Fragebogen fragt, wie wir Risiken in unserer Lieferkette erfassen

Kettenrisiken betreffen zwei verschiedene Fragen

Die Frage zu Supply-Chain-Risiken fragt in der Praxis nach zwei Dingen gleichzeitig, und die Frageliste macht diesen Unterschied oft nicht explizit. Erstens: Hat das Unternehmen selbst Einblick in Risiken, die über seine eigenen Lieferanten und Dienstleister entstehen — denken Sie an einen IT-Lieferanten mit Zugriff auf das Netzwerk oder eine Softwarekomponente eines Dritten. Zweitens: Stellt das Unternehmen Anforderungen an diese Lieferanten und kontrolliert diese. Dieser zweite Punkt überlappt mit der Frage, ob das Unternehmen Sicherheitsanforderungen an seine eigenen Lieferanten stellt — oft ist das buchstäblich dieselbe Frage, nur anderswo in der Liste mit anderen Worten erneut gestellt.

Wer nach ISO/IEC 27001 zertifiziert ist, kann normalerweise auf die Kontrollmaßnahmen für Lieferantenbeziehungen aus Anlage A verweisen — diese sind speziell für diesen Bereich vorgesehen, und ein Auditor hat sie bereits bewertet. Ohne Zertifikat ist die Antwort nicht automatisch "nein": Relevant ist, ob eine Risikoanalyse existiert, in der Lieferanten als Aufmerksamkeitspunkt berücksichtigt wurden, auch wenn diese informell ist. Dies entspricht der breiteren Frage nach einer Richtlinie zur Risikoanalyse, wobei Kettenrisiken typischerweise ein Abschnitt sind, nicht ein separates Dokument. Wenn nichts dokumentiert ist, dann ist "nein" die ehrliche Antwort — ein "ja" vorzutäuschen, ohne dass eine Risikoanalyse, Vertragsklausel oder ein Lieferantenverzeichnis zugrunde liegt, hält nicht stand, wenn der Kunde um den Beleg fragt.

Woher das kommt: Artikel 21 Absatz 2 NIS2

Kettensicherheit ist als separater Bestandteil in Artikel 21 Absatz 2 der NIS2-Richtlinie aufgeführt, zwischen den zehn Maßnahmen, die dort aufgelistet sind. Für diejenigen, die selbst unter die Richtlinie fallen — oder ab sofort unter das Cybersecurity Act, die niederländische Umsetzung, die am 15. August 2026 in Kraft tritt — ist dies kein freiwilliger Bestandteil, sondern eine der erforderlichen Maßnahmen. Für diejenigen, die nicht darunter fallen, aber die Frage dennoch von einem Kunden erhalten, ist es normalerweise eine Weitergabe dieser gleichen Anforderung: Der Kunde muss selbst nachweisen können, dass er seine Kette beherrscht, und fragt daher danach.