Anders m. Damgren
Head of Safety & Documentation
Die meisten Ausrüstungslieferanten und Zulieferer für Energie, Transport und Versorgung sind selbst nicht von der NIS-2-Richtlinie und ihrer deutschen Umsetzung betroffen. Die Anforderungen erreichen sie trotzdem, denn das Gesetz verpflichtet die betroffenen Unternehmen, die Sicherheit ihrer Lieferkette zu steuern, und diese Pflicht setzen sie in Vertragsanforderungen an ihre Lieferanten um. Die Fragen nach dokumentierter Sicherheitspraxis kommen deshalb von Ihren Kunden, lange bevor eine Behörde anklopft.
Inhaltsverzeichnis
Warum NIS2 Lieferanten trifft, ohne sie zu nennen
Die Sicherheit der Lieferkette gehört zu den Maßnahmen, die das Gesetz von betroffenen Unternehmen verlangt. Sie müssen sicherheitsrelevante Aspekte ihrer Lieferantenbeziehungen bewerten und Lieferkettenrisiken in ihr Risikomanagement einbeziehen. Das können sie nicht, ohne Anforderungen nach unten weiterzugeben.
Die Folge ist eine indirekte Regulierung. Ein Maschinenbauer mit 40 Beschäftigten steht in keinem Gesetz. Liefert das Unternehmen aber Ausrüstung mit Netzwerkanbindung, Fernzugriff oder Steuerungssoftware an einen Versorger, wird es Teil von dessen Risikobild. Dann kommen die Anforderungen mit dem nächsten Vertrag oder dem nächsten Lieferantenaudit.
Diese Entwicklung ist keine Übergangsphase, die vorbeigeht. Je weiter die betroffenen Unternehmen mit der eigenen Compliance sind, desto stärker wandert ihre Aufmerksamkeit genau dorthin, wohin das Gesetz zeigt: in die Kette. Vermuten Sie, dass Sie in Wirklichkeit selbst betroffen sein könnten, beginnen Sie mit den Kriterien im Artikel wer von NIS2 betroffen ist.
Was Ihre Kunden typischerweise fragen
Die Anforderungen variieren von Kunde zu Kunde, das Muster ist jedoch wiedererkennbar. Lieferanten betroffener Unternehmen begegnen typischerweise einer Kombination aus:
- Sicherheitsfragebögen zu Ihren Richtlinien, Ihrer Zugriffsverwaltung, Ihrem Backup und Ihrer Vorfallsbehandlung, oft als fester Teil der Lieferantenfreigabe.
- Vertraglichen Mindestanforderungen an technische und organisatorische Maßnahmen, zum Beispiel Verschlüsselung, Patch-Management und die Kontrolle von Fernzugriffen auf gelieferte Anlagen.
- Meldepflichten, wenn Sie einen Vorfall entdecken, der die Systeme oder Lieferungen des Kunden beeinträchtigen könnte.
- Auditrechten, mit denen der Kunde oder dessen Prüfer nachvollziehen kann, dass Ihre Antworten der Praxis entsprechen.
- Dokumentationsanforderungen an die gelieferte Ausrüstung, einschließlich der Frage, wie Steuerungssoftware abgesichert und aktualisiert wird.
Es lohnt sich, die Anforderungen vor der Unterschrift genau zu lesen. Eine Meldepflicht ohne definierte Schwelle oder ein unbegrenztes Auditrecht kann in der Praxis teuer werden, und die meisten Kunden präzisieren die Formulierungen, wenn man nachfragt.
Was Sie bereithalten sollten, bevor die Fragen kommen
Die Antwort auf einen Sicherheitsfragebogen muss durch Dokumentation gedeckt sein, sonst zerfällt sie beim ersten Audit. Der Kern der Vorbereitung ist ein Satz von Dokumenten, den die meisten technischen Unternehmen in einigen Monaten aufbauen können:
- Eine Informationssicherheitsrichtlinie, die beschreibt, wie Sie mit Sicherheit arbeiten und wer die Verantwortung trägt.
- Ein Risikoregister mit Ihren wesentlichen Risiken und den umgesetzten Maßnahmen.
- Ein Meldeprozess: Wer bewertet, wer entscheidet, und wer informiert Kunden, wenn etwas passiert.
- Prozessbeschreibungen für Zugriffsverwaltung, Backup und die Aktualisierung der Systeme, die für Ihre Lieferungen relevant sind.
- Nachweise über Mitarbeiterschulungen zur grundlegenden Cyberhygiene.
Die Reihenfolge zählt. Beginnen Sie damit zu erfassen, was Sie bereits tun, denn in den meisten technischen Unternehmen ist die Praxis besser als das Papier. Die Arbeit besteht dann darin, die Praxis zu beschreiben und die Lücken zu schließen, und nicht darin, ein Sicherheitsprogramm von Grund auf zu errichten.
Die Dokumentationsarbeit selbst ist eine abgegrenzte Aufgabe, die selten eine Festanstellung rechtfertigt. Es ist die Art von Aufgabe, die unsere Interim-Spezialisten für technische Dokumentation gemeinsam mit Ihren eigenen Leuten lösen, als definierter Einsatz mit klarem Enddatum.
ISO 27001 als Rahmen: nützlich, aber keine Pflicht
Mehrere Lieferanten erwägen eine ISO-27001-Zertifizierung als Antwort auf die Kundenanforderungen. Die Norm ist ein tragfähiger Rahmen, denn sie deckt dieselben Bereiche ab, die NIS2 von Ihren Kunden verlangt, und ein Zertifikat verkürzt viele Lieferantenfreigaben deutlich.
Eine Zertifizierung ist jedoch keine gesetzliche Pflicht, und für kleinere Lieferanten kann ein gut strukturierter Dokumentationssatz nach den Prinzipien der Norm über Jahre ausreichen. Beurteilen Sie es anhand Ihres Kundenportfolios: Verlangen mehrere Großkunden ein Zertifikat, sieht die Rechnung anders aus, als wenn Ihnen vor allem Fragebögen begegnen. Die Dokumentationsarbeit ist in beiden Fällen dasselbe Fundament; sie ist näher beschrieben in unserem Überblick über die NIS2-Anforderungen in der Praxis.
Kontaktieren Sie uns
Sind die ersten Sicherheitsfragebögen Ihrer Kunden eingetroffen, oder möchten Sie vorbereitet sein, bevor sie kommen? Kontaktieren Sie uns für ein Gespräch darüber, was Ihre Kunden erwarten werden.
FAQ
Nicht direkt. Ihre Kunden müssen jedoch die Sicherheit ihrer Lieferkette bewerten, und Lieferanten betroffener Unternehmen begegnen deshalb typischerweise Vertragsanforderungen an eine dokumentierte Sicherheitspraxis.
Das regelt der Vertrag. Typisch sind technische Mindestmaßnahmen, Meldepflichten bei Vorfällen, Dokumentation der Sicherheitspraxis und Auditrechte. Lesen Sie die Anforderungen genau, und lassen Sie unklare Formulierungen vor der Unterschrift präzisieren.
Mindestens eine Informationssicherheitsrichtlinie, ein Risikoregister, einen Meldeprozess, Prozessbeschreibungen für Zugriffe, Backup und Updates sowie Nachweise über Mitarbeiterschulungen. Der Umfang hängt davon ab, was Sie liefern und wie kritisch es für den Kunden ist.
Nein, sie ist keine gesetzliche Pflicht. Sie kann ein Vorteil sein, wenn mehrere Großkunden danach fragen; eine Dokumentation nach den Prinzipien der Norm reicht jedoch oft aus.
Zunächst verzögert das typischerweise die Lieferantenfreigabe oder den Vertrag. Auf Dauer riskieren Sie, abgewählt zu werden, weil der Kunde verpflichtet ist, die Sicherheit seiner Kette in die Risikobewertung einzubeziehen.
Die Anforderungen sind dort am größten, wo Netzwerkanbindung, Fernzugriff oder Steuerungssoftware im Spiel sind. Aber auch Dokumentation, Ersatzteilversorgung und Servicezugänge können in die Lieferkettenbewertung des Kunden einfließen, ganz frei bleiben also die wenigsten Lieferanten.
Mit einer Übersicht. Erfassen Sie, was Sie an Praxis und Dokumentation bereits haben, und halten Sie es gegen die Anforderungen, die Ihre Kunden stellen oder stellen werden.
