Regulierung & Compliance
Die NIS2-Richtlinie verschärft die Anforderungen an IT-Sicherheit, Meldepflichten und Lieferkettensicherheit für tausende Unternehmen in Deutschland – seit dem NIS2-Umsetzungsgesetz (in Kraft seit 6. Dezember 2025) verbindlich. Dieser Überblick erklärt, wer betroffen ist und was zu tun ist – und wie Apascope die Nachweis- und Lieferkettenpflichten mit revisionssicheren Reports unterstützt, ohne zusätzliche IT-Ressourcen. Vertiefung im Wissens-Bereich.
NIS2 Art. 21 (d) · Sicherheit der Lieferkette
Eine der zehn NIS2-Mindestmaßnahmen ist die Sicherheit der Lieferkette: Betroffene Unternehmen müssen die Cyberrisiken ihrer Lieferanten und Dienstleister bewerten und laufend überwachen. Genau das leistet Third-Party Risk Management (TPRM) – der Kern von Apascope: kontinuierliches, No-Touch-Monitoring der digitalen Angriffsfläche jedes relevanten Partners, mit revisionssicheren Nachweisen für Audit und Behörde.
Third-Party Risk Management ansehen →NIS2 (Richtlinie (EU) 2022/2555) ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie löst die erste NIS-Richtlinie von 2016 ab und hebt Cybersicherheit auf ein einheitliches, verpflichtendes Niveau. Kurz gesagt: NIS2 verpflichtet deutlich mehr Unternehmen zu einem nachweisbaren Cyber-Risikomanagement, zu schnellen Meldungen bei Vorfällen und zur Absicherung ihrer Lieferkette – mit persönlicher Verantwortung der Geschäftsleitung.
NIS2 unterscheidet „wesentliche“ und „wichtige“ Einrichtungen in 18 Sektoren. Grundsatz: betroffen sind in der Regel Organisationen ab etwa 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz in diesen Sektoren – manche (z. B. bestimmte digitale Infrastruktur) unabhängig von der Größe. Wichtig: Auch wer selbst nicht direkt fällt, wird über die Lieferkette einbezogen, weil betroffene Kunden Sicherheitsnachweise von ihren Lieferanten verlangen müssen.
Artikel 21 nennt zehn Mindestmaßnahmen für das Risikomanagement: Risikoanalyse & Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity & Backup-Management, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Verfahren zur Wirksamkeitsmessung, Cyberhygiene & Schulungen, Kryptografie & Verschlüsselung, Zugriffskontrolle & Asset-Management sowie Multi-Faktor-Authentifizierung und sichere Kommunikation.
Bei erheblichen Sicherheitsvorfällen gelten gestaffelte Fristen: eine Frühwarnung innerhalb von 24 Stunden, eine Vorfallmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Das setzt voraus, dass Sie Vorfälle früh erkennen – genau hier hilft kontinuierliches Monitoring Ihrer digitalen Angriffsfläche.
NIS2 sieht spürbare Sanktionen vor: für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Neu und besonders relevant: Die Geschäftsleitung ist persönlich verantwortlich für die Umsetzung und Überwachung der Maßnahmen und kann in die Haftung genommen werden.
Ein Kernpunkt von NIS2 ist die Lieferkettensicherheit: Unternehmen müssen die Cyberrisiken ihrer Lieferanten und Dienstleister bewerten und laufend im Blick behalten. Apascope macht aus einer statischen Lieferantenliste ein dynamisches Risikobild – mit kontinuierlichem Monitoring der digitalen Angriffsfläche jedes relevanten Drittparteien-Partners.
Apascope liefert kontinuierliches, No-Touch-Monitoring Ihrer eigenen digitalen Angriffsfläche und der Ihrer Lieferanten – ohne Zugriff auf interne Systeme. Die CIQ360-Reports sind so strukturiert, dass sie direkt für interne Audits, Zertifizierungen und Behördennachweise nutzbar sind. Automatische Alarmierung bei kritischen Ereignissen unterstützt Ihre 24-Stunden-Meldepflicht.
DORA gilt seit Januar 2025 für Finanzunternehmen und ihre IT-Dienstleister. Apascope unterstützt mit Threat Intelligence für den Finanzsektor, Lieferantenbewertungen (TLPT-Vorbereitung), Dokumentation für regulatorische Nachweise und der Überwachung krimineller Aktivitäten gegen Finanzinstitute im Darknet.
Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur, ICT-Dienstleistungsmanagement, Öffentliche Verwaltung, Raumfahrt, Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Digitale Anbieter sowie Forschung.
In Deutschland gilt NIS2 über das NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist. Rund 29.500 Unternehmen fallen seitdem unter die Aufsicht des BSI; die reguläre Frist zur BSI-Registrierung lief im März 2026 ab. Betroffene Einrichtungen müssen die Anforderungen jetzt erfüllen und eine fehlende Registrierung unverzüglich nachholen.
In der Regel betroffen sind Organisationen ab etwa 50 Beschäftigten oder über 10 Mio. € Jahresumsatz in einem der 18 Sektoren. Zusätzlich werden viele kleinere Unternehmen indirekt über die Lieferkette einbezogen, weil betroffene Kunden Sicherheitsnachweise verlangen.
Es drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. 7 Mio. € oder 1,4 % (wichtige Einrichtungen). Die Geschäftsleitung haftet persönlich für die Umsetzung.
Frühwarnung innerhalb von 24 Stunden, offizielle Vorfallmeldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats nach dem erheblichen Sicherheitsvorfall.
Apascope überwacht kontinuierlich Ihre digitale Angriffsfläche und die Ihrer Lieferanten (No-Touch, ohne Systemzugriff) und liefert revisionssichere Reports für Audits, Zertifizierungen und Behördennachweise – inklusive Alarmierung zur Unterstützung der 24-Stunden-Meldepflicht.
Artikel 21 nennt zehn Mindestmaßnahmen: (1) Risikoanalyse & Sicherheitskonzepte, (2) Bewältigung von Sicherheitsvorfällen, (3) Business Continuity & Backup, (4) Sicherheit der Lieferkette, (5) Sicherheit bei Beschaffung und Entwicklung, (6) Wirksamkeitsmessung, (7) Cyberhygiene & Schulungen, (8) Kryptografie, (9) Zugriffskontrolle & Asset-Management, (10) Multi-Faktor-Authentifizierung und sichere Kommunikation. Für Maßnahme (4), die Lieferkettensicherheit, ist Third-Party Risk Management (TPRM) mit kontinuierlichem Lieferanten-Monitoring der praktikabelste Weg.
NIS2 verlangt, Cyberrisiken von Lieferanten und Dienstleistern zu bewerten und laufend zu überwachen – nicht nur einmalig beim Onboarding. Ein NIS2-taugliches Third-Party Assessment kombiniert eine initiale Bewertung mit kontinuierlichem Monitoring der externen Angriffsfläche und revisionssicherer Dokumentation. Apascope liefert genau das über Third-Party Risk Management (TPRM).
Apascope ist auf die Lieferketten- und Nachweispflichten von NIS2 spezialisiert: kontinuierliches Monitoring Ihrer eigenen Angriffsfläche und der Ihrer Lieferanten (No-Touch), strukturierte CIQ360-Reports für Audits und Behördennachweise sowie Alarmierung zur Unterstützung der Meldepflichten. Mehr dazu unter Third-Party Risk Management.
Lassen Sie uns gemeinsam herausfinden, wie Apascope Ihre NIS2- und DORA-Compliance unterstützen kann.
Jetzt Beratungsgespräch anfragen