FAQ

Häufige Fragen zu Datenschutz und IT-Sicherheit

Häufige Fragen zum Lieferantenmanagement (NIS 2 RL)

Die NIS2-Richtlinie ist eine übergeordnete EU-Richtlinie, die sich an Betreiber kritischer Infrastrukturen und wichtige Unternehmen in verschiedenen Sektoren richtet, um ein hohes gemeinsames Cybersicherheitsniveau in der EU zu gewährleisten.

Die NIS-2-Richtlinie (Art. 21 Abs. 2 lit. d) verlangt von regulierten Einrichtungen ein systematisches Cyber-Supply-Chain-Risikomanagement (C-SCRM). Organisationen haften für Sicherheitslücken, die über ihre Lieferkette in ihre Systeme getragen werden.

Warum ist Lieferantenmanagement unter NIS-2 Pflicht und worauf basiert es?

Lieferanten und Dienstleister sind eines der primären Einfallstore für Cyberangriffe (z. B. Supply-Chain-Attacken über kompromittierte Software-Updates oder Dienstleister-Zugänge). NIS-2 schreibt deshalb in Artikel 21 Abs. 2 lit. d (in Deutschland umgesetzt in § 30 Abs. 2 Nr. 4 BSIG) vor, dass betroffene Einrichtungen die Sicherheit der gesamten Lieferkette und die Beziehung zu ihren direkten Anbietern risikobasiert steuern müssen.

Welche Lieferanten müssen bewertet werden?

Die Pflicht umfasst alle direkten Lieferanten und Dienstleister (Tier 1), von denen Risiken für die Netz- und Informationssysteme ausgehen können.

Kritischer Fokus: IT/OT-Dienstleister, Cloud- und SaaS-Anbieter, Software-Hersteller, Rechenzentren, Fernwartungs- und Systemhaus-Partner.
Risikobasierter Ansatz: Es müssen nicht alle Lieferanten mit demselben Aufwand geprüft werden. Ein Büroartikel-Lieferant ohne IT-Anbindung stellt kein IT-Risiko dar. Der Fokus liegt auf Anbietern mit Systemzugriff, Datenzugriff oder Auswirkung auf den Geschäftsbetrieb.

Sind auch kleine Zulieferer betroffen, die selbst nicht direkt unter NIS-2 fallen?

Ja, indirekt.

Selbst wenn ein Zulieferer aufgrund seiner Größe oder Branche nicht direkt unter den gesetzlichen Anwendungsbereich von NIS-2 fällt, wird die regulierte Einrichtung die Sicherheitsanforderungen vertraglich an ihn weiterreichen (Flow-down-Prinzip).

Wer Kerninfrastrukturen oder kritische IT-Systeme beliefert, muss künftig nachweisen können, dass grundlegende IT-Sicherheitsstandards eingehalten werden.

Wie sieht der Prozess zur Risikobewertung von Lieferanten aus?

Ein NIS-2-konformer Bewertungsprozess gliedert sich typischerweise in vier Schritte:

Inventarisierung: Erfassung aller externen Dienstleister, Softwareprodukte und Schnittstellen.
Klassifizierung (Tiering): Einstufung nach Bedrohungspotenzial anhand von Kriterien wie:
- Haben sie Zugriff auf das interne Netz / administrative Rechte?
- Verarbeiten sie vertrauliche oder kritische Daten?
- Welcher Schaden entsteht bei einem Ausfall des Lieferanten?
Due-Diligence-Prüfung: Sicherheitsabfrage mittels Fragebögen (z. B. angelehnt an ISO 27001, BSI C-SCRM oder CyberRisikoCheck), Nachweis von Zertifikaten (ISO 27001, SOC 2) oder Herstellernachweisen.
Maßnahmenableitung: Vereinbarung von Sicherheitsmaßnahmen bei identifizierten Schutzlücken.

Welche Klauseln müssen zwingend in Lieferantenverträge aufgenommen werden?

Bestehende und neue Verträge müssen um spezifische Cybersicherheitsklauseln ergänzt werden:

Meldepflichten bei Sicherheitsvorfällen: Verpflichtung des Lieferanten, Sicherheitsvorfälle, die die eigene Dienstleistung oder Produkte betreffen, unverzüglich zu melden (abgestimmt auf die NIS-2-Meldefristen).
Audit- und Kontrollrechte: Das Recht der Einrichtung, die Einhaltung der Sicherheitsanforderungen (oder durch Audit-Berichte Dritter) zu überprüfen.
Nachunternehmer-Regelung (Subcontractor Cascading): Pflicht des Lieferanten, die Sicherheitsanforderungen auch an seine eigenen Unterauftragnehmer weiterzugeben.
Vulnerability Handling / Software-Sicherheit: Verpflichtung zum zügigen Patchen von Schwachstellen und ggf. Bereitstellung einer Software-Stückliste (SBOM – Software Bill of Materials).
Zugriffs- und Exit-Strategien: Strikte Regelungen für Rechtevergabe (Least Privilege), Multi-Faktor-Authentifizierung (MFA) sowie die sichere Datenlöschung bei Vertragsende.

Wie muss das fortlaufende Monitoring der Lieferanten gestaltet sein?

Ein einmalig ausgefüllter Fragebogen reicht für NIS-2 nicht aus. Das Gesetz verlangt ein kontinuierliches Risikomanagement:

Wiederkehrende Re-Assessments: Regelmäßige (z. B. jährliche) Überprüfung der Sicherheitslage bei kritischen Lieferanten.
Eventbezogene Prüfungen: Sofortige Neubewertung bei wesentlichen Vertragsänderungen, neuen Schnittstellen oder nach bekannt gewordenen Sicherheitsvorfällen beim Dienstleister.
Gültigkeitsüberwachung: Überwachung der Laufzeiten von Zertifikaten (z. B. ISO 27001 Audit-Berichte) und Testergebnissen (z. B. Penetrationstests).

Welche etablierten Standards helfen bei der Umsetzung?

Organisationen müssen das Rad nicht neu erfinden. Die NIS-2-Anforderungen lassen sich gut auf bestehende Frameworks mappen:

ISO/IEC 27001:2022 (Annex A 5.19 bis 5.22): Spezifische Controls für Lieferantenbeziehungen, Sicherheit in Verträgen, IKT-Lieferkette und Überwachung.
BSI C-SCRM (Cyber-Supply Chain Risk Management): Handreichungen und Best Practices des Bundesamts für Sicherheit in der Informationstechnik für sichere Lieferketten.
NIST SP 800-161: International anerkannter Leitfaden für Supply Chain Cybersecurity Risk Management.