Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten und betrifft rund 29.500 Einrichtungen in Deutschland, wie diese Aufstellung zur deutschen Umsetzung zeigt. Interessant ist aber nicht diese Zahl, sondern das, was daraus folgt: Eine der zehn verpflichtenden Maßnahmen heißt Lieferkettensicherheit. Jede dieser 29.500 Einrichtungen muss also nachweisen, dass ihre Zulieferer sicher arbeiten — und reicht diese Last per Fragebogen weiter. Der NIS2-Lieferantenfragebogen landet damit bei Tausenden Betrieben, die selbst gar nicht reguliert sind und trotzdem antworten müssen.
Was NIS2 mit Firmen macht, die selbst nicht reguliert sind
NIS2 kennt zwei Gruppen: wesentliche und wichtige Einrichtungen, definiert über Sektor und Unternehmensgröße. Wer darunterfällt, muss registrieren, melden und ein Risikomanagement nachweisen. Der Pflichtenkatalog umfasst zehn Maßnahmen, darunter ausdrücklich die Sicherheit der Lieferkette.
Die Primärgruppe ist überschaubar — und überfordert
Zwei Wochen vor der Registrierungsfrist am 6. März 2026 hatten sich laut einer Auswertung der Digitalagentur Berlin weniger als 20 Prozent der Betroffenen registriert. Wer selbst hinterherhinkt, arbeitet die Pflichten in der Reihenfolge ab, die am schnellsten prüfbar ist. Lieferkettensicherheit steht dabei weit oben, weil sie sich elegant delegieren lässt: Fragebogen raus, Antwort in die Akte.
Der Sekundäreffekt ist deutlich größer als die Pflicht
Ein einzelnes Energieversorgungsunternehmen hat schnell 200 bis 800 Lieferantenbeziehungen. Rechnet man das über die Primärgruppe hoch, entsteht eine Betroffenenzahl im hohen fünfstelligen Bereich — Betriebe, die von NIS2 nie gehört haben und nun Post bekommen. Die Ableitung der Anforderungen auf Lieferanten ist im Gesetz angelegt, nicht ein Auswuchs übervorsichtiger Einkaufsabteilungen.
Warum der NIS2-Lieferantenfragebogen gerade jetzt zum Problem wird
Die Pflicht existiert seit Dezember 2025. Die Fragebögen kommen aber erst jetzt in der Breite an, weil die regulierten Unternehmen ihre eigenen Hausaufgaben zuerst erledigt haben. 2026 ist das Jahr, in dem die Welle beim Mittelstand ankommt.
Es gibt kein Standardformat
Kunde A schickt eine Excel-Datei mit 180 Zeilen. Kunde B verlangt die Antworten im eigenen Lieferantenportal. Kunde C hängt einen VDA-ISA-Auszug an, Kunde D will eine ISO-27001-Erklärung, die der Zulieferer nicht hat. Die inhaltliche Schnittmenge liegt bei gut 80 Prozent, die Form ist jedes Mal anders. Genau diese Kombination macht die Sache manuell teuer und automatisiert lösbar.
Widersprüchliche Antworten kosten Verträge
Heute beantwortet der Geschäftsführer oder der einzige IT-Mensch diese Bögen nebenbei, jedes Mal von vorn. Nach dem dritten Fragebogen stehen drei unterschiedliche Aussagen zur Backup-Frequenz im Umlauf. Fällt das bei einem Audit auf, ist das kein Formfehler, sondern ein Vertrauensproblem — und im Zweifel der Rahmenvertrag.
Wer genau die Zielgruppe ist
Mittelständische Zulieferer, IT-Dienstleister, Logistiker und Lohnfertiger mit 20 bis 200 Mitarbeitern, deren Kunden im Energie-, Gesundheits-, Transport- oder Finanzsektor sitzen. Das ist eine Zielgruppe, die man über Branchenverbände und Messelisten sauber eingrenzen kann — kein diffuses „KMU in Deutschland".
Die Zahlbereitschaft hängt am Auftragswert, nicht am IT-Budget
Das ist der entscheidende Punkt. Ein Lohnfertiger mit einem 900.000-Euro-Rahmenvertrag denkt bei 400 Euro für einen sauber beantworteten Fragebogen nicht über sein IT-Budget nach. Er denkt über den Vertrag nach. Wer eine Dienstleistung an einen bestehenden Umsatzstrom koppelt statt an eine Kostenstelle, verkauft sie deutlich leichter — das gilt weit über dieses Beispiel hinaus, mehr dazu im Beitrag zur Dienstleistung als Geschäftsidee.
Das Geschäftsmodell: Dossier erstellen, dann pflegen
Zwei Stufen, und die zweite ist die wichtige.
Stufe eins: das konsolidierte Antwort-Dossier
Einmalige Erstellung eines Bestands aus Richtlinien, Evidenznachweisen und Standardantworten, aufgebaut entlang der zehn NIS2-Maßnahmen. Preisrahmen 2.500 bis 6.000 Euro, Aufwand realistisch fünf bis acht Arbeitstage beim ersten Kunden, ab dem dritten deutlich weniger. Ergebnis ist kein Zertifikat, sondern eine belastbare, in sich konsistente Antwortbasis.
Stufe zwei: laufende Beantwortung
150 bis 400 Euro pro eingehendem Fragebogen oder 200 bis 500 Euro monatlich als Flatrate. Weil sich die Inhalte zwischen Kunden zu rund 80 Prozent wiederholen, sinkt der Aufwand pro Bogen mit jedem Mandat. Das ist der Skalierungshebel — und der Grund, warum das Modell nach dem zehnten Kunden anders aussieht als nach dem zweiten.
Was du können musst — und was ausdrücklich nicht
Du musst keine Penetrationstests fahren und keine Firewall konfigurieren. Du musst verstehen, was die zehn Maßnahmen verlangen, wie ein Einkaufsaudit liest, und wie man eine ehrliche Antwort so formuliert, dass sie eine Lücke benennt, ohne den Vertrag zu gefährden. Das ist Übersetzungsarbeit zwischen Recht, Technik und Vertrieb — und genau deshalb sitzt zwischen den klassischen IT-Sicherheitsberatern und den Zulieferern eine Lücke.
Der Einstieg ist damit deutlich niedriger als bei technischer Sicherheitsberatung. Wer aus Einkauf, Qualitätsmanagement oder Vertriebsinnendienst kommt, hat die relevante Hälfte der Fähigkeiten bereits.
Die ersten 30 Tage
Woche 1 bis 2
Drei echte Lieferantenfragebögen beschaffen — über das eigene Netzwerk, nicht über Google. Die Fragen in einer Matrix zusammenführen und die Schnittmenge herausarbeiten. Das Ergebnis ist dein Produkt im Rohzustand.
Woche 3 bis 4
Einen Pilotkunden zum halben Preis durchziehen, Zeitaufwand messen, Vorlage nachschärfen. Parallel zwei Einkaufsleiter regulierter Unternehmen anschreiben — nicht mit einem Angebot, sondern mit der Frage, wie sie heute mit unvollständigen Lieferantenantworten umgehen. Die Antwort liefert dir das Verkaufsargument frei Haus.
Wo die Nische kippen kann
Zwei Risiken. Erstens: Setzt sich ein Branchenstandard durch — etwa ein einheitlicher Fragebogen pro Sektor —, schrumpft der Übersetzungsaufwand deutlich. Das würde das Geschäft nicht beenden, aber die Preise drücken. Zweitens: Große Prüfgesellschaften könnten das Segment von oben besetzen. Ihr Kostenmodell passt allerdings schlecht zu einem 300-Euro-Fragebogen, und das ist der Schutzwall.
Einordnung
Was diese Nische von den üblichen Compliance-Ideen unterscheidet, ist die Richtung: Du verkaufst nicht an den Regulierten, sondern an den, auf den die Pflicht abgewälzt wurde. Diese zweite Reihe ist größer, schlechter versorgt und wird von Beratungsangeboten systematisch übersehen. Dasselbe Muster taucht bei fast jeder neuen EU-Pflicht auf — zuletzt bei den CRA-Meldepflichten für kleine Hersteller. Wer es einmal erkannt hat, findet es wieder; wie man solche Signale systematisch bewertet, steht in unserem Leitfaden zum Finden einer profitablen Nische.