NIS2 erreicht Telekom-Zulieferer auf zwei Wegen: über die Verträge des Betreibers und direkt, wenn Ihr eigenes Geschäft zu einer regulierten Art gehört. Jeder Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste fällt unter NIS2 und muss die Sicherheitsrisiken seiner unmittelbaren Anbieter steuern. Ein Anbieter verwalteter Dienste, ein Cloud- oder Rechenzentrumsanbieter, der mindestens ein mittleres Unternehmen ist, ist zudem selbst reguliert.
Dieser Leitfaden behandelt die Stellung der Betreiber, den Vertragsweg, die direkte Erfassung, die Anforderungen der Betreiber, Hochrisikoanbieter, was Sie aufbauen sollten, was die Regeln offenlassen, und eine Checkliste.
| Weg eins: über den Vertrag | Weg zwei: selbst erfasst | |
|---|---|---|
| Wen es betrifft | Jeden Zulieferer eines Betreibers | Mittlere und größere MSP, MSSP, Cloud- und Rechenzentrumsanbieter sowie andere Arten aus Anhang I oder II |
| Rechtsgrundlage | Artikel 21 Absatz 2 Buchstabe d und Absatz 3, verbindlich für den Betreiber | Artikel 2 und 3, Anhänge I und II, verbindlich für Sie |
| Detailgrad | Die Risikobewertung des Betreibers | Artikel 21, dazu die Verordnung (EU) 2024/2690 für MSP, Cloud- und ähnliche Anbieter |
| Wer prüft | Der Betreiber | Ihre zuständige Behörde |
| Meldung von Sicherheitsvorfällen | An den Betreiber, wie im Vertrag vereinbart | An Ihr CSIRT oder Ihre Behörde: 24 Stunden, 72 Stunden, ein Monat |
Fallen Telekommunikationsbetreiber unter NIS2?
Ja, alle. Anbieter öffentlicher elektronischer Kommunikationsnetze und öffentlich zugänglicher elektronischer Kommunikationsdienste sind in Anhang I aufgeführt, und Artikel 2 Absatz 2 Buchstabe a Ziffer i erfasst sie „unabhängig von ihrer Größe“. Betreiber, die mindestens mittlere Unternehmen sind, sind wesentliche Einrichtungen (Artikel 3 Absatz 1 Buchstaben a und c). Anbieter, die kleine oder Kleinstunternehmen sind, sind wichtige Einrichtungen, sofern ein Mitgliedstaat sie nicht als wesentliche Einrichtungen einstuft.
Die Sicherheit in der Telekommunikation war früher in den Artikeln 40 und 41 des europäischen Kodex für die elektronische Kommunikation (Richtlinie (EU) 2018/1972) geregelt, die Sicherheits- und Meldepflichten festlegten. NIS2 hat sie mit Wirkung vom 18. Oktober 2024 gestrichen (Artikel 43) und die Anbieter in ihren eigenen Rahmen überführt (Erwägungsgrund 92). Nach Erwägungsgrund 95 können die Mitgliedstaaten die Telekommunikationsregulierungsbehörde als zuständige Behörde beibehalten.
Wie erreicht NIS2 Telekom-Zulieferer über Verträge?
Über Artikel 21. Die Sicherheit der Lieferkette ist eine der zehn Mindestmaßnahmen, „einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ (Artikel 21 Absatz 2 Buchstabe d). Artikel 21 Absatz 3 verpflichtet den Betreiber, die spezifischen Schwachstellen jedes unmittelbaren Anbieters, die Qualität seiner Produkte und seiner Cybersicherheitspraxis sowie die Ergebnisse der auf EU-Ebene koordinierten Risikobewertungen der Lieferkette zu berücksichtigen.
Mit Hoffen allein erfüllt der Betreiber das nicht. Erwägungsgrund 85 ermutigt ihn, Cybersicherheitsmaßnahmen in die Verträge mit seinen Zulieferern aufzunehmen. In der Praxis ergänzt er Vertragsklauseln, verschickt Fragebögen und behält sich Auditrechte vor.
Die Pflicht liegt also rechtlich beim Betreiber und wirtschaftlich bei Ihnen. Sie werden nicht reguliert, Sie werden bewertet. Die Seite des Betreibers behandelt Risikobewertung der Lieferkette nach NIS2, was auf Ihrem Tisch landet, erklärt wie Sie einen Sicherheitsfragebogen beantworten.
Dieser Weg hat eine nützliche Eigenschaft: Er ist verhandelbar. Sie müssen einen Geschäftspartner zufriedenstellen, keine Aufsichtsbehörde, und eine Klausel, die Sie nicht erfüllen können, ist eine Verhandlungsfrage, kein Verstoß.
Wann fällt ein Telekom-Zulieferer direkt unter NIS2?
Wenn Ihr eigenes Geschäft zu einer in Anhang I oder II genannten Art von Einrichtung gehört und Sie mindestens ein mittleres Unternehmen sind. Diesen Weg übersehen viele. Neben den Betreibern nennt Anhang I Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Betreiber von Internet-Knoten sowie DNS-Diensteanbieter, TLD-Namenregister und Vertrauensdiensteanbieter, die letzten drei unabhängig von ihrer Größe. Das sind ganz gewöhnliche Zuliefergeschäfte.
NIS2 definiert einen Anbieter verwalteter Dienste als Einrichtung, die Dienste im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, -Netzen, -Infrastruktur, -Anwendungen oder anderen Netz- und Informationssystemen erbringt, in den Räumlichkeiten der Kunden oder aus der Ferne (Artikel 6 Nummer 39). Netze stehen in der Definition. Ein Unternehmen, das für einen Betreiber den Netzbetrieb übernimmt oder dessen Ausrüstung wartet, kann darunter fallen. Wer eine Plattformkomponente hostet, ist wahrscheinlich ein Cloud- oder Rechenzentrumsanbieter. Die Regeln für MSP stehen in NIS2 für MSP und MSSP.
Wenn Sie selbst Konnektivität verkaufen, sind Sie möglicherweise Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, und dann spielt die Größe keine Rolle.
Schützt Sie Ihre Größe?
Nur wenn Sie ein kleines oder ein Kleinstunternehmen sind: weniger als 50 Beschäftigte und ein Jahresumsatz oder eine Jahresbilanzsumme von höchstens 10 Mio. EUR (Empfehlung 2003/361/EG). Die Daten von Partner- und verbundenen Unternehmen, etwa Ihrer Gruppe, zählen in der Regel mit. Ein Zulieferer mit 40 Beschäftigten in einem großen Konzern kann daher erfasst sein. Ein mittlerer MSP oder Cloud-Anbieter ist eine wichtige Einrichtung; oberhalb der Schwellenwerte für mittlere Unternehmen ist er eine wesentliche Einrichtung.
Warum ist Weg zwei detaillierter geregelt?
Für MSP, MSSP, Cloud-, Rechenzentrums-, CDN- und DNS-Anbieter, TLD-Namenregister und Vertrauensdiensteanbieter sowie einige Online-Plattformen legt die Durchführungsverordnung (EU) 2024/2690 (erlassen am 17. Oktober 2024, in Kraft seit 7. November 2024) technische und methodische Anforderungen in 13 Abschnitten ihres Anhangs fest. Sie bestimmt auch, wann ein Sicherheitsvorfall bei diesen Anbietern erheblich ist, womit die Meldefrist nach Artikel 23 zu laufen beginnt.
Hier kehrt sich das übliche Muster um. Der Telekommunikationsbetreiber fällt nicht unter diese Verordnung: Für ihn gelten die zehn Maßnahmen aus Artikel 21, so wie sein nationales Recht sie umsetzt. Ein MSP oder Cloud-Anbieter erhält eine Spezifikation. Weniger Spielraum für Auslegung und weniger Spielraum, zu wenig zu tun. Der Vorteil: Sie können sich beim Aufbau und beim Nachweis daran orientieren, statt im Nachhinein über Verhältnismäßigkeit zu streiten. Ein MSP oder Cloud-Anbieter wird dort beaufsichtigt, wo seine Hauptniederlassung liegt (Artikel 26 Absatz 1 Buchstabe b), und das ist nicht unbedingt das Land des Betreibers.
Was gilt, wenn Sie Produkte statt Dienste verkaufen?
Wer ein Gerät oder eine Lizenz verkauft, wird dadurch in der Regel nicht zum Anbieter verwalteter Dienste. Netzausrüstung und Software sind in der Regel Produkte mit digitalen Elementen im Sinne der Cyberresilienzverordnung (CRA) (Verordnung (EU) 2024/2847). Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, beginnend mit einer Frühwarnung innerhalb von 24 Stunden; die Hauptpflichten gelten ab dem 11. Dezember 2027. Siehe die Meldepflicht nach dem CRA.
Sie wissen nicht, auf welchem Weg Sie sind? Der NIS2-Anwendungsbereichsprüfer dauert ein paar Minuten.
Was werden Telekommunikationsbetreiber von ihren Zulieferern verlangen?
Auf beiden Wegen verlangt der Einkauf der Betreiber weitgehend dasselbe. Das ist Praxis, keine gesetzliche Liste.
Nachweise statt Behauptungen. Zunehmend verlangt die Klausel ein Zertifikat oder einen Auditbericht statt eines ausgefüllten Fragebogens, und meist wird ISO 27001 genannt. Die Verordnung 2024/2690 zählt Auditrechte oder Auditberichte zu den Punkten, die Lieferantenverträge abdecken sollten: für Betreiber nicht verbindlich, aber eine naheliegende Vorlage.
Meldung von Sicherheitsvorfällen an den Betreiber, mit Frist. Ein Betreiber muss innerhalb von 24 Stunden, nachdem er von einem erheblichen Sicherheitsvorfall Kenntnis erlangt hat, eine Frühwarnung übermitteln (Artikel 23). Seine Frist beginnt, wenn er davon erfährt, und oft erfährt er es von Ihnen. Vereinbaren Sie Meldeweg und Frist im Vertrag, nicht während eines Vorfalls.
Transparenz über Unterauftragnehmer. Artikel 21 betrifft unmittelbare Anbieter, doch nach Erwägungsgrund 85 könnten die Einrichtungen auch Risiken berücksichtigen, die von anderen Ebenen der Lieferkette ausgehen, und viele Betreiber tun das. Rechnen Sie damit, Ihre eigenen kritischen Zulieferer und Unterauftragnehmer nennen zu müssen.
Details zu Verschlüsselung und Zugriff. Der Telekom-Einkauf stellt schärfere Fragen als die meisten Branchen, und zwar zur Verschlüsselung bei der Übertragung und zum administrativen Zugriff auf Systeme, die Kundenverkehr transportieren. Siehe Verschlüsselung nach NIS2 in der Telekommunikation.
Woher Ihre Komponenten stammen. Diese Frage hat eine eigene politische Vorgeschichte.
Was bedeuten Hochrisikoanbieter und die 5G-Toolbox für Zulieferer?
Die Empfehlung (EU) 2019/534 der Kommission vom 26. März 2019 führte im Oktober 2019 zu einer koordinierten EU-Risikobewertung der 5G-Netze. Am 29. Januar 2020 verabschiedeten die Mitgliedstaaten über die NIS-Kooperationsgruppe die EU-Toolbox mit risikomindernden Maßnahmen. Sie verpflichteten sich, als risikoreich eingestufte Anbieter zu beschränken, einschließlich Ausschlüssen bei zentralen Komponenten wie Kernnetzfunktionen, und ihre Anbieter zu diversifizieren. Die Mitgliedstaaten setzen die Toolbox mit nationalen Maßnahmen um.
NIS2 baut darauf auf: Erwägungsgrund 90 nennt die 5G-Bewertung als Vorbild für koordinierte Risikobewertungen der Lieferkette nach Artikel 22, deren Ergebnisse Betreiber berücksichtigen müssen (Artikel 21 Absatz 3).
Am 20. Januar 2026 schlug die Kommission einen überarbeiteten Rechtsakt zur Cybersicherheit vor (COM(2026) 11). Danach dürften sich Betreiber elektronischer Kommunikationsnetze bei ihren kritischen Komponenten nicht auf Hochrisikoanbieter stützen, mit einer Übergangsfrist von bis zu 36 Monaten für Mobilfunknetze. Es ist nur ein Vorschlag: Das Europäische Parlament und der Rat müssen ihm zustimmen, und er kann sich noch ändern.
Für einen Zulieferer kommt die Wirkung vor jedem Gesetz. Rechnen Sie damit, dass Betreiber fragen, was in Ihrem Angebot steckt und wer es hergestellt hat: Mit einem gepflegten Komponenteninventar ist das günstig zu beantworten, bei null beginnend teuer.
Was sollte ein Telekom-Zulieferer aufbauen?
Auf beiden Wegen dasselbe, und genau das ist nützlich: ein an ISO 27001 ausgerichtetes Managementsystem, dessen Anwendungsbereich die Dienste umfasst, die Sie für Betreiber erbringen, mit einer Zuordnung zu Artikel 21 und, falls anwendbar, zum Anhang der Verordnung 2024/2690. Dazu drei Ergänzungen:
- Legen Sie Ihren Weg ausdrücklich fest und dokumentieren Sie die Begründung. Kunden, Versicherer und möglicherweise eine Behörde werden fragen. Eine begründete Antwort in der Akte ist einen Nachmittag Arbeit wert.
- Behandeln Sie den Meldeweg als Control. Wer informiert den Kunden, wie schnell, über welchen Kanal, mit welchen Informationen. Die meisten Zulieferer haben das nirgends festgehalten.
- Halten Sie das Register Ihrer Unterauftragnehmer aktuell. Ohne gepflegtes Register können Sie diese Frage nicht schnell beantworten.
Ein einseitiges Protokoll für alle drei:
NIS2-POSITIONSPROTOKOLL DES ZULIEFERERS
Für Telekommunikationsbetreiber erbrachte Dienste: ...
Größe mit Gruppendaten (Beschäftigte, Umsatz, Bilanzsumme): ...
Entscheidung über den Weg
Direkt erfasst? ja / nein
Art der Einrichtung (Anh. I/II): z. B. Anbieter verwalteter Dienste
Größenklasse: klein (nicht erfasst) / mittel / groß
Hauptniederlassung: ...
Zuständige Behörde: ...
Begründung, Datum, Freigabe: ...
Nachweispaket für Betreiber
Zertifikat oder Auditbericht: Umfang, Aussteller, Ablaufdatum
Meldung von Vorfällen: Kontakt, Kanal, Frist laut Vertrag
Register Unterauftragnehmer: Name, Dienst, Zugänge, Prüfdatum
Komponenteninventar: Produkt, Hersteller, HerkunftWas lässt NIS2 für einen Telekom-Zulieferer offen?
Die Verordnung 2024/2690 geht weit mehr ins Detail als Artikel 21, bleibt aber eine Vorgabe dessen, was vorhanden sein muss, und kein Test, ob es funktioniert.
Ihr Anhang verlangt Schwachstellenmanagement, Überwachung und Protokollierung sowie Datensicherungen. Jede dieser Anforderungen lässt sich mit einem dokumentierten Verfahren und einem Nachweis erfüllen, dass es durchgeführt wurde. Ein monatlicher Scanbericht erfüllt die Anforderung zu Schwachstellen, während kritische Befunde altern. Die Aufbewahrung von Protokollen erfüllt die Protokollierung, während niemand die Protokolle auswertet. Eine getestete Sicherung erfüllt die Kontinuität, während niemand die Dauer einer vollständigen Wiederherstellung gegen das vertragliche Wiederherstellungsziel gemessen hat.
Diese Lücke wiegt für einen Telekom-Zulieferer schwerer, denn auf der anderen Seite Ihrer Schnittstelle liegt ein Netz, von dem andere Unternehmen abhängen. Wenn ein Problem in Ihren Systemen die des Betreibers erreicht, lautet die Frage danach, wie lange es bestand, bevor es jemand bemerkte.
Was sich auszahlt, ist keine dickere Compliance-Akte. Es ist kontinuierliche Erkennung und Exposure-Management an den Systemen, die mit denen des Betreibers verbunden sind, mit Befunden, die einen Verantwortlichen und eine Frist haben, und mit Nachweisen, die laufend entstehen. Das ist der Ansatz der CloudSoul-Plattform: automatisierte Nachweiserfassung mit Human-in-the-Loop-Expertise für Ermessensentscheidungen. Ein Sicherheitsaudit zeigt, wie weit Sie von dem entfernt sind, was die nächste Vertragsverlängerung verlangen wird. Das Gesamtprogramm steht auf der NIS2-Seite, die Branchensicht auf der Seite IT und Telekommunikation.
NIS2-Checkliste für Telekom-Zulieferer
- Klären Sie, ob Sie direkt erfasst sind, mit Gruppenzahlen für die Größe, und dokumentieren Sie die Begründung.
- Falls ja, bestimmen Sie Ihre Hauptniederlassung, Ihre Behörde und Ihre Registrierungspflicht.
- Ordnen Sie Ihre Controls Artikel 21 zu und, falls anwendbar, dem Anhang der Verordnung 2024/2690.
- Vereinbaren Sie mit jedem Betreiber Meldeweg und Frist für Sicherheitsvorfälle.
- Führen Sie ein Register Ihrer eigenen kritischen Zulieferer und Unterauftragnehmer.
- Führen Sie ein Inventar der Komponenten, die Sie liefern, und ihrer Hersteller.
- Stellen Sie ein wiederverwendbares Nachweispaket für Fragebögen und Audits der Betreiber zusammen.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 6, 21, 22, 23, 26 und 43, Anhänge I und II sowie Erwägungsgründe 85, 90, 92 und 95, EUR-Lex.
- Richtlinie (EU) 2018/1972 (europäischer Kodex für die elektronische Kommunikation), EUR-Lex.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 16 und Anhang, EUR-Lex.
- Empfehlung 2003/361/EG der Kommission, KMU-Definition, EUR-Lex.
- Empfehlung (EU) 2019/534 der Kommission zur Cybersicherheit der 5G-Netze, EUR-Lex.
- Europäische Kommission, Pressemitteilung zur EU-Toolbox für 5G-Sicherheit, 29. Januar 2020, IP/20/123.
- Europäische Kommission, Vorschlag für einen überarbeiteten Rechtsakt zur Cybersicherheit, COM(2026) 11, EUR-Lex; Pressemitteilung vom 20. Januar 2026, IP/26/105; Fragen und Antworten zum Cybersicherheitspaket.
- Verordnung (EU) 2024/2847 (Cyberresilienzverordnung), EUR-Lex; Europäische Kommission, Sicherere digitale Produkte, 11. September 2026.
Häufige Fragen
Gilt NIS2 für Zulieferer von Telekommunikationsbetreibern?
Auf zwei Wegen. Telekommunikationsbetreiber fallen unabhängig von ihrer Größe unter NIS2 und müssen nach Artikel 21 Absatz 2 Buchstabe d und Absatz 3 die Sicherheitsrisiken ihrer unmittelbaren Anbieter steuern. Die Anforderungen erreichen Zulieferer also über Verträge. Ein Zulieferer fällt außerdem direkt unter NIS2, wenn sein eigenes Geschäft zu einer aufgeführten Art gehört, etwa Anbieter verwalteter Dienste, Cloud- oder Rechenzentrumsanbieter, und er mindestens ein mittleres Unternehmen ist.
Sind Telekommunikationsbetreiber wesentliche oder wichtige Einrichtungen nach NIS2?
Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste fallen unabhängig von ihrer Größe unter NIS2. Anbieter, die mindestens mittlere Unternehmen sind, sind wesentliche Einrichtungen. Anbieter, die kleine oder Kleinstunternehmen sind, sind wichtige Einrichtungen, sofern ein Mitgliedstaat sie nicht als wesentliche Einrichtungen einstuft.
Fällt ein Unternehmen, das das Netz eines Betreibers verwaltet, selbst unter NIS2?
Das ist möglich. NIS2 definiert einen Anbieter verwalteter Dienste als Einrichtung, die Dienste im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, -Netzen oder -Infrastruktur erbringt, in den Räumlichkeiten der Kunden oder aus der Ferne. Ein Anbieter verwalteter Dienste, der mindestens ein mittleres Unternehmen ist, fällt direkt unter NIS2, und die Durchführungsverordnung (EU) 2024/2690 legt für ihn detaillierte Sicherheitsanforderungen fest.
Was ist aus den Sicherheitsvorschriften für Telekommunikation im europäischen Kodex für die elektronische Kommunikation geworden?
NIS2 hat die Artikel 40 und 41 des europäischen Kodex für die elektronische Kommunikation, die Sicherheits- und Meldepflichten für Telekommunikationsanbieter festlegten, mit Wirkung vom 18. Oktober 2024 gestrichen. Diese Anbieter fallen seitdem unter NIS2.
Müssen Telekommunikationsbetreiber auf Hochrisikoanbieter verzichten?
Eine EU-weite Regel gibt es noch nicht. Mit der 5G-Toolbox von 2020 haben sich die Mitgliedstaaten verpflichtet, Hochrisikoanbieter bei zentralen Komponenten durch nationale Maßnahmen zu beschränken. Der Vorschlag der Kommission vom Januar 2026 zur Überarbeitung des Rechtsakts zur Cybersicherheit würde es Netzbetreibern untersagen, sich bei kritischen Komponenten auf Hochrisikoanbieter zu stützen, ist aber noch ein Vorschlag.
