Leitfaden · 8 Min. Lesezeit
NIS2 Art. 21(2): Sicherheits-Checkliste für Lieferanten
Ein praktisches Skript für Beschaffungs- und Sicherheitsteams: für die Aufnahme eines neuen Lieferanten ebenso wie für die jährliche Überprüfung. Zu jedem der sechs lieferkettenrelevanten Unterpunkte von NIS2-Artikel 21(2): was zu fragen ist, warum es zählt, welcher Nachweis anzufordern ist und wie zu reagieren ist, wenn die Antwort unzureichend bleibt.
Die wichtigsten Punkte
- Sechs Unterpunkte von Artikel 21(2) tragen den Großteil der Lieferkettenlast: hier steht, was jeweils zu fragen ist und welches Dokument es belegt.
- Die Hälfte davon ist technisch und ändert sich ohne Vorwarnung, sie braucht also fortlaufende Prüfung statt einer Zeile im Jahresfragebogen.
- Eine Lücke ist kein Urteil. Eine dokumentierte, verantwortete Behebungsentscheidung macht Ihre Position vor einem Prüfer haltbar.
Artikel 21(2)(d) macht die Bewertung der Sicherheit Ihrer Lieferanten zum Teil Ihres eigenen Risikomanagements, und das nicht nur einmal. Die Pflicht gilt für den Lieferanten, den Sie gerade unter Vertrag nehmen, ebenso wie für den, mit dem Sie seit Jahren arbeiten. Eine jährliche Überprüfung ist die Unter-, nicht die Obergrenze. Das Schwierige ist, dass der Maßstab („angemessene Maßnahmen“) mit dem Risiko skaliert und nicht stillsteht, sodass eine im Frühjahr saubere Bewertung im Herbst sehr wenig aussagen kann.
Im Folgenden werden die sechs Unterpunkte des Artikels 21(2) durchgegangen, die das meiste Lieferkettengewicht tragen. Jeder ist so dargestellt, wie er im Gespräch wirklich nützlich ist: was zu fragen ist, warum es zählt und welches Dokument als Nachweis anzufordern ist. Nutzen Sie es als Skript für das Aufnahmegespräch ebenso wie für die Jahresüberprüfung, und lesen Sie die technischen Unterpunkte als Dinge, die fortlaufend zu prüfen sind, nicht einmalig.
Ein Hinweis zum Umfang. Dies ist eine Orientierung, keine Rechtsauskunft: Ihre zuständige Behörde oder Ihr Prüfer kann angesichts Ihrer Branche und Größe mehr erwarten, und Vertragsformulierungen sollten von einem Anwalt geprüft werden. Die genannten Fristen (Patch-Fenster und dergleichen) sind sinnvolle Richtwerte, keine gesetzlichen NIS2-Fristen.
Die sechs Unterpunkte, in der Reihenfolge, in der man sie fragen sollte:
Art. 21(2)(a)Risikomanagement
Beginnen Sie mit dem Unterschied zwischen einem Lieferanten, der Cyberrisiko als ständige Disziplin betreibt, und einem, der einmal im Jahr in Hektik verfällt. Ein dokumentiertes Informationssicherheits-Managementsystem (ISO 27001 ist das saubere Kürzel, doch eine schriftliche ISMS-Richtlinie genügt) zeigt, dass der Prozess existiert; aufschlussreicher ist die Frage, wann die Geschäftsführung oder der Vorstand ihn zuletzt überprüft hat und ob kritische Systeme und Daten tatsächlich inventarisiert und klassifiziert sind. Fordern Sie die Richtlinie oder das Zertifikat an und notieren Sie das Datum dieser letzten Überprüfung: ein Programm, das seit zwei Jahren niemand geöffnet hat, ist nur dem Namen nach eines.
Art. 21(2)(b)Vorfallmanagement
Ist dieser Lieferant bedeutend genug, dass seine Kompromittierung Ihren Dienst stören könnte, startet sein Vorfall Ihre Meldeuhr nach Artikel 23, und Sie halten sie nur ein, wenn er Ihnen schnell Bescheid gibt. Guter Wille trägt das nicht; der Vertrag muss es: ein definiertes Zeitfenster, um Sie über einen Sicherheitsvorfall zu unterrichten, ein benannter Ansprechpartner, der rund um die Uhr antwortet, und dahinter ein getesteter Reaktionsplan statt eines Dokuments, das niemand geübt hat. Fordern Sie die Zusammenfassung des Incident-Response-Plans an und machen Sie die 24-Stunden-Meldung zu einer schriftlichen Vertragsklausel, nicht zu einer Zeile in einer E-Mail.
Art. 21(2)(d)Lieferkette
Ihr Risiko reicht über den Lieferanten, den Sie unter Vertrag genommen haben, hinaus zu denen, von denen er abhängt. Das Viertparteienrisiko. Ein fähiger Lieferant kann die Subunternehmer benennen, die Ihre Daten oder Systeme berühren, hält sie an Sicherheitsbedingungen, die in seine eigenen Verträge geschrieben sind, statt an einen vagen Verweis auf „Branchenstandards“, und bewertet sie mindestens jährlich neu. Fragen Sie, ob er ein Subunternehmerregister vorlegen und beschreiben kann, wie er diese Parteien prüft; ein Lieferant, der seine kritischen Viertparteien nicht benennen kann, hat Ihnen gerade etwas Wissenswertes gesagt.
Art. 21(2)(e)Beschaffung und Entwicklung
Bekannte, ungepatchte Schwachstellen und End-of-Life-Software gehören zu den meistgenutzten Einfallswegen, also sollte der Lieferant zeigen, dass das Schwachstellenmanagement real und nicht bloß angestrebt ist. Sinnvolle Richtwerte: nichts läuft nach dem Support-Ende in der Produktion, kritische Lücken (CVSS 9,0 und höher) werden binnen rund eines Monats nach Bekanntgabe gepatcht, und alles im CISA-Katalog der bekannten ausgenutzten Schwachstellen wird als Notfall behandelt. Fordern Sie eine Beschreibung des Patch-Prozesses und eine aktuelle Schwachstellen-Momentaufnahme an: der Abstand zwischen der Richtlinie und dem letzten Scan ist meist der Ort, an dem die Wahrheit wohnt.
Art. 21(2)(h)Kryptographie
Dies ist der nach außen sichtbarste Unterpunkt und der, der am leisesten abrutscht. Abgelaufene oder selbstsignierte TLS-Zertifikate, Seiten, die HTTPS nicht erzwingen, und halb konfigurierte E-Mail-Authentifizierung sind alle verbreitet, ändern sich ohne Vorwarnung und sind alle von außen prüfbar. Die Messlatte ist unspektakulär: überall gültige Zertifikate, HTTPS auf jeder Seite und API erzwungen, und SPF, DKIM und DMARC tatsächlich konfiguriert (hardfail, signiert, mindestens eine Quarantäne-Richtlinie) statt auf den Voreinstellungen belassen. Fordern Sie den Zertifikatsmanagement-Prozess und einen DMARC- oder DNS-Auszug an.
Art. 21(2)(i)/(j)Zugriffskontrolle und Authentifizierung
Gestohlene Anmeldedaten bleiben der häufigste Weg, auf dem ein Angreifer Fuß fasst, also muss ein Lieferant sowohl zeigen, dass Missbrauch schwer ist, als auch, dass er schnell bemerkt würde. In der Praxis heißt das: Multi-Faktor-Authentifizierung auf jedem kritischen System und Administratorkonto erzwungen, ohne stille Ausnahmen, Überwachung auf geleakte Anmeldedaten in Datenleck- und Dark-Web-Daten und die Gewohnheit, jede exponierte Anmeldung sofort zu wechseln und den Vorfall zu dokumentieren. Bitten Sie um Einsicht in die MFA-Erzwingungsrichtlinie und in die Art, wie das Monitoring auf geleakte Anmeldedaten betrieben wird.
Wenn ein Lieferant nicht genügt
Eine einzelne Lücke ist selten ein Grund zu gehen; eine Aufsichtsbehörde (und Ihr eigener Vorstand) sucht nach Belegen, dass Sie sie bemerkt und eine bewusste, verantwortete Entscheidung dazu getroffen haben. Bemessen Sie die Reaktion danach, wie viel fehlt und wo.
Eine oder zwei Lücken: dokumentieren und akzeptieren
Erfassen Sie sie im Lieferantenregister, fordern Sie einen Behebungsplan binnen etwa 90 Tagen an und kommen Sie bei der nächsten Überprüfung darauf zurück. Ein notiertes, akzeptiertes Risiko ist eine haltbare Position; ein vergessenes nicht.
Drei bis fünf Lücken oder eine Lücke im Vorfallmanagement: die Aufsicht verschärfen
Stufen Sie den Lieferanten in eine höhere Risikoklasse ein, fordern Sie einen schriftlichen Behebungsplan mit Terminen an und erwägen Sie, seinen Zugang zu Ihren kritischsten Systemen einzuschränken, bis die Lücken geschlossen sind.
Sechs oder mehr Lücken oder eine kritische technische Schwachstelle: eskalieren
Tragen Sie es an Ihren CISO oder die Geschäftsleitung heran, wägen Sie die vertraglichen Mittel ab, die Sie tatsächlich haben, und erwägen Sie (falls der Lieferant Produktionsdaten oder -systeme erreichen kann) diesen Zugang auszusetzen, bis das Bild klar ist.
Sehen Sie, wie Ihre Lieferanten tatsächlich abschneiden
7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar
Was Sie nicht von Hand tun können
Mehrere dieser Prüfungen sind technisch, und sie verfallen, ohne dass Ihnen jemand eine Mitteilung schickt: ein Zertifikat läuft ab, eine Anmeldung taucht in einem Leak auf, ein Lieferant landet auf einer Ransomware-Opferliste. Ein einmal im Jahr beantworteter Fragebogen sieht nichts davon: genau das ist der Abstand zwischen einer Papierprüfung und der fortlaufenden Sorgfalt, die der Maßstab „angemessene Maßnahmen“ erwartet.
norppa.io führt die technische Hälfte dieser Liste jeden Tag aus, für jeden Lieferanten, den Sie hinzufügen:
- Kryptographie (h): TLS-Zertifikatsgültigkeit und HTTPS-Erzwingung, SPF/DKIM/DMARC-Konfiguration, DNSSEC
- Zugriff und Authentifizierung (i): Mitarbeiter- und Kundenanmeldedaten, die in Datenleck- und Dark-Web-Daten auftauchen
- Beschaffung und Entwicklung (e): Katalogeinträge ausgenutzter Schwachstellen und nach Schweregrad bewertete Schwachstellenbefunde
- Vorfallmanagement (b): Auftreten auf Ransomware-Opferlisten, mit einer Warnung in dem Moment, in dem ein Lieferant erscheint
Die prozessbezogenen Unterpunkte (Risikomanagement, Vorfallmanagement und Lieferketten-Governance) sind genau das, wofür der Selbstbewertungsfragebogen da ist; Sie können ihn direkt aus dem Portal an einen Lieferanten senden und seine Antworten neben den technischen Befunden lesen.