Lieferkettensicherheit nach NIS2
NIS2 macht die Sicherheit Ihrer Dienstleister zu Ihrer Verantwortung — und Ihre eigenen Kunden geben die Anforderungen an Sie weiter.
Lieferantenmanagement, das in beide Richtungen wirkt
Anforderungen an Ihre Dienstleister — und belastbare Antworten für Ihre Kunden
Die Angriffsfläche endet nicht am eigenen Netz
Kaum ein Unternehmen kann auf Anhieb sagen, welche Dienstleister Zugriff auf welche Systeme und Daten haben. Fernwartungszugänge aus alten Wartungsverträgen, Cloud-Dienste, die eine Fachabteilung selbst beschafft hat, Dienstleisterkonten ohne Ablaufdatum — das sind die Fälle, die in der Inventarisierung regelmäßig auftauchen.
Gleichzeitig steigt der Druck von der anderen Seite: Betroffene Einrichtungen sind verpflichtet, die Sicherheit ihrer Lieferkette zu steuern, und geben die Anforderungen vertraglich weiter. Für viele mittelständische Unternehmen ist genau das der reale Auslöser — nicht die Behörde, sondern der Kunde, der einen Sicherheitsfragebogen schickt und Nachweise sehen will.
Beides lässt sich mit derselben Struktur bedienen. Wer seine Lieferanten sauber bewertet, hat die Belege für die eigenen Antworten bereits beisammen.
Was wir aufbauen
Vom Inventar bis zum Reviewturnus — abgestuft nach Kritikalität
Lieferanteninventar
Erfassung aller Dienstleister mit Zugriff auf Systeme, Daten oder Räumlichkeiten — inklusive der übersehenen Wartungszugänge.
Kritikalitätsklassen
Einstufung nach Prozessbezug, Zugriffstiefe, Datenkategorien und Ersetzbarkeit, mit definierten Anforderungen je Klasse.
Vertragsanforderungen
Sicherheitsklauseln, Meldepflichten bei Vorfällen, Auditrechte und Regelungen zu Unterauftragnehmern.
Due Diligence
Fragebögen und Nachweisprüfung vor Beauftragung — abgestuft, damit der Aufwand zur Kritikalität passt.
Laufende Reviews
Reviewturnus je Klasse, Nachhalten von Zertifikatsablauf und Auffälligkeiten aus dem Betrieb.
Exit und Portabilität
Was passiert bei Ausfall oder Kündigung — Ausweichoptionen, Datenrückgabe, getestete Exit-Szenarien für kritische Anbieter.
Was wir liefern
- Lieferanteninventar mit Kritikalitätsklassen
- Anforderungskatalog je Kritikalitätsklasse
- Vertragsbausteine für Sicherheits-, Melde- und Auditanforderungen
- Fragebogen- und Prüfverfahren mit Bewertungsmaßstab
- Reviewplan mit Turnus und Verantwortlichen
- Bewertung von Konzentrations- und Exit-Risiken
- Antwortkatalog für eingehende Kundenfragebögen
So arbeiten wir
Inventarisieren
Erfassung aller Dienstleister — aus Verträgen, Buchhaltung, Zugriffsverwaltung und den Fachbereichen. Erfahrungsgemäß findet sich hier mehr, als bekannt war.
Bewerten
Einstufung nach Kritikalität und Ableitung der Anforderungen je Klasse.
Verankern
Überführung der Anforderungen in Verträge und Beschaffungsprozesse, damit neue Dienstleister von Anfang an richtig eingebunden werden.
Prüfen
Nachweise anfordern und bewerten, Lücken dokumentieren, Maßnahmen mit dem Anbieter vereinbaren.
Nachhalten
Reviewturnus etablieren und Ablaufdaten von Zertifikaten und Prüfberichten überwachen.
Häufige Fragen
Wie tief muss die Lieferkette betrachtet werden?
Das BSIG adressiert die Sicherheit in der Lieferkette und die Beziehungen zu unmittelbaren Anbietern und Dienstleistern. Der direkte Vertragspartner steht also im Vordergrund. Unterauftragnehmer werden nicht ignoriert, sondern über vertragliche Anforderungen an Ihren Anbieter gesteuert.
Müssen wir jeden Dienstleister auditieren?
Nein, das wäre weder verhältnismäßig noch leistbar. Die Prüftiefe richtet sich nach Kritikalität: Für die meisten Anbieter genügen Selbstauskunft und vorhandene Zertifikate, für wenige kritische sind Prüfberichte oder ein eigenes Audit angemessen.
Unsere Kunden schicken laufend Sicherheitsfragebögen — hilft das auch dabei?
Ja, und das ist für viele Unternehmen der spürbarere Nutzen. Dieselbe Struktur, mit der Sie Ihre Lieferanten bewerten, liefert die Belege für Ihre eigenen Antworten. Ein gepflegter Antwortkatalog reduziert den Aufwand je Fragebogen erheblich.
Was ist mit Cloud-Diensten?
Cloud-Anbieter sind Dienstleister wie andere auch — mit zwei Besonderheiten: Verhandlungsspielraum bei Verträgen ist meist gering, und das Konzentrationsrisiko ist höher. Beides gehört ausdrücklich in die Bewertung, statt es als gegeben hinzunehmen.
Lesetipp: Was NIS2 konkret zur Lieferkette verlangt, fasst unser Glossareintrag zur Lieferkettensicherheit zusammen. Welche Fragen an Lieferanten tatsächlich etwas belegen, zeigt derNIS2-Lieferantenfragebogen.
Wissen, wer Zugriff hat
Wir starten mit der Inventarisierung — erfahrungsgemäß die Phase mit den meisten Überraschungen.
Lieferantenmanagement anfragen