Ein NIS-2-pflichtiges Unternehmen kann seine eigene IT noch so gut absichern, wenn ein Zulieferer die Schwachstelle ist, war der Aufwand teilweise umsonst. Deshalb verlangt NIS-2 nicht nur Nachweise über die eigene Infrastruktur, sondern zunehmend auch über die Lieferkette dahinter.
Für Zulieferer bedeutet das: Auch wer selbst nicht direkt NIS-2-pflichtig ist, wird von seinen Kunden zunehmend genauso geprüft wie deren eigene IT-Abteilung.
Executive Summary
1. Ausgangslage: Sicherheit endet nicht an der eigenen Firewall
Artikel 21 der NIS-2-Richtlinie verlangt von Unternehmen ausdrücklich, Risiken in der Lieferkette und in den Beziehungen zu Lieferanten zu managen. Das betrifft nicht nur IT-Dienstleister, sondern jeden Zulieferer, dessen Ausfall oder Kompromittierung die eigene Betriebsfähigkeit beeinträchtigen könnte.
2. Wer ist betroffen?
- NIS-2-pflichtige Unternehmen, die Lieferantenrisiken systematisch bewerten müssen
- Zulieferer, die zunehmend Sicherheitsnachweise von ihren Kunden verlangt bekommen
- Einkaufsabteilungen, die Sicherheitskriterien in Lieferantenverträge aufnehmen müssen
3. Wie hoch ist die Priorität?
Hoch. Lieferkettenangriffe zählen zu den häufigsten Einfallstoren für Sicherheitsvorfälle, weil ein einzelner kompromittierter Zulieferer mehrere Kunden gleichzeitig betreffen kann. Aufsichtsbehörden prüfen zunehmend, ob NIS-2-pflichtige Unternehmen ihre Lieferkette tatsächlich bewertet haben, nicht nur ihre eigene IT.
4. Warum ist das wichtig?
Viele Unternehmen bewerten nur ihre direkten Zulieferer, verlieren aber Sub-Zulieferer aus dem Blick, die oft gar nicht bekannt sind. Ein Auditor fragt nicht nur, ob Lieferantenverträge existieren, sondern ob tatsächlich geprüft wurde, welche Zulieferer im Ernstfall den größten Schaden anrichten könnten.
5. Was muss konkret getan werden?
- ✓ Kritische Zulieferer identifizieren, nicht nur nach Vertragsvolumen, sondern nach Ausfallrisiko
- ✓ Sicherheitsanforderungen in neue und bestehende Lieferantenverträge aufnehmen
- ✓ Regelmäßige Nachweise von kritischen Zulieferern einfordern, nicht nur einmalig bei Vertragsschluss
- ✓ Eskalationsprozess für den Fall eines Sicherheitsvorfalls bei einem Zulieferer festlegen
BAM Core
Lieferantenrisiken strukturiert erfassen
Third-Party-Risk als Teil desselben Compliance-Datenmodells wie die eigene NIS-2-Dokumentation.
Executable Compliance ansehen →6. Welche Dokumente werden benötigt?
- Liste kritischer Zulieferer mit Risikobewertung
- Lieferantenverträge mit Sicherheitsanforderungen und Prüfrechten
- Eskalationsprozess für Sicherheitsvorfälle bei Zulieferern
7. BAM-Mapping
| Framework | Kapitel | Kontrolle | Priorität |
|---|---|---|---|
| NIS-2 | Art. 21 | Sicherheit der Lieferkette | hoch |
| ISO 27001 | A.5.19–A.5.21 | Lieferantenbeziehungen und Informationssicherheit | hoch |
8. Unsere Empfehlung
Unsere Empfehlung
- Zulieferer nach Kritikalität priorisieren, nicht alle gleich behandeln
- Sicherheitsanforderungen standardmäßig in neue Lieferantenverträge aufnehmen
- Sub-Zulieferer aktiv erfragen, statt sich auf die direkte Vertragsebene zu beschränken
- Nachweise regelmäßig aktualisieren lassen, nicht nur bei Erstbeauftragung
Quellen
- Richtlinie (EU) 2022/2555 (NIS-2), Art. 21
- ISO/IEC 27001:2022, Anhang A.5.19–A.5.21 (Supplier Relationships)