NIS2: KI-Systeme werden für Zulieferer zur Nachweisfrage
Ayham AlkhalilDer Irrtum beginnt bei der Frage, ob ein Zulieferer selbst im NIS2-Register steht. Faktische Nachweispflicht ist der Druck, Kundenvorgaben mit prüfbaren Belegen zu erfüllen. Entscheidend sind KI-Systeme, Zuständigkeiten, Meldewege und der Weg vom Fragebogen zur Arbeitsmappe.
Was gehört in die Nachweise zu nis2 ki systeme?
Für Zulieferer zählen vorzeigbare Nachweise zu KI-Systemen, Verantwortlichkeiten, Sicherheitsmaßnahmen, Meldewegen und Abhängigkeiten in der Lieferkette. Das NIS2-Label des Betriebs entscheidet weniger als die Frage, welche Unterlagen ein Kunde prüfen kann.
Die zweite Welle beginnt dort, wo betroffene Kunden Anforderungen weiterreichen. Ein Nachweis muss Betrieb, Updates, Zugriff und Verantwortlichkeiten so beschreiben, dass Einkauf, Informationssicherheit und Fachbereich denselben Vorgang erkennen.
Leere Werbebegriffe helfen dabei nicht. Der belastbare Kern ist eine Mappe aus Systemübersicht, Rollen, Vorfallweg, Sicherheitsmaßnahmen und einer Liste der Dienste, die am KI-System hängen.
Wer muss NIS2 — und wer wird trotzdem mitgezogen?
Direkt betroffen sind Unternehmen, die unter den gesetzlichen Anwendungsbereich fallen und eigene Pflichten erfüllen müssen. Zulieferer geraten über Kundenverträge, Sicherheitsanlagen, Einkaufsbedingungen und Fragebögen in dieselbe Prüfspur.
Der Unterschied ist wichtig: Die gesetzliche Pflicht entsteht durch das Gesetz, die faktische Nachweispflicht durch den Kundenauftrag. Für Abgrenzungen zwischen gesetzlicher Pflicht und vertraglicher Nachweisanforderung reicht deshalb kein Bauchgefühl.
Wer nur liefert, kann trotzdem kritischer Teil einer Lieferkette sein. Der Kunde fragt dann nicht nach einer juristischen Selbsteinordnung, sondern nach Unterlagen, die seinen eigenen Nachweis stützen.
Welche Belege verlangt die Lieferkette konkret?
Die Lieferkette verlangt meist keine Grundsatzrede über Cybersicherheit. Sie verlangt Unterlagen, die eine fremde Prüfung ohne lange Rückfragen nachvollziehen kann:
- Eine Systemübersicht mit Name, Zweck, Betreiber und Fachbereich des KI-Systems.
- Eine Verantwortlichenliste mit Vertretung, Eskalationsweg und Freigaberegeln.
- Ein Vorfallprozess mit Meldeweg, Erstbewertung, Dokumentation und Kundenkontakt.
- Ein Sicherheitskonzept mit Zugriffen, Protokollen, Aktualisierungen und Trennung von Daten.
- Vertragliche Zusagen zu Subdienstleistern, Regionen, Auftragsverarbeitung und Vertraulichkeit.
- Schulungsnachweise für Personen, die KI-Systeme betreiben oder freigeben.
- Kommunikationswege für Vorfälle, die auch außerhalb der Geschäftszeiten funktionieren.
Der Fragebogen ist erst der Anfang
Ein ausgefüllter Fragebogen ersetzt keinen Nachweis. Er verweist auf Dokumente, deren Stand, Besitzer und Geltung intern auffindbar sein müssen.
Der häufige Fehler liegt in der Ablage. Einkauf, Datenschutz, Informationssicherheit und Fachbereich beantworten denselben Kunden getrennt, aber niemand besitzt die gemeinsame Fassung.
Was ändert die Rechtslage seit dem deutschen Umsetzungsgesetz?
Seit dem 06.12.2025 hat die deutsche Umsetzung von NIS2 eine feste Richtung bekommen. Nach Ablauf der Registrierungsfrist am 31.07.2026 prüfen betroffene Unternehmen ihre Lieferketten deutlich konkreter.
Für nachgelagerte Zulieferer entsteht dadurch kein automatischer Registereintrag. Der Druck wächst trotzdem, weil Kunden ihre eigenen Pflichten nur erfüllen können, wenn Vorleister belastbare Informationen liefern.
Die Meldewege verschärfen diesen Druck. Wenn ein Kunde Fristen von 24 Stunden und 72 Stunden einhalten muss, darf der Zulieferer nicht erst klären, wer intern zuständig ist.
Wie belegt man KI-Systeme ohne leere Floskeln?
Ein Nachweis zu KI-Systemen beschreibt Zweck, Betreiber, Datenflüsse, Zugriff, Aktualisierungen, menschliche Kontrolle und Ausfallweg. Die technische Beschreibung gehört neben die rechtliche Bewertung, damit keine Lücke zwischen Betrieb und Papier entsteht.
Der Betriebsort gehört ebenfalls in die Unterlagen. Ob AWS, Azure oder eigener Server genutzt wird, entscheidet über Verträge, Protokolle, Zugriffe und die Frage, wer Störungen tatsächlich behebt.
Ein brauchbarer Nachweis trennt drei Ebenen. Die Fachabteilung beschreibt den Zweck, die Technik beschreibt Betrieb und Schnittstellen, die Organisation beschreibt Freigaben, Vertretung und Meldewege.
Wer ist nachts oder außerhalb der Geschäftszeiten zuständig?
Zuständig ist die benannte Rolle, die einen Vorfall annehmen, bewerten und weiterleiten darf. Ein Postfach ohne Besitzer ist kein Meldeweg, sondern ein Risiko in der Lieferkette.
Gerade hier fallen viele Unterlagen auseinander. Das Organigramm nennt eine Leitung, der Vertrag nennt den Vertrieb, und die Technik kennt nur die Person, die den Dienst damals eingerichtet hat.
Der Nachweis braucht deshalb eine Eskalationskette mit Vertretung. Darin stehen erreichbare Rollen, Reaktionszeiten, Entscheidungsbefugnis und der Weg zum Kunden, falls ein KI-System Sicherheitsbezug hat.
Was passiert, wenn Fristen oder Meldungen nicht eingehalten werden?
Die praktische Folge sind Vertragsprobleme, Eskalationen und der Verlust von Vertrauen im Kundenprozess. Ohne klare Zuständigkeit entstehen Lücken, die der Kunde gegenüber seiner eigenen Prüfung erklären muss.
Das Problem beginnt oft vor dem Vorfall. Ein Lieferant liefert den Fragebogen spät, verweist auf fehlende Dokumente oder kann Subdienstleister nicht sauber benennen.
Über Bußgelder lässt sich ohne Einzelfall keine saubere Aussage treffen. Sicher belegbar ist die organisatorische Folge: Wer Nachweise nicht liefert, verliert Planbarkeit in Ausschreibungen, Verlängerungen und Freigaben.
Welche Unterlagen sollten Zulieferer jetzt bereitlegen?
Aus dem Fragebogen wird eine Arbeitsmappe, wenn jedes Dokument einen Besitzer, einen Stand und einen Prüfzweck hat. Strukturierte Umsetzung, Dokumentation und belastbare Nachweise verhindern, dass jede Kundenanfrage wieder von vorn beginnt.
Sinnvoll ist eine konkrete Einordnung ihrer Lieferkette, bevor der nächste Fragebogen kommt. Dann steht fest, welche KI-Systeme wirklich relevant sind und welche Kundenanforderung nur eine vertragliche Weitergabe ist.
| Unterlage | Was darin stehen sollte |
|---|---|
| Systemübersicht | Name, Zweck, Fachbereich, Betreiber und Betriebsort des KI-Systems. |
| Verantwortliche | Rolle, Vertretung, Freigabeweg und erreichbarer Kontakt für Vorfälle. |
| Vorfallprozess | Erstbewertung, Meldeweg, Kundennachricht, Vorgangsnummer und Abschlussvermerk. |
| Sicherheitsmaßnahmen | Zugriffe, Protokolle, Aktualisierungen, Datentrennung und menschliche Kontrolle. |
| Lieferantenliste | Subdienstleister, Vertragsgrundlage, Region, Ansprechpartner und Abhängigkeit. |
| Schulungsnachweise | Betroffene Rollen, Inhalte, Datum und Bezug zum eingesetzten KI-System. |
| Versionierung | Stand, Besitzer, Änderungsgrund und nächste geplante Prüfung der Mappe. |
nis2 ki systeme sind kein Sonderthema der Rechtsabteilung: Bezahlt wird später mit Nachweisen zu Betrieb, Zuständigkeiten und Meldewegen nachts.
Häufige Fragen
Wer muss NIS2?
NIS2 betrifft Unternehmen, die unter den gesetzlichen Anwendungsbereich fallen und als wichtige oder besonders wichtige Einrichtungen eingeordnet werden. Zulieferer fallen nicht automatisch darunter. Trotzdem geraten viele mittelständische Betriebe über Verträge, Sicherheitsanlagen und Fragebögen in die Nachweiskette. Dann zählt weniger die eigene Registrierung, sondern die Fähigkeit, belastbare Unterlagen zu Systemen, Zuständigkeiten und Vorfallwegen vorzulegen.
Was bedeutet NIS2-Konformität?
NIS2-Konformität bedeutet in der Praxis keine einzelne Urkunde. Gemeint ist eine belegbare Umsetzung von Sicherheitsmaßnahmen, Verantwortlichkeiten, Meldewegen und Lieferkettenanforderungen. Für Zulieferer ist besonders wichtig, welche Anforderungen der Kunde vertraglich weitergibt. Eine saubere Antwort besteht aus Dokumenten mit Stand, Besitzer und Geltungsbereich, nicht aus allgemeinen Aussagen zur Cybersicherheit.
Was passiert im Fehlerfall, wenn Fristen oder Meldepflichten nicht eingehalten werden?
Im Fehlerfall entstehen zuerst organisatorische und vertragliche Probleme. Ein Kunde kann Eskalationen starten, Freigaben stoppen oder eine Lieferantenprüfung verschärfen. Wenn Meldefristen nach 24 Stunden und nach 72 Stunden laufen, werden unklare Zuständigkeiten schnell sichtbar. Ohne belastbaren Vorfallprozess fehlen Zeit, Verantwortliche und eine nachvollziehbare Kommunikation.
Wer ist nachts oder außerhalb der Geschäftszeiten für einen NIS2-Vorfall zuständig?
Zuständig ist die im Vorfallprozess benannte Rolle mit echter Entscheidungsbefugnis. Eine allgemeine E-Mail-Adresse reicht nicht, wenn niemand die Nachricht bewertet und weiterleitet. Der Nachweis sollte Erreichbarkeit, Vertretung, Eskalationsstufen und den Kundenkontakt festhalten. Gerade Lieferanten mit KI-Systemen brauchen diesen Punkt, weil Störungen nicht an Bürozeiten gebunden sind.
Quellen
Geschrieben von
Geschäftsführer & Entwickler
Zehn Jahre Konzernerfahrung und sieben Jahre Praxiserfahrung in der Entwicklung von Software- und KI-Lösungen für Unternehmen und Großkonzerne. Schreibt hier über das, was in echten Projekten passiert: welche Automatisierung sich gerechnet hat, welche Architekturentscheidung sich als falsch herausgestellt hat, und was ein KI-System im Betrieb tatsächlich kostet. Führt KITech Software aus Hannover.