Was das Gesetz verlangt
Der Maßnahmenkatalog des § 30 Abs. 2 Satz 2 BSIG nennt in Nummer 4 die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Der europäische Referenztext, Artikel 21 Abs. 2 Buchst. d der Richtlinie (EU) 2022/2555, formuliert inhaltsgleich: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“. An dieser Stelle weichen deutsches und europäisches Recht nicht voneinander ab.
Beide Texte richten den Blick auf die unmittelbaren Anbieter und Diensteanbieter. Eine Pflicht, die gesamte mehrstufige Lieferkette bis zum Vorlieferanten des Vorlieferanten zu prüfen, lässt sich aus der Vorschrift nicht ableiten. Das entlastet nicht von der Risikobetrachtung – ein kritischer Unterauftragnehmer bleibt ein Risiko –, aber es setzt den Prüfungsschwerpunkt dort, wo eine vertragliche Beziehung besteht.
Warum die Lieferkette überhaupt im Katalog steht
Die Angriffsfläche einer Organisation endet nicht an ihrer Firewall. Managed-Service-Provider, Softwarehersteller, Rechenzentrums- und Wartungsdienstleister haben oft weitreichende Zugriffe, und Angriffe über einen Dienstleister umgehen die eigene Perimeter-Kontrolle vollständig. Die Konsequenz aus Sicht des Gesetzgebers ist einfach: Wer Verfügbarkeit, Integrität und Vertraulichkeit seiner Dienste verantwortet, muss die Sicherheitsqualität derer bewerten, die daran mitwirken.
Ein praktikabler Ablauf
Erstens: ein belastbares Verzeichnis. Ohne vollständige Übersicht über Anbieter, bezogene Leistungen, Zugriffsarten und verarbeitete Daten ist jede weitere Bewertung Stückwerk. Häufig fehlen gerade die kleinen Fachanwendungen und Wartungszugänge, die niemand als „IT-Dienstleister“ geführt hat.
Zweitens: Kritikalität statt Gleichbehandlung. Ein Dienstleister mit administrativem Zugriff auf produktive Systeme verlangt eine andere Tiefe als ein Lieferant ohne Systemanbindung. Sinnvolle Kriterien sind Zugriffsumfang, Ersetzbarkeit, Beitrag zur Erbringung der eigenen Dienste und die Folgen eines Ausfalls.
Drittens: vertragliche Verankerung. Sicherheitsanforderungen, Mitwirkungs- und Informationspflichten bei Sicherheitsvorfällen, Regelungen zu Unterauftragnehmern, Prüf- und Auskunftsrechte sowie Vorgaben zur Beendigung gehören in den Vertrag und nicht in eine Absichtserklärung.
Viertens: Nachweise mit Verfallsdatum. Zertifikate, Prüfberichte und Selbstauskünfte sind Momentaufnahmen. Wichtig ist, den Geltungsbereich zu lesen: Ein Zertifikat, dessen Scope die für Sie erbrachte Leistung nicht umfasst, sagt wenig aus.
Fünftens: Meldewege abstimmen. Die eigene Meldefrist von 24 Stunden nach § 32 BSIG läuft ab Kenntniserlangung. Wenn ein Dienstleister erst nach Tagen informiert, ist die Frist strukturell nicht einhaltbar. Vertraglich vereinbarte, kurze Informationspflichten sind deshalb kein Formalismus, sondern die Voraussetzung der eigenen Meldefähigkeit.
Was Lieferkettensicherheit nicht bedeutet
Die NIS2-Pflichten treffen die betroffene Einrichtung selbst. Ein Zulieferer wird nicht dadurch registrierungs- oder meldepflichtig, dass sein Kunde betroffen ist. Faktisch werden die Anforderungen aber über Verträge weitergegeben; viele Unternehmen begegnen NIS2 zuerst als Fragebogen ihres Kunden. Umgekehrt gibt es keine gesetzliche Pflicht, von Lieferanten eine bestimmte Zertifizierung zu verlangen; die Auswahl des Nachweismittels bleibt eine Frage der Angemessenheit.
Was im Audit tatsächlich geprüft wird
Prüfende Stellen und Aufsichtsbehörden interessieren sich weniger für die Existenz eines Fragebogens als für den Regelkreis dahinter. Typische Fragen: Ist das Lieferantenverzeichnis vollständig und aktuell, und woran erkennt man das? Nach welchen Kriterien wurde die Kritikalität eingestuft, und wer hat das entschieden? Welche Konsequenz hatte eine schlechte Bewertung: Gab es eine Auflage, eine Frist, einen Eskalationspfad oder wurde der Befund lediglich abgelegt? Und wie wurde mit Lieferanten verfahren, die eine Anforderung nicht erfüllen konnten?
Gerade die letzte Frage ist unbequem, weil die ehrliche Antwort oft „gar nicht“ lautet. Ein dokumentiertes, befristetes und von der zuständigen Stelle freigegebenes Restrisiko ist an dieser Stelle deutlich belastbarer als eine formal vollständige, aber folgenlose Bewertung.
Grenzen des Fragebogens
Selbstauskünfte sind ein legitimes Instrument, aber sie messen Auskunftsbereitschaft, nicht Sicherheit. Der Prüfungsaufwand lässt sich nach Kritikalität staffeln: standardisierte Selbstauskunft für die Breite, Prüfberichte oder Zertifikate mit passendem Geltungsbereich für kritische Dienstleister, im Einzelfall eigene Prüfungen auf vertraglicher Grundlage. Ein Fragebogen, der für alle gleich lang ist, kostet überall Zeit und liefert nirgends Tiefe.
Abgrenzung zu benachbarten Regelwerken
Für Finanzunternehmen regelt DORA das Management des IKT-Drittparteienrisikos eigenständig und deutlich detaillierter; die vertraglichen Anforderungen stehen dort in Kapitel V Abschnitt I (Artikel 28 bis 30) der Verordnung (EU) 2022/2554. Ein ISMS nach ISO/IEC 27001 enthält ebenfalls Maßnahmen zu Lieferantenbeziehungen und liefert für § 30 Abs. 2 Satz 2 Nr. 4 BSIG in der Regel bereits einen großen Teil der Struktur. Der Katalog des § 30 Abs. 2 BSIG ist ausdrücklich nicht abschließend; Satz 2 verlangt „zumindest“ die genannten Maßnahmen.