Fragensammlung fragt, wie wir die Sicherheit unserer Lieferanten kontrollieren

Lieferkettensicherheit: Ihr Kunde fragt bei Ihren eigenen Lieferanten nach

Diese Frage betrifft Artikel 21 Absatz 2 Buchstabe d der NIS2: Sicherheit der Lieferkette, einschließlich der Beziehung zu jedem unmittelbaren Lieferanten oder Dienstleister. Ihr Kunde möchte also nicht nur wissen, wie Sie selbst gesichert sind, sondern auch, wie Sie das bei Ihren Subunternehmern durchsetzen. In der Praxis wird meist gefragt, ob Sie Sicherheitsanforderungen in Verträge aufnehmen, ob Sie Lieferanten vorab bewerten, und ob Sie regelmäßig überprüfen, ob diese Anforderungen eingehalten werden.

Falls Sie diesen Prozess noch nicht formell eingerichtet haben, ist die ehrlichste Antwort, dass Sie es informell tun — beispielsweise durch Vertragsklauseln ohne strukturierte Bewertung — oder dass Sie es noch nicht tun. Ein "Ja" anzukreuzen, weil es logisch klingt, hilft nicht: Wenn Ihr Kunde nach einem Beispielvertrag oder einer Lieferantenliste mit Risikoscore fragt, muss das auch vorhanden sein. Die gleiche Frage taucht oft in einer etwas anderen Form auf, nämlich ob das Unternehmen Sicherheitsanforderungen an seine eigenen Lieferanten stellt — das ist im Grunde die gleiche Anforderung, aber losgelöst von der Vertragsfrage. Es ist also sinnvoll, eine Antwort zu formulieren, die Sie auf mehreren Listen wiederverwenden können.

Ursprung: Artikel 21 Absatz 2 und Annex A.5.19-21

Die rechtliche Grundlage ist Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie, eine der zehn dort genannten verbindlichen Maßnahmen. Für die niederländische Praxis findet sich dies im Cybersicherheitsgesetz, der Umsetzung von NIS2, das am 15. August 2026 in Kraft tritt — die Frage Ihres Kunden läuft also oft dem voraus, was für Sie selbst erst später verpflichtend wird, es sei denn, Sie fallen bereits über die Definition von Einrichtung unter NIS2 unter die Richtlinie die Definition von Einrichtung unter NIS2. Wer ISO/IEC 27001 anwendet, erkennt die gleiche Anforderung in Annex A, den Kontrollmaßnahmen unter A.5.19 bis A.5.21 über Lieferantenbeziehungen und die darin festgelegten Sicherheitsanforderungen. Beide Quellen verlangen im Kern dasselbe: nicht nur wissen, wer Ihre Lieferanten sind, sondern nachweisbar machen, dass Sie deren Sicherheitsniveau überwachen.