Lieferkettensicherheit

Definition

Lieferkettensicherheit bezeichnet die systematische Absicherung der gesamten Lieferkette einer Organisation gegen Cyberrisiken, die von externen Partnern, Zulieferern, Softwareherstellern und Cloud-Dienstleistern ausgehen können. Im NIS2-Kontext sind betroffene Einrichtungen verpflichtet, auch die Sicherheitsmaßnahmen ihrer wichtigsten Dienstleister und Lieferanten zu bewerten und vertraglich angemessene Sicherheitsstandards zu verankern. Supply Chain Attacks gehören zu den gefährlichsten und in der Regel am schwersten frühzeitig zu erkennenden Bedrohungsvektoren für digitale Infrastrukturen betroffener Einrichtungen. Das SolarWinds-Angriff 2020 illustrierte, wie ein kompromittierter Softwarelieferant Tausende Organisationen weltweit gefährden kann.

Rechtsgrundlage

Lieferkettensicherheit ist als eigenständige und explizite Anforderung in § 30 Abs. 2 Nr. 6 BSIG aufgeführt. Einrichtungen müssen die Sicherheit in der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern angemessen berücksichtigen und dokumentieren. Besonders wichtige Einrichtungen müssen gemäß § 32 Abs. 2 BSIG sicherstellen, dass kritische Lieferanten angemessene und nachgewiesene Sicherheitsstandards einhalten. Das BSI hat in seinen ENISA-Richtlinien zur Lieferkettensicherheit konkrete Methoden für Lieferantenbewertungen und vertragliche Mindestanforderungen veröffentlicht.

Praktische Implikation

Betroffene Einrichtungen sollten eine strukturierte Lieferantenbewertung durchführen und kritische Dienstleister mit Zugang zu sensiblen Systemen oder Daten identifizieren und kategorisieren. Für diese Kernlieferanten sind vertragliche Sicherheitsanforderungen zu vereinbaren: Mindeststandards, Auditrechte und Meldepflichten bei eigenen Sicherheitsvorfällen. Ein gepflegtes Lieferantenregister mit Risikobewertung und Überprüfungshistorie ist sowohl für das interne Risikomanagement als auch für den BSI-Nachweis unerlässlich. Cloud-Dienstleister sollten nach ISO 27001 zertifiziert oder gemäß Art. 28 DSGVO vertraglich gebunden sein, um rechtliche und operationelle Risiken zu minimieren. Eine jährliche Überprüfung aller Kernlieferanten, deren aktueller Zertifizierungsstatus und die Aktualität der Sicherheitsvereinbarungen ist Best Practice und sollte im Lieferantenregister vollständig dokumentiert werden.

Verwandte Begriffe

• Risikoanalyse
• ISMS
• Sektoren und Teilsektoren
• Konformitätsprüfung