NIS2 und Pflichten in der Supply Chain
Die NIS2-Richtlinie (EU-Richtlinie 2022/2555) bringt bedeutende Veränderungen in der Beziehung zwischen Unternehmen und ihren Lieferanten mit sich und löst eine Domino-Wirkung entlang der gesamten digitalen Lieferkette aus. Artikel 21 der Richtlinie erwähnt die Lieferkette ausdrücklich, insbesondere:
„die Sicherheit der Lieferkette, einschließlich der sicherheitsrelevanten Aspekte in den Beziehungen zwischen jeder Einrichtung und ihren unmittelbaren Lieferanten oder Dienstleistern.“
Ein revolutionärer Aspekt dieser Regelung besteht darin, dass Unternehmen verpflichtet sind, die Risiken in ihrer Lieferkette zu bewerten, zu überwachen und zu steuern. Das bedeutet, dass auch Unternehmen, die nicht direkt unter die Richtlinie fallen – typischerweise KMU –, aber als Zulieferer wesentlicher oder wichtiger Einrichtungen tätig sind, die vertraglichen Cybersicherheitsanforderungen ihrer NIS2-pflichtigen Kunden erfüllen müssen.
Auswirkungen und neue Verantwortlichkeiten für Lieferanten
Unternehmen, die in den Anwendungsbereich der NIS2 fallen (mit einem Jahresumsatz über 10 Millionen Euro und mehr als 50 Mitarbeitenden), müssen die spezifischen Schwachstellen ihrer Lieferanten sowie die Gesamtqualität ihrer Cybersicherheitspraktiken berücksichtigen.
Darüber hinaus sieht das italienische Cybersicherheitsgesetz (Gesetzesdekret Nr. 138/2024), das die NIS2-Richtlinie umsetzt, vor, dass auch Dritte, die als „kritische Elemente der Lieferkette“ gelten, unabhängig von ihrer Größe in den Geltungsbereich aufgenommen werden können – auf Grundlage einer Bewertung durch die zuständige Behörde.
Zertifizierungen und Lieferantenauswahl
Dadurch stehen Lieferanten vor neuen Herausforderungen:
- Sie müssen Anforderungen zum Cybersicherheits-Risikomanagement in Verträge integrieren
- Sie müssen strengere Sicherheitskontrollen implementieren
- Sie müssen Cybersicherheit als Wettbewerbsfaktor begreifen
Zertifizierungen werden in diesem neuen Umfeld zu Schlüsselfaktoren. Die Einführung anerkannter Standards hilft Unternehmen, proaktive Sicherheitspraktiken nachzuweisen und die Einhaltung gesetzlicher Anforderungen zu verbessern.
NIS2-pflichtige Unternehmen sind verpflichtet, ihre Beschaffungsprozesse sorgfältig zu überprüfen und nur Lieferanten in ihr Register aufzunehmen, die hohe Cybersicherheitsstandards gewährleisten. Diese Selektion betrifft direkt KMU, die laut Gesetzgeber zunehmend Ziel von Angriffen auf die Lieferkette werden, da ihre Schutzmaßnahmen oft weniger strikt sind.
Im Wesentlichen verändert die NIS2-Richtlinie die Beziehung zu Lieferanten grundlegend: Cybersicherheit wird nicht nur zur gesetzlichen Pflicht, sondern zu einem strategischen Faktor für Geschäftsbeziehungen und Wettbewerbsfähigkeit.
NIS2-Anforderungen für die Sicherheit der Lieferkette
Sicherheitsrichtlinien für Lieferanten
Die NIS2-Richtlinie legt technische und organisatorische Anforderungen zur Gewährleistung der Sicherheit in der Lieferkette fest. Artikel 21 besagt, dass Organisationen eine „Sicherheitsrichtlinie für die Lieferkette“ einführen müssen, die die Beziehungen zu direkten Lieferanten und Dienstleistern regelt.
Die EU-Agentur für Cybersicherheit (ENISA) hat detaillierte technische Leitlinien veröffentlicht, die konkrete Handlungsempfehlungen enthalten. Laut diesen Leitlinien sollen Organisationen:
- spezifische Kriterien für die Auswahl und Vertragsgestaltung mit Lieferanten festlegen
- die Cybersicherheitspraktiken ihrer Lieferanten bewerten
- die Fähigkeit der Lieferanten prüfen, Sicherheitsanforderungen zu erfüllen
- Qualität und Resilienz der ICT-Produkte und -Dienste analysieren
Vertragliche Pflichtklauseln
Lieferverträge müssen insbesondere Anforderungen in Form von Service Level Agreements (SLA) enthalten, die Folgendes festlegen:
- Cybersicherheitsanforderungen für Produkte und Dienstleistungen
- Schulungs- und Zertifizierungspflichten für Mitarbeiter der Lieferanten
- Verfahren zur schnellen Meldung von Sicherheitsvorfällen
- Prüf- und Auditrechte
- Management von Schwachstellen
- Anforderungen für eventuelle Unteraufträge
Zudem müssen Lieferanten technische Kontrollen umsetzen, darunter:
- Netzüberwachung und Zugangskontrollen
- sichere und wirksame Backup-Systeme
- Disaster-Recovery-Systeme zur Gewährleistung der Resilienz
- regelmäßige System- und Software-Updates
- strenge Überwachung von Datenbanken
Technische Kontrollen und regelmäßige Überprüfung
Vor diesem Hintergrund ist auch eine regelmäßige Überprüfung der Sicherheitsrichtlinie – idealerweise einmal jährlich – unerlässlich, ebenso wie die Erstellung einer aktualisierten Liste aller sicherheitsrelevanten Vorfälle im Zusammenhang mit Lieferanten.
Open-Source-Software und vorgesehene Sanktionen
Organisationen müssen zudem Kriterien für die Nutzung von Open-Source-Software in der Lieferkette festlegen und dabei Risiken, kontinuierliche Updates, Lizenzen und Softwareabhängigkeiten bewerten.
Die Nichteinhaltung dieser Anforderungen kann zu erheblichen Sanktionen führen – bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Daher wird die Bewertung des IT-Reifegrads zu einem entscheidenden Schritt, um wirksame Sicherheitsstrategien zu planen und einen angemessenen Schutz vor Cyberangriffen zu gewährleisten.
Praktische Umsetzung der Sicherheitskontrollen
Risikobewertung und Management-Framework
Die Einhaltung der NIS2 erfordert einen konkreten, strukturierten Ansatz zur Implementierung von Sicherheitskontrollen in der Lieferkette. Organisationen müssen regelmäßige Cyberrisikobewertungen durchführen, um kritische Schwachstellen in IT- und OT-Systemen (Operational Technology) zu identifizieren – insbesondere im Hinblick auf OT-Security.
In der Praxis ist die Entwicklung eines strukturierten Risikomanagement-Frameworks erforderlich, das die Kartierung der Lieferanten, kontinuierliche Bewertungen und gezielte Risikominderungsmaßnahmen umfasst. Unternehmen sollten technische Kontrollen implementieren wie:
- Systeme zur Überwachung der Lieferantenaktivitäten
- Technologien zur Zugangstrennung
- Tools für das Management digitaler Assets
- Frühwarnsysteme für Bedrohungen in der Lieferkette
Operative Verfahren und kontinuierliches Monitoring
Bei den operativen Verfahren ist es entscheidend, Onboarding- und Offboarding-Prozesse für Lieferanten festzulegen, Incident-Response-Pläne zu entwickeln und Eskalationsverfahren für Sicherheitsverletzungen einzuführen. Zudem sollten Unternehmen ein aktuelles Register aller kritischen Lieferanten führen und die durchgeführten Risikobewertungen dokumentieren.
Kontinuierliche Überwachung ist ein zentraler Aspekt: ENISA empfiehlt in ihren technischen Leitlinien (aktualisiert im Januar 2025), ein „Verzeichnis der Sicherheitsvorfälle im Zusammenhang mit Lieferanteninteraktionen“ zu erstellen und dieses regelmäßig – idealerweise mindestens einmal jährlich – zu überprüfen.
Vertragliche Klauseln und Lieferanten-Offboarding
Auch die Beendigung von Lieferantenbeziehungen („Offboarding“) erfordert besondere Aufmerksamkeit, insbesondere im Hinblick auf die Übergabe von Diensten, Daten und Zugriffsrechten. Daher sollten Verträge spezifische Klauseln enthalten, die Folgendes festlegen:
- Cybersicherheitsanforderungen für Produkte und Dienstleistungen
- Schulungs- und Zertifizierungspflichten für Mitarbeitende
- Meldepflichten bei Sicherheitsvorfällen
- Prüf- und Auditrechte
- Management von Schwachstellen
Dediziertes Team und proaktiver Ansatz
Für eine effektive Umsetzung gemäß NIS2 empfiehlt es sich, ein dediziertes Supply-Chain-Security-Team einzurichten, ein strukturiertes Vendor-Risk-Management-Programm zu entwickeln und Technologien für das kontinuierliche Monitoring zu implementieren. Ein proaktiver Ansatz erfordert eine ständige Vorbereitung, um sicherzustellen, dass Cyberangriffe den Geschäftsbetrieb nicht erheblich beeinträchtigen.
NIS2 und Lieferkette: Anpassungsstrategien
Chancen für KMU in der Wertschöpfungskette
Für kleine und mittlere Unternehmen (KMU) stellt die Anpassung an NIS2 nicht nur eine Herausforderung, sondern auch eine strategische Chance im Supply-Chain-Markt dar. Obwohl viele KMU nicht direkt der Richtlinie unterliegen, kann der Nachweis eines klaren Engagements für Cybersicherheit zu einem bedeutenden Wettbewerbsvorteil werden.
Zunächst sollten KMU ihre Position innerhalb der Lieferkette genau verstehen. Ein nicht konformes Unternehmen riskiert, aus strategischen Lieferketten ausgeschlossen zu werden. Umgekehrt können KMU mit hohen Cybersicherheitsstandards neue Kunden gewinnen, die nach verlässlichen Partnern suchen.
Anpassungsstrategien für KMU
Um sich wirksam anzupassen, können KMU folgende Schlüsselschritte verfolgen:
- Erste Risikobewertung: Durchführung von Security-Assessments und Vulnerability-Assessments zur Identifizierung kritischer Bereiche.
- Einführung grundlegender Sicherheitsmaßnahmen: sichere Backups, Datenwiederherstellungssysteme und Aktualisierung der internen Cybersecurity-Richtlinien.
- Mitarbeiterschulung: Sensibilisierung für Cyberbedrohungen durch Cybersecurity-Awareness-Programme.
- Incident-Management: Entwicklung von Verfahren zur schnellen Meldung und Reaktion auf Angriffe.
Bedeutung der ISO/IEC 27001:2022-Zertifizierung
Die Einführung des aktualisierten Standards ISO/IEC 27001:2022, der vollständig mit den Anforderungen der NIS2 kompatibel ist, bietet eine praxisnahe Lösung zur Optimierung von Ressourcen. Dieser Standard ermöglicht die kontinuierliche Überwachung des Sicherheitsniveaus, die klare Zuweisung von Rollen und Verantwortlichkeiten sowie die effiziente Steuerung der Lieferkette.
Gezielte Investitionen und Wettbewerbsvorteile
Es ist ratsam, ein jährliches Budget für Cybersicherheit festzulegen und bei Bedarf auf erfahrene Fachberater zurückzugreifen. So können gezielte Investitionen getätigt werden, um das Unternehmen vor Cyberrisiken und möglichen Sanktionen zu schützen.
KMU sollten auch die finanziellen Auswirkungen der Anpassung berücksichtigen und bewerten, wie sich diese auf Preise und Lieferantenmanagement auswirken. Dies muss jedoch nicht negativ sein: Unternehmen, die die NIS2-Anforderungen erfüllen, können ihre Geschäftsbeziehungen festigen und ihre Wettbewerbsposition durch Prozessinnovationen stärken.
Sicherheit der Lieferkette: Ein strategischer Wettbewerbsvorteil
Die NIS2-Richtlinie markiert einen Wendepunkt im Management der Sicherheit digitaler Lieferketten. Unternehmen müssen sich rasch an die neuen gesetzlichen, technischen und organisatorischen Anforderungen anpassen.
Organisationen, die unter die NIS2 fallen, müssen strenge Kriterien für die Auswahl und Überwachung ihrer Lieferanten einführen, geeignete technische Kontrollen implementieren und eine detaillierte Verfahrensdokumentation führen. Auch nicht direkt betroffene KMU müssen ihre Sicherheitsstandards erhöhen.
Zertifizierungen und robuste Sicherheitsmaßnahmen werden zu zentralen Faktoren für stabile, vertrauensvolle Geschäftsbeziehungen.
Kurz gesagt: Die Sicherheit der Lieferkette wird von einer reinen Compliance-Anforderung zu einem strategischen Erfolgsfaktor. Unternehmen, die diesen Wandel aktiv gestalten, können ihre Marktposition stärken und zugleich zur Cyber-Resilienz des gesamten digitalen Ökosystems beitragen.
