Kunde fragt, wie wir vor Angriffen über unsere Lieferanten geschützt sind

Diese Frage bezieht sich auf Artikel 21 Absatz 2 Buchstabe d, nicht auf Ihre gesamte Sicherheitspolitik

Diese Frage zielt speziell auf die Sicherheit der Lieferkette ab: Was tun Sie, um zu verhindern, dass eine Schwachstelle bei Ihrem Lieferanten einen Angriff bei Ihnen ermöglicht? Das ist eine der zehn Maßnahmen aus Artikel 21 Absatz 2 NIS2, neben unter anderem Risikoanalyse, Vorfallbehandlung und Kryptografie. Der Fragesteller möchte also nicht wissen, wie Ihre eigenen Systeme geschützt sind — das ist eine andere Frage in der Liste — sondern wie Sie Risiken kontrollieren, die über einen Dritten eindringen.

Konkreter Nachweis hierfür besteht in der Regel aus drei Teilen: eine Lieferantenbewertung vor Vertragsabschluss, Sicherheitsanforderungen, die vertraglich festgelegt sind (denken Sie an eine Verarbeitungsvereinbarung oder ein separates Sicherheitsanhangswerk), und eine Übersicht, welche Lieferanten Zugang zu welchen Systemen oder Daten haben. Haben Sie das nicht, dann ist "nein" die ehrliche Antwort — eine Lieferantenliste ohne zugrundeliegende Anforderungen ist kein Nachweis der Kontrolle. Wenn Sie tiefer schauen möchten, was der Kunde mit dieser Frage genau meint, hilft es zu sehen, ob das Unternehmen Sicherheitsanforderungen an seine eigenen Lieferanten stellt separat im Kettendossier ausgearbeitet ist, unabhängig davon, ob Sie selbst unter die Richtlinie fallen.

Wenn Sie ISO 27001-zertifiziert sind, liegt die Antwort oft schon vor: Anhang A enthält eine spezifische Kontrollmaßnahme für Lieferantenbeziehungen (A.5.19 bis A.5.22 in der Version 2022), und ein Auditor hat das bereits überprüft. Ohne Zertifikat ist die Antwort nicht automatisch "nein" — es geht darum, was Sie tatsächlich tun, nicht um den Stempel. Prüfen Sie im Zweifelsfall, ob das Unternehmen ISO 27001-zertifiziert ist bereits im Dossier festgehalten ist, das spart bei dieser Frage Ermittlungsarbeit.

Woher das kommt: Artikel 21 Absatz 2 Buchstabe d NIS2

Artikel 21 Absatz 2 Buchstabe d der Richtlinie (EU) 2022/2555 erwähnt ausdrücklich "die Sicherheit der Lieferkette" als obligatorischer Bestandteil des Risikomanagements, einschließlich der Beziehung zu einzelnen Lieferanten. Das Cybersicherheitsgesetz übernimmt diese Verpflichtung, sobald dieses Gesetz in Kraft tritt; bis dahin kann die Frage bereits vorkommen, weil der Kunde selbst bereits unter die Richtlinie fällt und diese durch die Kette weiterleitet, auch wenn Sie selbst keine NIS2-Entität sind.