NIS2 und die Lieferkette: Was Sie von Lieferanten verlangen müssen

Marcel Rieger

Managing Director, Cyber Risk

Viele Angriffe auf mittelständische Unternehmen beginnen nicht im eigenen Netz. Sie beginnen beim IT-Dienstleister mit Fernwartungszugang, bei einer Software mit automatischem Update oder bei einem Cloud-Dienst, über den Daten ausgetauscht werden. NIS2 macht die Sicherheit dieser Beziehungen zur Pflicht. Dieser Artikel zeigt, wie weit die Pflicht reicht, mit welchen Lieferanten Sie beginnen und was Sie vertraglich regeln. Er behandelt auch die Gegenrichtung: was auf Sie zukommt, wenn Ihre Kunden NIS2-pflichtig sind.

Was das Gesetz verlangt und was nicht

§ 30 Absatz 2 Nummer 4 BSIG nennt als eine der zehn Mindestmaßnahmen die "Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern". Die EU-Richtlinie wird in Artikel 21 Absatz 3 deutlicher. Einrichtungen sollen die spezifischen Schwachstellen jedes unmittelbaren Anbieters berücksichtigen, außerdem die Qualität seiner Produkte und seiner Cybersicherheitspraxis, einschließlich der Sicherheit seiner Entwicklungsprozesse. Die Gesetzesbegründung zum BSIG übernimmt diese Vorgabe.

Daraus folgen zwei Dinge. Erstens stellt das Gesetz auf unmittelbare Lieferanten ab. Eine Prüfung der gesamten Kette bis zum Subunternehmer Ihres Dienstleisters verlangt es nicht ausdrücklich. Sie sollten aber wissen, ob Ihr Dienstleister selbst Subunternehmer mit Zugriff auf Ihre Systeme einsetzt. Zweitens geht es um Risiko, nicht um Vollständigkeit. Der Lieferant für Büromaterial gehört nicht in dasselbe Verfahren wie der Dienstleister, der Ihre Server administriert.

Das BSI nennt in seinem Infopaket zur sicheren Lieferkette als typische Maßnahmen vertragliche Vereinbarungen zu Risikomanagement, Vorfallbewältigung und Patchmanagement sowie die Verpflichtung der Lieferanten auf Security by Design und Security by Default.

Mit welchen Lieferanten Sie anfangen

Ein Lieferantenregister mit 400 Einträgen hilft niemandem. Filtern Sie Ihre Kreditorenliste auf die Anbieter, die mindestens eines dieser Kriterien erfüllen:

• Sie haben Zugriff auf Ihre Systeme, etwa per Fernwartung, Administratorkonto oder VPN.
• Sie verarbeiten oder speichern Ihre Daten, also Cloud-, Hosting- und SaaS-Anbieter.
• Sie liefern Software oder Firmware, die sich automatisch aktualisiert oder in kritischen Prozessen läuft, vom ERP bis zur Maschinensteuerung.
• Ihr Ausfall würde Produktion, Lieferung oder Abrechnung innerhalb weniger Tage stoppen.

Was übrig bleibt, teilen Sie in zwei Stufen. Kritisch ist ein Anbieter, wenn Zugriff und spürbare Ausfallwirkung zusammenkommen, alle anderen auf der Liste sind relevant. Mehr Stufen erzeugen mehr Verwaltung als Erkenntnis.

Besondere Aufmerksamkeit verdienen IT-Dienstleister. Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste stehen selbst in Anlage 1 des BSIG und sind ab den üblichen Größenschwellen eigenständig NIS2-pflichtig. Das hilft Ihnen. Sie können fragen, ob Ihr Dienstleister registriert ist. Ist er selbst reguliert, muss er potenziell betroffene Kunden nach § 35 Absatz 2 BSIG unverzüglich über erhebliche Cyberbedrohungen und mögliche Abhilfemaßnahmen informieren, soweit deren Interesse überwiegt. Ihre eigene Bewertung ersetzt das nicht.

Was in den Vertrag gehört

Fragebögen zeigen einen Stand, Verträge schaffen Pflichten. Mit kritischen Lieferanten sollten Sie mindestens diese Punkte vereinbaren:

• Meldung von Sicherheitsvorfällen, die Ihre Daten oder Systeme betreffen könnten, innerhalb einer festen Frist, die deutlich kürzer ist als Ihre eigene 24-Stunden-Frist gegenüber dem BSI. Diese läuft zwar erst ab Ihrer Kenntnis, aber ohne frühe Information können Sie einen Vorfall weder bewerten noch eindämmen.
• Mindestanforderungen an Zugänge: persönliche Konten statt Sammelkonten, Multi-Faktor-Authentifizierung, Fernwartung nur nach Ihrer Freigabe.
• Fristen für das Schließen kritischer Schwachstellen in gelieferter Software.
• Offenlegung von Subunternehmern mit Zugriff und Ihr Recht, Einwände zu erheben.
• Ein Recht auf Nachweise, etwa ein aktuelles Zertifikat mit Geltungsbereich, eine Zusammenfassung des letzten Penetrationstests oder Auditberichte.
• Regeln für das Vertragsende: Rückgabe und Löschung von Daten, Entzug aller Zugänge.

Bestehende Verträge ändern Sie nicht auf einen Schlag. Praktikabel ist, die Klauseln bei jeder Verlängerung und jeder Neuvergabe einzubringen und mit den wenigen kritischsten Anbietern eine Ergänzungsvereinbarung zu verhandeln. Geben Sie dem Einkauf dafür einen fertigen Klauselbaustein, den die Rechtsabteilung einmal freigegeben hat.

Nachweise prüfen, nicht nur sammeln

Ein ISO-27001-Zertifikat ist ein guter Nachweis, wenn sein Geltungsbereich die Leistung umfasst, die Sie einkaufen. Ein Zertifikat für das Rechenzentrum sagt nichts über das Support-Team, das sich auf Ihre Server aufschaltet. Lesen Sie den Geltungsbereich, bevor Sie das PDF ablegen.

Fragebögen sind nützlich, wenn sie kurz sind und jemand die Antworten auswertet. Zwanzig gezielte Fragen, die Sie tatsächlich lesen, bringen mehr als zweihundert, die unbeantwortet im Postfach liegen. Entscheidend ist der Schritt danach: Jede schwache Antwort eines kritischen Lieferanten führt zu einer Maßnahme, einer Vertragsergänzung oder einer dokumentierten Risikoakzeptanz durch die Geschäftsführung.

Wie ein vollständiges Bewertungsmodell mit Scoring, Nachweisprüfung und Kennzahlen aussieht, beschreiben wir unter Lieferantenmanagement: Sicherheit in der Lieferkette nachweisen.

Wenn Sie selbst Zulieferer sind

Viele Mittelständler erleben NIS2 zuerst von der anderen Seite. Ein Kunde aus der Energiewirtschaft oder der Automobilindustrie schickt einen Fragebogen oder einen neuen Rahmenvertrag mit Sicherheitsklauseln. Nach den FAQ des BSI werden Sie dadurch nicht selbst reguliert, wenn Sie Ihre eigene Betroffenheit ausschließen können. Die Anforderungen Ihres Kunden werden für Sie aber verbindlich, sobald Sie sie vertraglich übernehmen.

Bereiten Sie sich darauf vor, indem Sie ein Paket mit Standardnachweisen pflegen: Sicherheitsleitlinie, eine kurze Beschreibung Ihrer Regeln zu Zugängen und Datensicherung, ein Ansprechpartner für Sicherheitsvorfälle und gegebenenfalls Zertifikate. Das spart bei jeder Anfrage Tage. Wie so ein Paket aufgebaut ist, zeigt unser Beitrag zum Evidence Pack.

Ein realistischer Start

Erfahrungsgemäß ist in sechs bis acht Wochen ein belastbarer Anfang machbar. Am Ende stehen eine Liste der kritischen und relevanten Lieferanten, ein freigegebener Klauselbaustein für den Einkauf, ein kurzer Fragebogen und die Auswertung für die wichtigsten Anbieter. Danach läuft das Thema im Rhythmus Ihrer Vertragsverlängerungen und einer jährlichen Überprüfung der kritischen Lieferanten.

Wenn Sie noch nicht wissen, ob Ihr Unternehmen selbst unter NIS2 fällt, klären Sie das zuerst mit dem NIS2-Check. Ob Ihre Lieferkette in der Planung ausreichend berücksichtigt ist, besprechen wir gern mit Ihnen.