Die NIS2-Richtlinie ist seit dem 6. Dezember 2025 deutsches Recht, und zwar ohne Übergangsfrist. Was viele Unternehmen noch als künftiges Compliance-Thema behandeln, ist also längst Gegenwart. Die Diskussion konzentriert sich dabei meist auf die direkt betroffenen Unternehmen. Dabei wird gern übersehen, dass Software-Lieferanten und IT-Dienstleister über die Lieferkettenpflichten genauso in der Pflicht stehen, nur eben indirekt.

Wen NIS2 direkt trifft

NIS2 gilt für Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in kritischen und wichtigen Sektoren. In Deutschland sind das rund 29.500 Unternehmen aus Bereichen wie Energie, Transport, Gesundheit, Finanzwesen, digitale Infrastruktur und öffentliche Verwaltung. Wer dazugehört, muss sich registrieren, Sicherheitsmaßnahmen nachweisen und Vorfälle innerhalb von 24 Stunden melden.

Für Entwickler und IT-Dienstleister ist ein anderer Punkt entscheidend. Die Richtlinie verpflichtet betroffene Unternehmen nämlich, ihre gesamte Lieferkette zu überprüfen, und schreibt vor, dass Sicherheitsmaßnahmen auch für Lieferanten und Dienstleister gelten. In der Praxis heißt das, dass jeder, der Software an ein NIS2-pflichtiges Unternehmen liefert, früher oder später von dessen Compliance-Team unter die Lupe genommen wird und nachweisen muss, dass die eigene Software sicher entwickelt wurde.

Was Security by Design konkret bedeutet

Das Konzept selbst ist nicht neu, aber NIS2 macht daraus eine nachweisbare Anforderung. Es reicht nicht mehr, am Ende eines Projekts einen Penetrationstest zu machen und die gefundenen Lücken zu schließen. Sicherheit muss von Anfang an in den Entwicklungsprozess integriert sein.

Das beginnt vor dem ersten Commit mit einem Threat Model. Welche Angriffsvektoren gibt es, welche Daten sind schützenswert, welche Schnittstellen lassen sich missbrauchen? Ein solches Modell muss nicht komplex sein, aber es muss existieren und die Design-Entscheidungen tatsächlich beeinflussen. OWASP bietet dafür kostenlose Methodiken an, die auch für kleinere Projekte gut funktionieren.

In der Entwicklung selbst geht es dann um Dinge, die ohnehin zu professioneller Arbeit gehören. Eingaben werden an allen Systemgrenzen validiert, Zugangsdaten stehen nicht im Code, sensible Daten werden verschlüsselt übertragen, Abhängigkeiten werden regelmäßig auf bekannte Schwachstellen geprüft und Sicherheitsaspekte sind Teil der Code-Reviews. Neu ist vor allem die Pflicht, das alles zu dokumentieren. Wer bisher sauber gearbeitet, aber nichts festgehalten hat, muss damit anfangen.

Dazu kommt die Frage der Update-Fähigkeit. Der Cyber Resilience Act, ein Schwestergesetz zu NIS2, verlangt von Produkten mit digitalen Elementen Sicherheitsupdates über den gesamten Lebenszyklus. Für Software bedeutet das klare Update-Prozesse, kommunizierte Support-Zeiträume und die Fähigkeit, kritische Lücken schnell zu schließen und die Korrektur auch auszurollen.

Die persönliche Haftung der Geschäftsführung

Eine Klausel der Richtlinie wird nach meiner Erfahrung besonders unterschätzt. Geschäftsführer haften persönlich für die Einhaltung der Sicherheitsanforderungen. Das heißt nicht, dass jede Geschäftsleitung zum IT-Sicherheitsexperten werden muss. Es heißt aber, dass Nichtwissen keine Entschuldigung mehr ist. Eine dokumentierte Sicherheitsstrategie, regelmäßige Schulungen für Mitarbeiter und ein Plan für den Ernstfall sind damit keine Kür mehr, sondern Mindestanforderung.

Was jetzt zu tun ist

Für Software-Entwickler und IT-Dienstleister ergibt sich eine klare Reihenfolge. Zuerst klären, ob man selbst unter NIS2 fällt. Dann prüfen, welche Kunden direkt betroffen sind und welche Anforderungen sie an ihre Lieferanten stellen werden. Und schließlich den eigenen Entwicklungsprozess an Security-by-Design-Prinzipien ausrichten und das Ganze dokumentieren.

NIS2 ist kein Papiertiger. Die Behörden haben Durchgriffsrechte, und erste Bußgelder gegen nicht konforme Unternehmen werden erwartet. Wer jetzt handelt, verschafft sich zudem einen handfesten Wettbewerbsvorteil, denn die Überprüfung der Lieferketten durch die betroffenen Unternehmen läuft bereits.