Compliance-Lexikon · NIS-2
NIS-2 Lieferkette – Praxis
NIS-2 Lieferkette wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Werden Lieferanten und Dienstleister systematisch auf ihr Cybersicherheitsrisiko geprüft, bevor sie in kritische Prozesse eingebunden werden?
Häufige Fehler in der Praxis
- Lieferanten werden nur nach Preis, nicht nach Sicherheitsrisiko ausgewählt
- Keine vertraglichen Mindestanforderungen an die Cybersicherheit von Dienstleistern
- Vierte Parteien, also Lieferanten der eigenen Lieferanten, bleiben vollständig unberücksichtigt
Praxis-Tipp
NIS-2 verlangt keine lückenlose Kontrolle jedes Lieferanten, sondern ein risikobasiertes Vorgehen. Kritische Lieferanten brauchen intensivere Prüfung als unkritische.
Risikobasierte Lieferantenklassifizierung
Eine praktikable Klassifizierung unterscheidet Lieferanten nach ihrem Zugriff auf sensible Systeme oder Daten und nach ihrer Ersetzbarkeit im Ernstfall. Nur für die oberste Kritikalitätsstufe sind aufwendige Prüfungen wie Audits vor Ort verhältnismäßig.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Lieferantenregister mit Kritikalitätseinstufung, Vertragsklauseln zu Sicherheitsanforderungen, Nachweis regelmäßiger Überprüfung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum NIS-2 Lieferkette über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.