Fragensammlung fragt nach Risiken in unserer Lieferkette, was bedeutet das

Lieferkettenrisiken sind die Sicherheit deiner eigenen Lieferanten

Lieferkettenrisiken betreffen die Lieferanten und Dienstleister, die du einschaltest, und ob diese eine Lücke in der Sicherheit deines Kunden darstellen. Die Frage kommt nicht aus dem Nichts: Es ist eine wörtliche Maßnahme aus Artikel 21 Absatz 2 der NIS2, Buchstabe d, das sich ausdrücklich mit der Sicherheit der Lieferkette befasst, einschließlich der Beziehung zu Lieferanten. Dein Kunde muss nachweisen können, dass er dies bei seinen eigenen Lieferanten – also bei dir – abgefragt hat. Daher die Frage in der Liste.

In der Praxis werden zwei Dinge gleichzeitig abgefragt. Erstens: Hast du selbst Einsicht in die Risiken, die deine kritischen Lieferanten (Hosting, Software, IT-Management) mit sich bringen? Zweitens: Stellst du selbst Anforderungen an diese Lieferanten, vertraglich oder anders? Das zweite überlappt sich mit der Frage, ob deine eigenen Lieferanten Sicherheitsanforderungen erfüllen müssen – häufig ist das wörtlich dieselbe Frage in anderer Form, also überprüfe zuerst, ob du diese bereits beantwortet hattest. Hast du keine formale Lieferantenpolitik, dann ist ein ehrliches "nein, noch nicht" präziser als eine Antwort, die mehr verspricht als vorhanden ist.

Zurückzuführen auf Artikel 21 Absatz 2 Buchstabe d NIS2

Diese Frage folgt direkt aus den zehn Maßnahmen von Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555, in der die Sicherheit der Lieferkette als separates Element (Buchstabe d) neben Risikoanalyse und Incident-Handling steht. Im Cybersecurity Act, der niederländischen Umsetzung, die am 15. August 2026 in Kraft tritt, erscheint diese Maßnahme für die unter das Gesetz fallenden Einheiten. Wer mit ISO/IEC 27001 arbeitet, erkennt dieselbe Anforderung in Annex A unter den Kontrollmaßnahmen für Lieferantenbeziehungen wieder. Ob dein Unternehmen selbst in den Geltungsbereich dieser Verpflichtung fällt, hängt davon ab, ob das Unternehmen als Einheit unter die NIS2 oder die nationale Umsetzung fällt – das bestimmt, ob dies für dich eine Verpflichtung ist oder nur eine Frage, die dir dein Kunde weitergeleitet hat.