NIS2 und Lieferkettensicherheit: Was Artikel 21 von Ihnen verlangt
Die Lieferkette ist das schwächste Glied in der Cybersicherheitskette vieler Unternehmen. Der SolarWinds-Angriff, Log4Shell und die Kaseya-Attacke haben gezeigt: Ein kompromittierter Dienstleister kann tausende Unternehmen gleichzeitig treffen. NIS2 reagiert darauf mit konkreten Pflichten.
Was Artikel 21 Absatz 2(d) verlangt
NIS2 verpflichtet betroffene Einrichtungen zur Sicherheit der Lieferkette, einschließlich der Sicherheitsaspekte der Beziehungen zwischen jeder Einrichtung und ihren unmittelbaren Anbietern oder Diensteanbietern.
Konkret müssen Sie:
- Risiken der Lieferkette bewerten — Welche Abhängigkeiten bestehen?
- Sicherheitsanforderungen vertraglich vereinbaren — Klauseln in jedem IT-Vertrag
- Überwachung und Audit durchführen — Regelmäßige Kontrolle der Dienstleister
- Vorfallkommunikation regeln — Wie erfahren Sie von Vorfällen beim Dienstleister?
Risikoanalyse der Lieferkette
Schritt 1: Bestandsaufnahme aller IT-Dienstleister
Erstellen Sie ein vollständiges Register:
| Kategorie | Beispiele | Risikostufe |
|---|---|---|
| Cloud-Infrastruktur | AWS, Azure, Hetzner | Hoch |
| SaaS-Anwendungen | Microsoft 365, Salesforce, SAP | Hoch |
| Managed Services | IT-Systemhäuser, SOC-Provider | Kritisch |
| Software-Zulieferer | Open-Source-Bibliotheken, Drittanbieter-SDKs | Mittel–Hoch |
| Physische IT | Hardware-Lieferanten, Netzwerktechnik | Mittel |
| Entwicklungspartner | Externe Entwickler, Freelancer | Hoch |
Schritt 2: Risikobewertung pro Dienstleister
Für jeden Dienstleister bewerten Sie:
- Zugriff auf Daten: Welche Daten kann der Dienstleister einsehen?
- Systemzugang: Welchen Zugriff hat er auf Ihre IT-Infrastruktur?
- Abhängigkeit: Wie kritisch ist der Dienst für Ihren Geschäftsbetrieb?
- Ersetzbarkeit: Wie schnell können Sie den Dienstleister wechseln?
- Sicherheitsniveau: Welche Zertifizierungen (ISO 27001, SOC 2) hat er?
Schritt 3: Risikoklassifizierung
| Stufe | Kriterium | Maßnahme |
|---|---|---|
| Kritisch | Vollzugriff auf Systeme/Daten, schwer ersetzbar | Audit-Recht, SLA, jährliche Prüfung |
| Hoch | Datenzugriff oder Systemzugang | Vertragliche Sicherheitsklauseln, regelmäßiges Review |
| Mittel | Begrenzter Zugang, ersetzbar | Standardvertrag mit Sicherheitsanforderungen |
| Niedrig | Kein Datenzugang, physischer Lieferant | Mindestanforderungen |
Vertragliche Sicherheitsklauseln
Pflichtklauseln für IT-Verträge
Jeder Vertrag mit einem IT-Dienstleister sollte folgende Punkte regeln:
1. Sicherheitsstandards
Der Auftragnehmer verpflichtet sich, ein dem Stand der Technik
entsprechendes Sicherheitsniveau aufrechtzuerhalten, mindestens
auf Basis von ISO 27001 oder BSI IT-Grundschutz.
2. Meldepflicht bei Vorfällen
Der Auftragnehmer meldet Sicherheitsvorfälle, die den
Auftraggeber betreffen können, unverzüglich, spätestens
innerhalb von 24 Stunden nach Kenntnisnahme.
3. Audit-Recht
Der Auftraggeber hat das Recht, die Einhaltung der
Sicherheitsanforderungen durch eigene oder unabhängige
Prüfer zu verifizieren. Der Auftragnehmer gewährt
angemessenen Zugang und Unterstützung.
4. Subunternehmer-Kontrolle
Der Einsatz von Subunternehmern bedarf der vorherigen
schriftlichen Zustimmung. Der Auftragnehmer stellt sicher,
dass Subunternehmer denselben Sicherheitsanforderungen
unterliegen.
5. Exit-Klausel und Datenrückgabe
Bei Vertragsende werden alle Daten in einem marktüblichen
Format zurückgegeben und beim Auftragnehmer nachweislich
gelöscht. Übergangsfristen werden vereinbart.
Monitoring und Audit
Laufende Überwachung
Implementieren Sie ein Dienstleister-Monitoring:
- Quartalsberichte anfordern — Sicherheitskennzahlen, Vorfälle, Patches
- Zertifikate überwachen — ISO 27001, SOC 2 Erneuerungsdaten
- Schwachstelleninformationen verfolgen — Werden Patches zeitnah eingespielt?
- Verfügbarkeit messen — Entspricht sie den vereinbarten SLAs?
Jährliche Audits bei kritischen Dienstleistern
| Prüfbereich | Methode |
|---|---|
| Zugriffsmanagement | Prüfung der Berechtigungen, MFA-Status |
| Patch-Management | Aktualität der Systeme |
| Incident-Response-Fähigkeit | Tabletop Exercise oder Fragebogen |
| Backup und Recovery | Test der Wiederherstellung |
| Subunternehmer | Aktuelles Verzeichnis, vertragliche Absicherung |
Sonderfall: Open-Source-Software
NIS2 betrifft auch die Software-Lieferkette. Open-Source-Komponenten sind allgegenwärtig:
- Software Bill of Materials (SBOM) erstellen — Wissen, was verbaut ist
- Schwachstellenüberwachung automatisieren — GitHub Dependabot, Snyk, OWASP Dependency Check
- Update-Prozesse definieren — Kritische Patches innerhalb von 48 Stunden
- Lizenz-Compliance sicherstellen — Rechtliche Risiken minimieren
BSI-Empfehlungen zur Lieferkettensicherheit
Das BSI empfiehlt im Rahmen des IT-Grundschutzes:
- Richtlinie für Lieferantenbeziehungen erstellen (Baustein OPS.2.1)
- Sicherheitsanforderungen vor Vertragsschluss definieren
- Regelmäßige Überprüfung der Einhaltung
- Notfallpläne für Ausfall kritischer Dienstleister
- Dokumentation aller Lieferantenbeziehungen und deren Risikobewertung
Praxisbeispiel: Mittelständischer Maschinenbauer
Ein Maschinenbauunternehmen mit 200 Mitarbeitern identifiziert:
| Dienstleister | Risiko | Maßnahme |
|---|---|---|
| IT-Systemhaus (Managed Services) | Kritisch | Audit-Recht, 24h-Meldepflicht, jährliche Prüfung |
| Microsoft 365 | Hoch | SOC-2-Bericht anfordern, Konfiguration härten |
| ERP-Hersteller (SAP) | Hoch | Patch-Monitoring, separater Admin-Zugang |
| Webseiten-Agentur | Mittel | Sicherheitsklauseln, regelmäßige Updates |
| Druckerhersteller | Niedrig | Standardvertrag |
Häufige Fehler
| Fehler | Konsequenz |
|---|---|
| Keine Bestandsaufnahme der Dienstleister | Unbekannte Risiken |
| Sicherheit nicht vertraglich geregelt | Keine Handhabe bei Vorfällen |
| Kein Audit-Recht vereinbart | Keine Prüfmöglichkeit |
| Subunternehmer nicht kontrolliert | Unkontrollierte Zugriffskette |
| Open-Source-Abhängigkeiten ignoriert | Log4Shell-Szenario |
Fazit
Lieferkettensicherheit ist unter NIS2 keine optionale Best Practice, sondern eine gesetzliche Pflicht. Beginnen Sie mit der Bestandsaufnahme Ihrer Dienstleister, priorisieren Sie nach Risiko und passen Sie Ihre Verträge systematisch an. Der Aufwand rechnet sich — denn der nächste Supply-Chain-Angriff kommt bestimmt.
Scannen Sie Ihre Website kostenlos mit WarDek — OWASP, NIS2, DSGVO, AI Act Compliance in einem Scan.