NIS2 Lieferkettensicherheit: Lieferanten nach § 30 BSIG absichern

§ 30 Abs. 2 Satz 2 Nr. 4 BSIG setzt Art. 21 Abs. 2 lit. d NIS2 seit dem 6. Dezember 2025 in deutsches Recht um. Besonders wichtige und wichtige Einrichtungen müssen die Sicherheit der Lieferkette gewährleisten, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern. Nach Art. 21 Abs. 3 NIS2 sind dabei die spezifischen Schwachstellen der einzelnen Anbieter, die Qualität ihrer Produkte und ihre Cybersicherheitspraxis einschließlich sicherer Entwicklungsprozesse zu berücksichtigen. Praktisch heißt das: ein Konzept für die Lieferkettensicherheit festlegen, Lieferanten nach Kritikalität einstufen, Anforderungen vertraglich verankern und ihre Einhaltung regelmäßig prüfen.

Die Durchführungsverordnung (EU) 2024/2690 nennt die Vertragsinhalte in Nummer 5.1.4 ihres Anhangs konkret. Verbindlich ist sie für digitale Anbieter wie Cloud-, Rechenzentrums- und Managed-Service-Anbieter, für alle übrigen Einrichtungen ist sie eine belastbare Orientierung: Cybersicherheitsanforderungen an den Lieferanten, Schulungs- und Qualifikationsanforderungen an sein Personal, Zuverlässigkeitsüberprüfungen, die unverzügliche Meldung von Sicherheitsvorfällen, ein Prüfrecht oder das Recht auf Prüfberichte, die Pflicht zur Behebung von Schwachstellen, Regeln für Unterauftragnehmer sowie Pflichten bei Vertragsende, etwa Rückgabe und Löschung von Informationen. Als Nachweis dienen Zertifikate wie ISO 27001 oder SOC-2-Berichte.

Das BSI beschreibt das Cyber Supply Chain Risk Management (C-SCRM) in fünf Schritten: (1) beteiligte Personen und Schnittstellen identifizieren, (2) Sicherheitsrichtlinien, Standards und Prozesse festlegen, (3) wissen, welche IT-Assets genutzt werden und von wem sie stammen, (4) die gesamte Lieferkette einschließlich Unterlieferanten verstehen, (5) die Wirksamkeit der Maßnahmen bewerten und die Auditfähigkeit sicherstellen. In der Bewertung selbst stufen wir Lieferanten nach Zugang zu Systemen, Zugang zu Daten und Einfluss auf Ihre Verfügbarkeit ein und prüfen kritische Lieferanten über Fragebögen, Zertifikate (ISO 27001, SOC 2, TISAX) und eigene Audits.

NIS2 fördert Transparenz in Software-Lieferketten. Eine SBOM (Software Bill of Materials) erfasst alle Softwarekomponenten, Open-Source-Bibliotheken und Abhängigkeiten. Damit lassen sich bekannte Schwachstellen (CVEs) schnell zuordnen und Angriffe über die Lieferkette schneller eingrenzen. Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen ab dem 11. Dezember 2027 unter anderem dazu, eine SBOM zu erstellen. Als Einrichtung können Sie SBOMs schon heute vertraglich von Ihren Softwarelieferanten verlangen.

Für Finanzunternehmen im Anwendungsbereich von DORA gehen die DORA-Vorgaben als speziellere Regelung vor. DORA ist beim Drittparteienrisiko deutlich detaillierter: Informationsregister aller vertraglichen Vereinbarungen über IKT-Dienstleistungen, Analyse des Konzentrationsrisikos, verbindliche Vertragsinhalte nach Art. 30 DORA und Ausstiegsstrategien. Wer ein DORA-konformes Drittparteienrisikomanagement betreibt, hat die Lieferkettenanforderungen damit in der Regel abgedeckt. Unternehmen außerhalb des Finanzsektors orientieren sich an § 30 BSIG und, sofern anwendbar, an der Durchführungsverordnung (EU) 2024/2690.

Die NIS2-Pflicht überträgt sich nicht automatisch auf Lieferanten, die selbst keine besonders wichtigen oder wichtigen Einrichtungen sind. NIS2-pflichtige Unternehmen müssen aber sicherstellen, dass ihre kritischen Lieferanten angemessene Sicherheitsstandards erfüllen, und geben diese Anforderungen über Vertragsklauseln weiter. Faktisch entsteht so Compliance-Druck in der gesamten Lieferkette. Kleine Zulieferer sollten sich deshalb auf Sicherheitsanfragen ihrer Kunden vorbereiten.

Gemeint sind Ihre direkten Vertragspartner: Anbieter von Produkten wie Hard- und Software sowie Diensteanbieter wie Cloud-, Rechenzentrums- oder Managed-Service-Anbieter. Unterauftragnehmer erfassen Sie nicht direkt, sondern über Ihre Verträge mit dem unmittelbaren Anbieter, die Regeln zur Unterauftragsvergabe enthalten sollten. Entscheidend für die Tiefe der Prüfung ist nicht das Auftragsvolumen, sondern ob der Lieferant Zugang zu Ihren Systemen oder Daten hat oder Ihre Verfügbarkeit beeinflusst. Ein Reinigungsdienst mit Zutritt zum Serverraum kann deshalb kritischer sein als ein großer Büromittellieferant.

Für die Einrichtungsarten der Durchführungsverordnung (EU) 2024/2690, unter anderem Cloud-, Rechenzentrums- und Managed-Service-Anbieter, ja: Nummer 5.2 ihres Anhangs verlangt ein aktuelles Verzeichnis der Anbieter und Diensteanbieter. Für alle übrigen besonders wichtigen und wichtigen Einrichtungen ist ein solches Verzeichnis die praktische Voraussetzung, um die Lieferkette nach Kritikalität zu steuern und gegenüber dem BSI nachzuweisen. Sinnvoll sind mindestens Ansprechpartner, gelieferte Produkte oder Dienste, Kritikalitätsstufe und der Stand der letzten Prüfung.

ISO 27001:2022 behandelt die Lieferkette in den Controls A.5.19 bis A.5.23 (Lieferantenbeziehungen, Verträge, IKT-Lieferkette, Überwachung, Cloud-Dienste) und A.8.30 (ausgelagerte Entwicklung). Wer diese Controls umgesetzt hat, erfüllt einen großen Teil der Anforderungen. Das BSI weist aber ausdrücklich darauf hin, dass die Umsetzung eines Standards nicht automatisch bedeutet, dass das BSIG vollständig erfüllt ist. Wir prüfen deshalb gezielt die Lücke zwischen Ihrem ISMS und § 30 BSIG, statt ein zweites System aufzubauen.

Ja, mittelbar. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen nach § 30 BSIG billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft, haftet sie gegenüber der Einrichtung. Dazu kommen Bußgelder nach § 65 BSIG: bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent, jeweils der höhere Betrag. Eine dokumentierte Lieferantensteuerung ist deshalb auch ein Nachweis ordnungsgemäßer Leitung.