde verlangt etwas über Sie. In diesem Beitrag lesen Sie, warum, was Kunden fragen werden und was Sie diese Woche regeln können. Fallen Sie selbst unter das Gesetz, lesen Sie NIS2 für die Geschäftsleitung. Hier geht es um den Zulieferer in der Kette.

Was das Gesetz von einem Zulieferer verlangt

Das niederländische Nationale Cyber Security Centrum (NCSC) schreibt es so: Das niederländische Cybersicherheitsgesetz (Cyberbeveiligingswet) legt Zulieferern von Organisationen, die unter das Gesetz fallen, keine Pflichten auf (NCSC, 8. Juli 2025). Zulieferer stehen nicht selbst unter Aufsicht und müssen einer Aufsichtsbehörde keine Rechenschaft ablegen (dieselbe Quelle).

Es geht um Ihren Kunden. NIS2 nennt die Sicherheit der Lieferkette als Maßnahme, einschließlich der Beziehung zu unmittelbaren Lieferanten (Richtlinie (EU) 2022/2555, Artikel 21 Absatz 2 Buchstabe d). Eine Organisation, die unter das Gesetz fällt, kann daher Anforderungen an Sie stellen. Wird sie kontrolliert, kann sie Sie um einen Nachweis bitten, dass die Maßnahmen getroffen sind, damit sie diesen ihrer Aufsichtsbehörde zeigen kann (NCSC, dieselbe Quelle).

Zwei Missverständnisse

Sie hören sie oft:

• Dass NIS2 für Sie genauso gilt wie für Ihren Kunden. Aus einer Blitzumfrage des Digital Trust Center vom September 2024 ging hervor, dass sechs von zehn Zulieferern, die NIS2 kennen, das denken (NCSC, 8. Juli 2025).
• Dass Sie ein Zertifikat brauchen. Ein Gütesiegel oder Zertifikat ist für Zulieferer keine Voraussetzung (NCSC, 8. Juli 2025). Es kann das Gespräch mit Ihrem Kunden erleichtern, sagt aber nicht, dass das Risiko in der Kette abgedeckt ist, und jeder Kunde kann nach anderen Maßnahmen fragen (NCSC, abgerufen am 5. Oktober 2026).

Fallen Sie selbst doch unter das Gesetz?

Das kann sein. Ein Unternehmen mit 10 bis 50 Mitarbeitenden ist nach der europäischen Definition meist klein: weniger als 50 Mitarbeitende und ein Jahresumsatz oder eine Bilanzsumme von höchstens 10 Millionen Euro (Europäische Kommission). Das niederländische Gesetz gilt für Organisationen in den Sektoren der Anlagen 1 und 2, etwa Energie, digitale Infrastruktur und Forschung, und in der Regel erst ab mittlerer Größe (NCSC, abgerufen am 5. Oktober 2026). Mitarbeitende zählen in Vollzeitäquivalenten, und Partner- und verbundene Unternehmen, etwa eine Muttergesellschaft oder Töchter, zählen bei Mitarbeitenden, Jahresumsatz und Bilanzsumme mit (dieselbe Quelle).

Unabhängig von der Größe gilt das Gesetz unter anderem für Anbieter öffentlicher elektronischer Kommunikation, Vertrauensdiensteanbieter, Register für Top-Level-Domain-Namen, DNS-Diensteanbieter und Anbieter von Domänennamen-Registrierungsdiensten (NCSC, Informationsbroschüre Cyberbeveiligingswet, Februar 2026), und für ein Unternehmen, das die Regierung bestimmt, weil es als einziges in den Niederlanden eine Dienstleistung erbringt, die nötig ist, um kritische gesellschaftliche oder wirtschaftliche Tätigkeiten aufrechtzuerhalten (Richtlinie (EU) 2022/2555, Artikel 2). Für Anbieter von Domänennamen-Registrierungsdiensten gelten nicht alle Pflichten aus dem Gesetz (NCSC, Informationsbroschüre Cyberbeveiligingswet, Februar 2026). Erbringen Sie eine solche Dienstleistung, lesen Sie zuerst die beiden Quellen oben, um zu sehen, ob Sie darunter fallen.

Was Ihr Kunde fragen wird

Welche Fragen Sie bekommen, bestimmt Ihr Kunde. Als Anhaltspunkt dienen die fünf Grundprinzipien der digitalen Widerstandsfähigkeit des NCSC, gedacht für alle Organisationen (NCSC, abgerufen am 5. Oktober 2026). Rechnen Sie mit Fragen wie diesen:

• Risiken: Welche Systeme und Daten des Kunden berühren Sie, und was kann dort über Sie schiefgehen?
• Verhalten: Wissen Ihre Mitarbeitenden, was sie bei einer Phishing-Mail tun?
• Systeme: Sind Updates und Sicherheit auf Ihren Computern, Apps und Geräten in Ordnung?
• Zugang: Wer kommt an die Daten des Kunden, und nutzt jeder einen zweiten Anmeldeschritt?
• Vorfälle: Was tun Sie, wenn etwas schiefgeht, und wie schnell erfährt der Kunde es von Ihnen?

Der letzte Punkt zählt schwer. Eine Organisation, die unter das Gesetz fällt, meldet einen erheblichen Vorfall in drei Schritten: eine Frühwarnung innerhalb von 24 Stunden, eine Vorfallmeldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats (NCSC, abgerufen am 5. Oktober 2026). Ihr Kunde will also schnell wissen, was bei Ihnen passiert.

Was Sie morgen tun können

Eine kurze Checkliste, in dieser Reihenfolge:

1. Schreiben Sie auf, welche Kunden unter das Gesetz fallen oder fallen können, und welche Systeme und Daten von ihnen Sie nutzen oder einsehen können.
2. Schalten Sie auf jedem Konto mit Zugriff auf Kundendaten einen zweiten Anmeldeschritt ein und entfernen Sie Konten ausgeschiedener Kollegen.
3. Vereinbaren Sie eine Frist für Updates, schreiben Sie sie auf und spielen Sie ein Backup zurück, um zu sehen, wie lange das dauert.
4. Schreiben Sie einen Meldeweg auf einer A4-Seite: Wer ruft den Kunden an, innerhalb wie vieler Stunden und unter welcher Nummer.
5. Machen Sie den Basisscan Cyberweerbaarheid des NCSC (auf Niederländisch), um zu sehen, ob Sie die Basis im Griff haben, und bewahren Sie das Ergebnis mit dem Rest in einem Ordner auf.

So haben Sie beim nächsten Fragebogen Ihre Antworten und Ihre Nachweise zur Hand.

Wo Noveu steht

Auf der Compliance-Seite lesen Sie, welche technischen Maßnahmen Noveu anwendet. Wie Noveu für den Mittelstand arbeitet, lesen Sie auf der Seite für den Mittelstand.