Wer als Unternehmen unter NIS2 fällt, trägt Verantwortung nicht nur für die eigene IT-Sicherheit, sondern auch für die Sicherheit seiner Lieferkette. Das ist keine abstrakte Anforderung, sondern ein konkretes Pflichtenprogramm: Die Richtlinie verlangt von betroffenen Einrichtungen ausdrücklich, Risiken in der Lieferkette zu bewerten und zu steuern. Für viele Unternehmen stellt sich damit die praktische Frage, wie man die NIS2-Konformität von Zulieferern überhaupt prüft und was dabei wirklich zählt.
Die Herausforderung liegt darin, dass Zulieferer oft keine direkte NIS2-Pflicht haben, ihre Sicherheitslücken aber dennoch zum eigenen Risiko werden. Ein kompromittierter Dienstleister kann als Einfallstor dienen, Betriebsausfälle verursachen oder Meldepflichten des Auftraggebers auslösen. Wer NIS2-Anforderungen ernst nimmt, kommt um ein strukturiertes Lieferantenmanagement nicht herum.
NIS2-Pflichten in der Lieferkette verstehen
NIS2 verpflichtet betroffene Einrichtungen, Sicherheitsrisiken in der Lieferkette systematisch zu berücksichtigen. Das betrifft insbesondere Lieferanten und Dienstleister, die Zugang zu kritischen Systemen, Daten oder Infrastrukturen haben. Konkret geht es um die Frage, welche Abhängigkeiten bestehen und welche Sicherheitsanforderungen daraus folgen.
Dabei unterscheidet NIS2 nicht zwischen direkten und indirekten Lieferanten. Wer kritische Prozesse auslagert oder auf externe IT-Dienstleister angewiesen ist, muss sicherstellen, dass auch diese Parteien angemessene Sicherheitsmaßnahmen umsetzen. Die Pflicht zur Lieferkettensicherheit ist damit keine Empfehlung, sondern Bestandteil des Risikomanagements, das Geschäftsführungen persönlich verantworten.
Kriterien für die NIS2-Konformitätsprüfung von Zulieferern
Eine strukturierte Bewertung beginnt damit, relevante Zulieferer zu identifizieren und nach Kritikalität einzustufen. Nicht jeder Lieferant erfordert dieselbe Prüftiefe. Entscheidend ist, welchen Einfluss ein Ausfall oder eine Kompromittierung auf die eigenen Systeme und Prozesse hätte.
Für die inhaltliche Bewertung bieten sich folgende Kriterien an:
- Vorhandensein eines Informationssicherheitsmanagementsystems (ISMS), idealerweise nach ISO 27001 oder einem vergleichbaren Standard
- Nachweisbare Prozesse für Schwachstellenmanagement, Patch-Zyklen und Incident Response
- Regelungen zum Umgang mit Zugriffsrechten und privilegierten Konten
- Fähigkeit zur Meldung sicherheitsrelevanter Vorfälle innerhalb definierter Fristen
- Nachweise über regelmäßige Sicherheitsüberprüfungen, etwa durch externe Audits oder Penetrationstests
Zertifizierungen wie ISO 27001 oder TISAX liefern eine gute Ausgangsbasis, ersetzen aber keine eigene Risikobeurteilung. Ein Zertifikat zeigt, dass ein System zu einem bestimmten Zeitpunkt geprüft wurde, nicht, dass es heute noch dem aktuellen Stand entspricht.
Praktische Methoden zur Lieferantenbewertung
In der Praxis haben sich mehrere Methoden bewährt, die sich je nach verfügbaren Ressourcen und Kritikalität des Lieferanten kombinieren lassen.
Fragebögen und Selbstauskünfte sind der häufigste Einstieg. Standardisierte Sicherheitsfragebögen, etwa auf Basis von BSI-Grundschutz oder CAIQ (Consensus Assessments Initiative Questionnaire), geben einen ersten Überblick über den Sicherheitsstatus. Die Antworten sollten jedoch nicht ungeprüft übernommen werden. Plausibilitätsprüfungen, Nachfragen bei Unklarheiten und der Abgleich mit vorliegenden Zertifizierungen sind notwendig.
Für Lieferanten mit hoher Kritikalität empfehlen sich Vor-Ort-Audits oder technische Assessments. Dabei werden nicht nur Dokumente gesichtet, sondern auch die tatsächliche Umsetzung von Sicherheitsmaßnahmen überprüft, etwa durch Einsicht in Systemkonfigurationen, Protokolle oder Notfallpläne. Wer keine eigenen Ressourcen für solche Prüfungen hat, kann externe Dienstleister einbinden.
Ergänzend lassen sich technische Methoden einsetzen, beispielsweise externe Schwachstellenscans der öffentlich erreichbaren Infrastruktur eines Lieferanten. Solche Scans geben Hinweise auf offensichtliche Sicherheitsprobleme, ohne dass ein direkter Zugang erforderlich ist.
Vertragsgestaltung als Sicherheitsinstrument
Technische Prüfungen allein reichen nicht aus. Sicherheitsanforderungen müssen auch vertraglich verankert sein, damit sie rechtlich durchsetzbar werden. NIS2 gibt hier eine klare Richtung vor: Verträge mit kritischen Lieferanten sollten Sicherheitsanforderungen explizit benennen.
Wichtige Vertragsinhalte im Kontext der NIS2-Lieferkettensicherheit sind unter anderem:
- Pflicht zur Einhaltung definierter Mindestsicherheitsstandards
- Meldepflichten bei Sicherheitsvorfällen mit definierten Fristen (abgestimmt auf die eigenen NIS2-Meldepflichten)
- Audit- und Nachweisrechte für den Auftraggeber
- Regelungen zur Unterauftragsvergabe und deren Sicherheitsanforderungen
- Konsequenzen bei Verstößen oder dauerhafter Nichterfüllung
Bestehende Verträge sollten im Rahmen der NIS2-Umsetzung auf diese Punkte hin geprüft und bei Bedarf angepasst werden. Das ist kein einmaliger Aufwand, sondern Teil eines lebenden Vertragsmanagementsystems.
Kontinuierliches Monitoring statt einmaliger Prüfung
Eine initiale Bewertung eines Zulieferers ist ein guter Ausgangspunkt, aber kein dauerhafter Schutz. Sicherheitslage, Zertifizierungsstatus und Unternehmensstrukturen von Lieferanten ändern sich. Ein Lieferant, der heute solide aufgestellt ist, kann morgen durch einen Eigentümerwechsel, ein Sicherheitsereignis oder interne Veränderungen zum Risikofaktor werden.
Kontinuierliches Monitoring bedeutet in diesem Zusammenhang: regelmäßige Wiederholungsbewertungen nach festgelegten Intervallen, anlassbezogene Prüfungen bei bekannt gewordenen Vorfällen sowie automatisierte Überwachung öffentlich verfügbarer Indikatoren wie Zertifizierungsstatus, Sicherheitsmeldungen oder Datenlecks. Viele Unternehmen nutzen dafür spezialisierte Plattformen, die Lieferantenrisiken kontinuierlich aggregieren.
Wer seinen IT-Betrieb bereits extern managt, kann Monitoring-Aufgaben für kritische Lieferanten oft in bestehende Strukturen integrieren, ohne separate Prozesse aufzubauen.
Nächste Schritte für ein NIS2-konformes Lieferantenmanagement
Der Aufbau eines belastbaren Lieferantenmanagements unter NIS2 folgt einer klaren Logik: zuerst Klarheit über die eigene Betroffenheit und die relevanten Lieferantenbeziehungen, dann Bewertung und Priorisierung nach Kritikalität, anschließend vertragliche Verankerung und technische Prüfung, schließlich kontinuierliche Überwachung.
Wer noch am Anfang steht, sollte mit einer Inventarisierung aller relevanten Lieferanten beginnen und diese nach ihrem Einfluss auf kritische Prozesse einordnen. Daraus ergibt sich eine priorisierte Liste, die zeigt, wo sofortiger Handlungsbedarf besteht und wo eine mittelfristige Verbesserung ausreicht. Dieser Schritt kostet wenig Zeit, schafft aber die Grundlage für alle weiteren Maßnahmen.
Wie UBESAFE bei der NIS2-Lieferkettensicherheit hilft
UBESAFE macht die Umsetzung der NIS2-Anforderungen beherrschbar, auch im Bereich Lieferkette und Zulieferermanagement. Das beginnt mit einer strukturierten Betroffenheitsprüfung und einer GAP-Analyse, die zeigt, wo aktuell Lücken bestehen, und endet nicht mit einem Bericht, sondern mit konkreter technischer und organisatorischer Umsetzung.
Im Rahmen des NIS2-Angebots unterstützt UBESAFE unter anderem bei folgenden Aufgaben:
- Aufbau und Dokumentation eines Lieferantenbewertungsprozesses nach NIS2-Anforderungen
- Entwicklung von Sicherheitsfragebögen und Bewertungskriterien für Zulieferer
- Prüfung und Anpassung bestehender Lieferantenverträge auf sicherheitsrelevante Klauseln
- Einrichtung von Monitoring-Prozessen für kritische Lieferanten
- Kontinuierliche Überwachung und regelmäßige Reviews im Rahmen des Managed Service
Wer wissen möchte, wie der eigene Stand im Bereich NIS2 Supply Chain heute aussieht, kann mit einem kostenlosen Erstgespräch starten. Das Gratis-Audit von UBESAFE gibt einen ersten strukturierten Überblick über Anwendbarkeit, Reifegrad und die dringlichsten Handlungsfelder.