Was ist Lieferkettensicherheit?
Lieferkettensicherheit umfasst alle Maßnahmen, mit denen eine Einrichtung Risiken beherrscht, die über Lieferanten und Dienstleister in ihre Systeme gelangen. § 30 Abs. 2 Satz 2 Nr. 4 BSIG verlangt die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Art. 21 Abs. 2 Buchst. d der Richtlinie (EU) 2022/2555 formuliert inhaltsgleich.
Wie sich die Pflicht in die übrigen NIS2-Pflichten einfügt, beschreibt der NIS2-Leitfaden.
Im Wortlaut stehen die unmittelbaren Anbieter
§ 30 Abs. 2 Satz 2 Nr. 4 BSIG nennt die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern ausdrücklich, als Teil („einschließlich“) der Sicherheit der Lieferkette. Eine Pflicht, jeden Vorlieferanten selbst zu prüfen, nennt der Wortlaut nicht. Ein kritischer Unterauftragnehmer bleibt trotzdem ein Risiko; er wird über die Regeln zu Unterauftragnehmern im Vertrag mit dem unmittelbaren Anbieter erfasst.
Weiter reicht Artikel 21 Absatz 3 der Richtlinie. Er nennt, was bei der Auswahl der Maßnahmen zu berücksichtigen ist:
| Gesichtspunkt | Fundstelle |
|---|---|
| spezifische Schwachstellen jedes unmittelbaren Anbieters und Diensteanbieters | Art. 21 Abs. 3 Satz 1 |
| Gesamtqualität der Produkte und der Cybersicherheitspraxis der Anbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse | Art. 21 Abs. 3 Satz 1 |
| Ergebnisse der koordinierten Risikobewertungen kritischer Lieferketten auf Unionsebene | Art. 21 Abs. 3 Satz 2 mit Art. 22 Abs. 1 |
Die drei Gesichtspunkte eignen sich als Kriterien für die Einstufung eines Anbieters und die Tiefe seiner Prüfung.
Drei Bausteine: Verzeichnis, Kritikalität, Vertrag
Lieferkettensicherheit beginnt mit drei Bausteinen, die aufeinander aufbauen:
- Verzeichnis. Erfassen Sie jeden Anbieter mit bezogener Leistung, Art des Zugriffs und verarbeiteten Daten. Nehmen Sie auch Fachanwendungen und Wartungszugänge auf, die nicht über den Einkauf laufen.
- Kritikalität. Stufen Sie Anbieter nach Zugriffsumfang, Ersetzbarkeit, Beitrag zu den eigenen Diensten und Folgen eines Ausfalls ein. Ein Dienstleister mit administrativem Zugriff auf produktive Systeme braucht eine andere Prüftiefe als ein Lieferant ohne Systemanbindung.
- Vertrag. Verankern Sie im Vertrag die Sicherheitsanforderungen, die Mitwirkungs- und Informationspflichten bei Sicherheitsvorfällen und die Regeln zu Unterauftragnehmern. Ergänzen Sie Prüf- und Auskunftsrechte sowie Vorgaben zur Beendigung.
Die Maßnahmen gehören zum Maßnahmenkatalog des § 30 Abs. 2 BSIG, dessen Einhaltung die Einrichtung nach § 30 Abs. 1 Satz 3 BSIG dokumentieren muss.
Die 24-Stunden-Frist reicht in den Vertrag
Die eigene Meldekette beginnt mit der frühen Erstmeldung spätestens 24 Stunden nach Kenntniserlangung eines erheblichen Sicherheitsvorfalls (§ 32 Abs. 1 Satz 1 Nr. 1 BSIG). Die weiteren Stufen beschreibt der Eintrag zur Meldepflicht nach § 32 BSIG.
Entsteht der Vorfall beim Dienstleister, hängt die 24-Stunden-Stufe davon ab, wann er informiert. Eine vertragliche Informationspflicht mit kurzer Frist und ein benannter Kontakt auf beiden Seiten sind deshalb Voraussetzung der eigenen Meldefähigkeit.
Sind Lieferanten selbst von NIS2 betroffen?
Nicht automatisch. Die gesetzlichen Pflichten treffen die betroffene Einrichtung; ein Zulieferer wird nicht dadurch registrierungs- oder meldepflichtig, dass sein Kunde betroffen ist. Ob er selbst erfasst ist, richtet sich nach seiner eigenen Tätigkeit und Größe nach § 28 BSIG und den Anlagen 1 und 2.
Die Anforderungen erreichen Zulieferer über den Vertrag mit der betroffenen Einrichtung. Erhält ein Zulieferer einen solchen Sicherheitsanhang zum Vertrag, lohnen drei Prüfschritte:
- Fragen Sie, welcher Pflicht eine Klausel dient; eine Anforderung, die auf § 30 Abs. 2 Satz 2 Nr. 4 BSIG zurückgeht, ist im Detail verhandelbar, aber nicht im Grundsatz.
- Prüfen Sie die Klausel zur Vorfallmeldung besonders genau, weil hinter ihr die 24-Stunden-Frist des Kunden steht.
- Prüfen Sie den Geltungsbereich jedes Zertifikats, das Sie anbieten, bevor Sie es vorlegen.
Im Audit zählt der Regelkreis, nicht der Fragebogen
Ein ausgefüllter Fragebogen belegt im Audit nur, dass gefragt wurde, wie der Beitrag zur Lieferkette als unterschätzter Pflicht zeigt. Ob die Lieferkettensicherheit gesteuert wird, zeigen erst die Antworten auf vier Fragen:
- Ist das Lieferantenverzeichnis vollständig und aktuell, und woran lässt sich das erkennen?
- Nach welchen Kriterien wurde die Kritikalität eingestuft, und wer hat entschieden?
- Welche Folge hatte eine schlechte Bewertung: Auflage, Frist, Eskalation oder nur Ablage?
- Wie wurde mit Anbietern verfahren, die eine Anforderung nicht erfüllen konnten?
Für die letzte Frage ist ein dokumentiertes, befristetes und von der zuständigen Stelle freigegebenes Restrisiko eine belastbare Antwort. Eine formal vollständige Bewertung ohne Folge beantwortet sie nicht.
Wie staffeln Sie Nachweise nach Kritikalität?
Nachweise werden nach der Kritikalität des Anbieters gestaffelt, damit die Prüftiefe dort liegt, wo das Risiko liegt.
| Kritikalität | Nachweis |
|---|---|
| gering | standardisierte Selbstauskunft |
| hoch | Prüfbericht oder Zertifikat, dessen Geltungsbereich die bezogene Leistung umfasst |
| kritisch | zusätzlich eigene Prüfung auf vertraglicher Grundlage |
Zertifikate, Prüfberichte und Selbstauskünfte sind Momentaufnahmen mit Datum.
DORA und ISO 27001 regeln Lieferanten eigenständig
Für Finanzunternehmen regelt DORA das IKT-Drittparteienrisiko eigenständig, mit den vertraglichen Anforderungen in Kapitel V Abschnitt I (Artikel 28 bis 30) der Verordnung (EU) 2022/2554. § 30 BSIG gilt für sie nach § 28 Abs. 6 Nr. 1 BSIG nicht.
Ein ISMS nach ISO/IEC 27001 enthält in Anhang A eigene Maßnahmen zu Lieferantenbeziehungen, auf denen die Umsetzung von Nr. 4 aufsetzen kann. Der Katalog des § 30 Abs. 2 BSIG ist dabei nicht abschließend: Satz 2 verlangt „zumindest“ die genannten Maßnahmen.
Dienstleister als Assets in Rizzqo
NIS2 wird unterstützt; der Anforderungskatalog wird aktiviert, sobald ein Kunde ihn benötigt. Rizzqo bildet einen Dienstleister als unterstützendes Asset einer Lieferantenkategorie ab und verknüpft ihn mit den Prozessen und Informationen, die von ihm abhängen. Die Anforderungen der hinterlegten Kataloge erscheinen nach Kategorie an diesem Asset, zusammen mit dem benannten Verantwortlichen und den Nachweisen.