Reicht TISAX für NIS2 aus?

Nein. TISAX bewertet die Informationssicherheitsorganisation und deckt damit einen erheblichen Teil der organisatorischen Anforderungen des § 30 BSIG ab. Nicht abgedeckt sind die gesetzlichen Pflichten selbst: die Registrierung beim BSI nach § 33, der dreistufige Meldeprozess nach § 32 und die Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung nach § 38. Ein TISAX-Label ist ein starker Ausgangspunkt, kein Nachweis der NIS2-Konformität.

Wie verhält sich ISO/SAE 21434 zu NIS2?

Die beiden Regelwerke haben unterschiedliche Gegenstände. ISO/SAE 21434 betrifft die Cybersicherheit des Fahrzeugs beziehungsweise seiner Systeme über den Produktlebenszyklus. NIS2 und das BSIG betreffen die Sicherheit Ihres Unternehmens und seiner Prozesse. Beide können nebeneinander gelten; Nachweise zu Risikoanalyse und Schwachstellenmanagement lassen sich teilweise gemeinsam führen, die Verantwortlichkeiten sollten getrennt bleiben.

Wir sind Zulieferer in zweiter Reihe — betrifft uns NIS2?

Unmittelbar dann, wenn Sie die Schwellenwerte erreichen. Unabhängig davon mittelbar über Ihre Kunden: Diese müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer unmittelbaren Anbieter steuern und geben die Anforderungen vertraglich weiter. In der Praxis erreichen die Anforderungen die zweite und dritte Reihe innerhalb weniger Monate nach dem Systemlieferanten.

Was verlangen Hersteller im Vorfallsfall?

Typischerweise eine unverzügliche Information über Vorfälle mit möglichen Auswirkungen auf die Lieferfähigkeit, oft mit kürzeren Fristen als die gesetzlichen. Diese vertragliche Meldepflicht besteht neben der Meldung an das BSI nach § 32 BSIG und ersetzt sie nicht. Beide Wege gehören in denselben Vorfallprozess, damit im Ernstfall niemand entscheiden muss, wen er zuerst anruft.

Verarbeitendes Gewerbe

NIS2 im Automotive

Zulieferer zwischen OEM-Anforderungen und gesetzlicher Pflicht

Sind Sie betroffen?

Automobilzulieferer fallen als Teil des verarbeitenden Gewerbes unter Anhang II der NIS2-Richtlinie, sobald sie mindestens 50 Beschäftigte oder mehr als 10 Mio. EUR Jahresumsatz erreichen. Die Besonderheit dieser Branche: Sie erfüllt seit Jahren Sicherheitsanforderungen ihrer Kunden — diese ersetzen die gesetzlichen Pflichten jedoch nicht.

Verarbeitendes Gewerbe nach Anhang II der NIS2-Richtlinie
Ab 50 Beschäftigten oder mehr als 10 Mio. EUR Jahresumsatz
Zusätzlich über die Lieferkettenpflichten der Hersteller nach § 30 Abs. 2 Nr. 4 BSIG
Bei Fahrzeugsystemen zusätzlich über die typvorschriftenbezogenen Regelungen der UNECE

Diese Seite vertieft eine Teilbranche des Sektors Verarbeitendes Gewerbe. Die gesetzliche Sektorzuordnung nach Anhang II erfolgt dort — Automotive ist keine eigene NIS2-Kategorie.

Was im Automotive anders ist

TISAX ist etabliert — aber nicht deckungsgleich

Wer ein TISAX-Label hält, hat einen erheblichen Vorsprung: Informationssicherheitsorganisation, Klassifizierung und Zugriffskontrolle sind bewertet. Was TISAX nicht abbildet, sind die gesetzlichen Pflichten selbst — die Registrierung nach § 33, die Meldefristen nach § 32 und die Pflichten der Geschäftsleitung nach § 38. Genau dort liegen die Lücken.

Just-in-Sequence macht jede Stunde teuer

In der Sequenzbelieferung folgt der Bandstillstand beim Hersteller dem eigenen Ausfall innerhalb weniger Stunden. Der Schaden ist deshalb nicht proportional zur Ausfalldauer, sondern springt — und die Wiederanlaufzeiten müssen entsprechend eng gesetzt und geübt sein.

Anforderungen kaskadieren nach unten

Was der Hersteller vom Systemlieferanten verlangt, gibt dieser an seine Komponentenlieferanten weiter. Wer in der Mitte der Kette sitzt, muss Anforderungen gleichzeitig erfüllen und weiterreichen — und beides nachweisen können.

Produktsicherheit ist ein zweites Regime

Für Systeme im Fahrzeug gelten eigene Anforderungen an Cybersecurity Engineering. Diese betreffen das Produkt über seinen Lebenszyklus und sind von der Unternehmenssicherheit nach NIS2 organisatorisch zu trennen — auch wenn sich Nachweise teilweise gemeinsam führen lassen.

Regelwerke, die neben dem BSIG greifen

Regelwerke mit Bezug zu Automotive neben dem BSIG
Regelwerk	Bezug
TISAX / VDA ISA	Branchenmechanismus zur gegenseitigen Anerkennung von Sicherheitsbewertungen. Starke Überschneidung mit den organisatorischen Anforderungen des § 30 BSIG, aber keine Abdeckung der Melde-, Registrierungs- und Leitungspflichten.
ISO/SAE 21434	Cybersecurity Engineering für Straßenfahrzeuge über den Produktlebenszyklus. Betrifft das Produkt, nicht das Unternehmen — ergänzt NIS2, ersetzt es nicht.
UNECE R155 und R156	Anforderungen an ein Cybersecurity-Managementsystem und an Software-Updates im Rahmen der Typgenehmigung. Relevant für Zulieferer, die typgenehmigungspflichtige Systeme liefern.

Bedrohungslage

Bandstillstand beim Kunden

Ein Ausfall in der eigenen Fertigung wird binnen Stunden zum Problem des Herstellers. Vertragsstrafen und Regressforderungen bemessen sich nicht am eigenen Schaden, sondern am Bandstillstand des Kunden.

Angriff über den Systemlieferanten

Die Kette ist eng verzahnt: gemeinsame Portale, Datenaustauschplattformen und Fernzugänge. Ein kompromittierter Partner in der Kette erreicht mehrere Unternehmen gleichzeitig.

Abfluss von Entwicklungsdaten vor Serienanlauf

Vor dem Anlauf liegen Konstruktions- und Prozessdaten besonders breit gestreut — bei Entwicklungsdienstleistern, Werkzeugbauern und im eigenen Haus. Das ist der Zeitpunkt mit der größten Angriffsfläche und dem höchsten Schadenspotenzial.

Maßnahmen mit Priorität

Die zehn Maßnahmenbereiche des § 30 BSIG gelten unverändert. Diese Punkte werden im Automotive anders gewichtet als im Durchschnitt.

Vorhandene TISAX-Nachweise gezielt auf die zehn Bereiche des § 30 BSIG abbilden und die verbleibenden Lücken benennen
Registrierung nach § 33, Meldeprozess nach § 32 und Leitungspflichten nach § 38 gesondert aufsetzen — TISAX deckt sie nicht ab
Wiederanlaufzeiten an den Sequenzanforderungen der Kunden ausrichten, nicht an internen Zielen
Datenaustauschplattformen und Kundenportale in das Lieferantenverzeichnis aufnehmen
Anforderungskaskade nach unten vertraglich verankern und die Erfüllung nachhalten
Vor Serienanlauf gesonderte Schutzmaßnahmen für Entwicklungsdaten festlegen
Produktsicherheit und Unternehmenssicherheit getrennt verantworten, Nachweise aber gemeinsam führen
Krisenkommunikation gegenüber dem Hersteller vorbereiten — inklusive der Frage, wer wann informiert wird

Häufige Fragen

Reicht TISAX für NIS2 aus?: Nein. TISAX bewertet die Informationssicherheitsorganisation und deckt damit einen erheblichen Teil der organisatorischen Anforderungen des § 30 BSIG ab. Nicht abgedeckt sind die gesetzlichen Pflichten selbst: die Registrierung beim BSI nach § 33, der dreistufige Meldeprozess nach § 32 und die Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung nach § 38. Ein TISAX-Label ist ein starker Ausgangspunkt, kein Nachweis der NIS2-Konformität.
Wie verhält sich ISO/SAE 21434 zu NIS2?: Die beiden Regelwerke haben unterschiedliche Gegenstände. ISO/SAE 21434 betrifft die Cybersicherheit des Fahrzeugs beziehungsweise seiner Systeme über den Produktlebenszyklus. NIS2 und das BSIG betreffen die Sicherheit Ihres Unternehmens und seiner Prozesse. Beide können nebeneinander gelten; Nachweise zu Risikoanalyse und Schwachstellenmanagement lassen sich teilweise gemeinsam führen, die Verantwortlichkeiten sollten getrennt bleiben.
Wir sind Zulieferer in zweiter Reihe — betrifft uns NIS2?: Unmittelbar dann, wenn Sie die Schwellenwerte erreichen. Unabhängig davon mittelbar über Ihre Kunden: Diese müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer unmittelbaren Anbieter steuern und geben die Anforderungen vertraglich weiter. In der Praxis erreichen die Anforderungen die zweite und dritte Reihe innerhalb weniger Monate nach dem Systemlieferanten.
Was verlangen Hersteller im Vorfallsfall?: Typischerweise eine unverzügliche Information über Vorfälle mit möglichen Auswirkungen auf die Lieferfähigkeit, oft mit kürzeren Fristen als die gesetzlichen. Diese vertragliche Meldepflicht besteht neben der Meldung an das BSI nach § 32 BSIG und ersetzt sie nicht. Beide Wege gehören in denselben Vorfallprozess, damit im Ernstfall niemand entscheiden muss, wen er zuerst anruft.

Weiter zu

Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Fachliche Einordnung zur technischen und organisatorischen Umsetzung, keine Rechtsberatung.

NIS2 im Automotive — wo stehen Sie?

Eine Gap-Analyse zeigt anhand Ihrer Nachweise, welche der zehn Maßnahmenbereiche offen sind und in welcher Reihenfolge sie geschlossen werden sollten.

Gap-Analyse ansehen