Leitfaden · 11 Min. Lesezeit
NIS2-Lieferkettensicherheit: was Artikel 21(2)(d) wirklich verlangt
Ihre eigenen Schutzmaßnahmen können tadellos sein und trotzdem nebensächlich, wenn der Lieferant mit einem VPN-Tunnel in Ihr Netzwerk an einem ruhigen Dienstag kompromittiert wird. Genau diese Lücke schließt NIS2-Artikel 21(2)(d): Er macht Sie für das Cyberrisiko Ihrer Lieferanten verantwortlich, nicht nur für das Risiko innerhalb Ihrer eigenen Mauern. Die Umsetzungsfrist vom 17. Oktober 2024 ist verstrichen, die Mitgliedstaaten finalisieren ihre nationalen Gesetze unterschiedlich schnell, und die ersten Durchsetzungsmaßnahmen haben begonnen. Dies ist die praktische Fassung der Regel: wer betroffen ist, was der Artikel konkret verlangt und wie Sie Nachweise erbringen, die eine Aufsichtsbehörde tatsächlich akzeptiert.
Die wichtigsten Punkte
- Artikel 21(2)(d) macht das Cyberrisiko Ihrer Lieferanten zu Ihrem Problem und dessen Bewältigung zu Ihrer Verantwortung.
- Ein einmal im Jahr beantworteter Fragebogen beschreibt einen einzigen Tag. Ein Lieferant kann am Tag nach dem Absenden von Ransomware getroffen, kompromittiert oder durch eine kritische Schwachstelle exponiert werden.
- Wenn die Behörde fragt, lautet die Antwort: Dokumente. Wen Sie überwachen, was Sie gefunden haben, was Sie getan haben und welches Risiko Sie bewusst akzeptiert haben, jeweils mit Datum.
Für wen gilt das?
NIS2 ordnet die erfassten Organisationen in zwei Stufen ein, nach Sektor und Größe. Die Pflicht, das Lieferantenrisiko zu managen, ist für beide gleich. Unterschiedlich sind die Intensität der Aufsicht und die Höhe der möglichen Bußgelder.
Wesentliche Einrichtungen
Energie, Verkehr, Bank- und Finanzmarktinfrastruktur, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung und Raumfahrt. Proaktiv beaufsichtigt: Audits und Auskunftsersuchen können ohne einen Vorfall erfolgen.
Wichtige Einrichtungen
Post- und Kurierdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, Herstellung bestimmter Produkte (Medizinprodukte, Elektronik, Maschinen, Fahrzeuge), digitale Anbieter und Forschungseinrichtungen. Reaktiv beaufsichtigt: Behörden greifen ein, wenn es einen Anlass gibt.
In der Regel beginnt die Schwelle bei 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz bzw. Bilanzsumme. Wird dies in einem erfassten Sektor erreicht, sind Sie im Allgemeinen erfasst. Einige Einrichtungen sind unabhängig von ihrer Größe erfasst, darunter DNS- und Top-Level-Domain-Betreiber, Anbieter von Vertrauensdiensten und öffentlichen Kommunikationsdiensten sowie der alleinige Anbieter eines wesentlichen Dienstes in einem Land.
Es gibt einen zweiten, leiseren Weg hinein. Verkaufen Sie einen kritischen Dienst an einen Kunden, der an NIS2 gebunden ist, landen dessen Pflichten in der Regel über den Vertrag auf Ihrem Tisch: Sicherheitsklauseln, ein Fragebogen und ein dauerhaftes Recht, Nachweise anzufordern. Viele kleine Lieferanten begegnen NIS2 in ihrem Posteingang, lange bevor eine Behörde ihnen schreibt.
Offizielle Quelle: NIS2-Richtlinie auf EUR-Lex — Artikel 21, mit der Begründung zur Lieferkette in den Erwägungsgründen 85–90.
Was Artikel 21(2)(d) konkret verlangt
Der Artikel selbst ist ein einziger Satz: Ergreifen Sie angemessene Maßnahmen für die Sicherheit der Lieferkette, einschließlich der sicherheitsbezogenen Aspekte der Beziehung zu Ihren direkten Lieferanten. Gelesen zusammen mit der Leitlinie der ENISA und der Anwendung durch nationale Behörden, gliedert sich dieser Satz in vier Dinge auf, die Sie nachweisen können müssen.
Bewerten Sie einen Lieferanten, bevor Sie unterschreiben
Ein unterzeichneter Fragebogen ist ein Ausgangspunkt, keine Antwort: Er hält fest, was der Lieferant über sich sagt, nicht was wahr ist. Stellen Sie ihn dem gegenüber, was Sie von außen überprüfen können. Ist das Unternehmen in Datenleck- oder Ransomware-Daten aufgetaucht? Gibt es ungepatchte, aus dem Internet erreichbare Schwachstellen? Sind die Grundlagen vorhanden, etwa ein gültiges TLS-Zertifikat und eine vernünftige E-Mail-Authentifizierung? Und schauen Sie über die offensichtliche Eingangstür hinaus. Das Risiko eines Lieferanten erstreckt sich über seinen gesamten externen Fußabdruck: nicht nur die Domain im Vertrag, sondern auch das VPN-Gateway, die Mail-Relays und den vergessenen Staging-Host in einem anderen IP-Bereich.
Schreiben Sie die Meldepflicht in den Vertrag
Wenn der Vorfall eines Lieferanten Ihren Dienst stoppen kann, müssen Sie ihn der Behörde möglicherweise innerhalb von Stunden melden (siehe Artikel 23 unten). Das können Sie nur, wenn der Lieferant Sie schnell informiert. Deshalb muss die Pflicht schriftlich festgehalten sein: ein definiertes Zeitfenster, um Sie über einen Sicherheitsvorfall zu unterrichten, ein benannter Ansprechpartner, der erreichbar ist, und ein Recht, anschließend Nachweise anzufordern. Ein Versprechen aus gutem Willen ist um zwei Uhr in einer Samstagnacht nichts wert.
Beobachten Sie weiter, solange die Beziehung besteht
Diesen Teil bekommen die meisten Programme noch nicht hin, weil es eine dauerhafte Gewohnheit ist und keine einmalige Aufgabe. Der Maßstab angemessener Maßnahmen ist keine feste Checkliste; er skaliert mit dem Risiko, und das Risiko bleibt nicht stehen. Der Lieferant, der im März die Prüfung bestand, kann im April auf einer Ransomware-Leak-Seite stehen und im Mai Mitarbeiter-Logins zum Verkauf anbieten. Eine jährliche Momentaufnahme sieht nichts davon. Kontinuierlich bedeutet in der Praxis: Sie erfahren es binnen Tagen.
Bewahren Sie die Nachweise auf, mit Datum
Früher oder später bittet Sie jemand, das Obige zu belegen: ein Prüfer, das Sicherheitsteam eines Kunden, Ihr eigener Vorstand nach einem Beinahe-Vorfall. „Wir behalten die Dinge im Auge“ ist kein Nachweis. Was zählt, ist eine datierte Spur dessen, was Sie geprüft, gefunden und behoben haben, sowie der Risiken, die Sie geprüft und bewusst akzeptiert haben.
Warum eine jährliche Überprüfung nicht genügt
Ein jährliches Lieferanten-Audit, ein Fragebogen und vielleicht ein Zertifikat in der Ablage, ist eine vertretbare Untergrenze. Es ist keine kontinuierliche Überwachung, und der Abstand zwischen beiden ist genau dort, wo Vorfälle leben. Drei alltägliche Arten, wie es schiefgeht:
Ein Lieferant wird im Januar von Ransomware getroffen. Ihre Überprüfung erfolgte im März und sah sauber aus. Die Wahrheit erfahren Sie im Juni, wenn eine Lieferung still und leise verrutscht.
Mitarbeiter-Logins eines Lieferanten tauchen in einem Infostealer-Dump auf. Niemand bemerkt es, bis diese Zugangsdaten genutzt werden, um ein System zu erreichen, auf das der Lieferant zugreifen kann, und darüber Ihres.
Das TLS-Zertifikat eines Lieferanten läuft ab und die Integration bricht. Ihr erster Hinweis ist eine Kundenbeschwerde.
Nichts davon ist exotisch. Es ist die alltägliche Gestalt des Lieferkettenrisikos. Die Aufgabe der Überwachung ist nicht, sie vorherzusagen, sondern sie binnen Tagen zu bemerken, statt sie in einer Nachbetrachtung zu rekonstruieren.
Sehen Sie, wie Ihre Lieferanten tatsächlich abschneiden
7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar
Einstufung: setzen Sie Ihre Aufmerksamkeit dort ein, wo es zählt
Jeden Lieferanten gleich intensiv zu überwachen ist weder realistisch noch erwartet. Sie nach dem tatsächlichen Zugang und der Wirkung zu sortieren, ist sowohl praktisch als auch genau im Sinne angemessener Maßnahmen.
Stufe 1: kritisch
Eine direkte Verbindung zu Ihren Systemen, Daten oder zur Produktion. Diese verdienen die volle Behandlung: einen vollständigen Fragebogen und kontinuierliche technische Überwachung. Cloud- und Hosting-Anbieter, Ihr ERP, ausgelagerte IT- oder Sicherheitspartner.
Stufe 2: wichtig
Wesentlich für den Betrieb, aber ohne tiefen Zugang zu den Kronjuwelen. Regelmäßige technische Überwachung und ein leichterer Fragebogen sind meist angemessen. HR- und Marketing-Plattformen, Logistikpartner.
Stufe 3: geringes Risiko
Wenig oder kein Zugang zu sensiblen Dingen. Eine regelmäßige Überprüfung genügt. Bürobedarf, Reinigung, Catering.
Viertparteienrisiko: die Schicht hinter der Schicht
Ihr Risiko endet nicht bei den Lieferanten, die Sie unter Vertrag genommen haben. Deren Lieferanten können Sie ebenfalls erreichen. Stützt sich Ihr Cloud-Anbieter für die Speicherung auf einen einzigen Subdienstleister und wird dieser angegriffen, läuft die Störung direkt die Kette hinunter zu Ihnen, und Sie hatten nie einen Vertrag mit dem Unternehmen, das sie verursacht hat.
Sie können kein Unternehmen überwachen, zu dem Sie keine Beziehung haben. Der Hebel ist daher die Frage an Ihren direkten Lieferanten: Wissen Sie, welche Ihrer eigenen Subunternehmer kritisch sind, und halten Sie sie an denselben Maßstab, dem Sie mit uns zustimmen? Ein Lieferant, der seine kritischen Viertparteien nicht benennen kann, hat Ihnen gerade etwas Wissenswertes gesagt.
Artikel 23: wenn der Vorfall eines Lieferanten zu Ihrer Frist wird
Verursacht ein Lieferantenvorfall eine erhebliche Störung der von Ihnen erbrachten Dienste, läuft die Meldeuhr für Sie, nicht für ihn. Sie startet eine 24-Stunden-Frühwarnung an Ihr CSIRT oder die zuständige Behörde, dann eine ausführlichere Vorfallmeldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats, oder einen Zwischenbericht zum Monatsende, falls Sie noch mit der Bearbeitung beschäftigt sind.
Der Haken ist das Timing. Die Uhr läuft ab dem Moment, in dem Sie Kenntnis erlangen, nicht ab dem Moment, in dem der Lieferant es Ihnen schließlich mitteilt, und eine Meldung, die eine Woche zu spät eintrifft, hat die Frist bereits aufgezehrt. Die einzige echte Verteidigung ist eine unabhängige Sicht auf die Probleme eines kritischen Lieferanten: eine Ransomware-Listung, ein Credential-Dump, ein Dienst, der dunkel wird, ohne auf seine E-Mail zu warten.
ENISA-Leitlinie: ENISA-Ressourcen zur NIS2-Umsetzung — zu Vorfallmeldung und Sicherheitsmaßnahmen; den genauen Kanal mit Ihrem nationalen CSIRT bestätigen.
Was ein Prüfer tatsächlich sehen will
Aufsichtsbehörden gewichten, was Sie zeigen können, nicht was Sie behaupten. Die Artefakte, die meist den Ausschlag geben:
- Ein Lieferantenregister: wer sie sind, ihre Stufe, ihre Risikoklassifizierung
- Fragebogenantworten: jeweils mit dem Datum der Abgabe
- Überwachungsaufzeichnungen: was geprüft wurde, wann und was dabei gefunden wurde
- Entscheidungen über akzeptierte Risiken: eine schriftliche, verantwortete Wahl für jedes Risiko, das Sie festgestellt und mit dem zu leben Sie sich entschieden haben
- Eine Reaktionsspur: was Sie gegen Befunde unternommen haben, und bis wann
Der unausgesprochene Test ist, ob diese bereits existieren. Eine Akte, die in der Woche nach dem Anruf der Behörde zusammengestellt wurde, liest sich meist genau wie eine Akte, die in der Woche nach dem Anruf der Behörde zusammengestellt wurde.
Durchsetzung und warum der Vorstand in der Pflicht ist
NIS2 setzt das Cyberrisiko bewusst auf die Agenda der Leitung. Das Leitungsorgan muss die Risikomanagementmaßnahmen billigen und überwachen, und seine Mitglieder können persönlich haftbar gemacht werden, wenn diese Aufsicht versagt (Art. 20). Die Bußgelder sind nicht symbolisch: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und bis zu 7 Millionen Euro oder 1,4 % für wichtige (Art. 34); bei wesentlichen Einrichtungen kann eine Aufsichtsbehörde sogar Leitungsfunktionen aussetzen, bis die Lage in Ordnung gebracht ist. Das Lieferkettenrisiko gehört ausdrücklich zu den von der Leitung zu überwachenden Maßnahmen, was der eigentliche Grund ist, warum ein aktueller, dokumentierter Nachweis der Lieferantenüberwachung in den Sitzungssaal gehört und nicht nur in die Notizen des Sicherheitsteams.
Offizielle Quelle: NIS2-Richtlinie auf EUR-Lex — Artikel 20 (Governance) und Artikel 34 (Sanktionen).
Wo norppa.io hineinpasst
Diese Arbeit soll norppa.io tragen. Jede Lieferantendomain, die Sie hinzufügen, wird täglich über mehr als hundert externe Kontrollen geprüft, wobei Ransomware- und Dark-Web-Quellen etwa alle sechs Stunden erneut geprüft werden, mit einer Warnung in dem Moment, in dem etwas Kritisches auftaucht. Jeder Befund wird beim Erfassen dem passenden NIS2-Artikel zugeordnet, der Bericht ist ebenso für die Leitung wie für Techniker geschrieben, und die gesamte Historie wird als CSV exportiert, wenn ein Prüfer danach fragt.
Der Selbstbewertungsfragebogen geht von derselben Stelle an die Lieferanten, und ihre Antworten stehen neben den technischen Befunden. Wenn ein Lieferant also angibt, dass der gesamte Verkehr verschlüsselt sei, und der Scan ein abgelaufenes Zertifikat zeigt, liegt der Widerspruch vor Ihnen statt verborgen.