NIS2-konforme Lieferkettensicherheit für kritische Infrastrukturen
Die NIS2-Richtlinie verschärft die Anforderungen an die Sicherheit der gesamten Lieferkette.
Die NIS2-Richtlinie erweitert die Cybersicherheitsanforderungen explizit auf die gesamte Lieferkette. Kritische und wichtige Einrichtungen müssen sicherstellen, dass auch ihre Lieferanten und Dienstleister angemessene Sicherheitsmaßnahmen implementiert haben. Unser Ansatz kombiniert bewährte Supply Chain Risk Management-Praktiken mit spezifischen NIS2-Anforderungen.
Unser umfassendes NIS2 Supply Chain Security-Programm deckt alle Aspekte des Lieferkettenrisikomanagements ab. Von der initialen Vendor-Bewertung bis zur kontinuierlichen Überwachung entwickeln wir maßgeschneiderte Lösungen, die Ihre spezifischen Geschäftsanforderungen und NIS2-Compliance-Ziele erfüllen.
2 Leistungsbausteine
Einzeln buchbar oder als durchgängiges Programm.
Umfassende Bewertung Ihrer Lieferkette und Identifikation kritischer Sicherheitsrisiken nach NIS2-Kriterien.
Standardisierte Prozesse für die Sicherheitsbewertung und das kontinuierliche Management von Lieferanten.
5 Phasen
Wir entwickeln ein systematisches Supply Chain Security-Programm, das vollständig auf die spezifischen Anforderungen der NIS2-Richtlinie abgestimmt ist.
Ansprechpartner
Sarah Richter
Head of Informationssicherheit, Cyber Security
10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit
Die NIS2-Richtlinie macht Organisationen für Sicherheitsvorfälle in ihrer Lieferkette mitverantwortlich. Eine proaktive Supply Chain Security ist daher nicht nur regulatorische Pflicht, sondern essentiell für den Schutz vor Haftungsrisiken und Reputationsschäden.
6 FRAGEN, KURZ BEANTWORTET
NIS2 Art. 21 Abs. 2 lit. d verpflichtet wesentliche und wichtige Einrichtungen zur Sicherheit der Lieferkette. Konkret müssen sie: ein Konzept zur Lieferkettensicherheit etablieren, sicherheitsbezogene Aspekte der Beziehungen zu unmittelbaren Anbietern und Dienstleistern berücksichtigen, Lieferanten nach ihrer Kritikalität kategorisieren und bewerten, Mindestanforderungen in Beschaffungsprozesse integrieren sowie Lieferanten kontinuierlich überwachen.
NIS2-pflichtige Einrichtungen müssen Cybersicherheitsanforderungen in Lieferantenverträge aufnehmen: Mindeststandards für Sicherheitsmaßnahmen (z. B. ISO 27001-konform), Meldepflichten bei Vorfällen beim Lieferanten, Audit- und Prüfrechte der Einrichtung, Anforderungen an Business Continuity des Lieferanten sowie Security-by-Design-Prinzipien. Lieferanten sollten Nachweise zur Compliance vorlegen (Zertifizierungen, SOC 2-Berichte).
Die NIS2-konforme Lieferantenbewertung folgt dem C-SCRM-Ansatz (Cyber Supply Chain Risk Management): (1) Lieferanten nach Kritikalität kategorisieren (kritisch, wesentlich, standard), (2) Due-Diligence-Prüfung der Cybersicherheitspraktiken, (3) Fragebögen-basierte Assessments und Zertifikatsprüfungen, (4) Kontinuierliches Monitoring (Sicherheitsereignisse, CVEs, Zertifizierungsstatus), (5) Eskalationspfade bei Auffälligkeiten. Das BSI empfiehlt diesen fünf-Schritte-Ansatz explizit.
NIS2 fördert Transparenz in Software-Lieferketten. Eine SBOM (Software Bill of Materials) ermöglicht die vollständige Erfassung aller Softwarekomponenten, Open-Source-Bibliotheken und Abhängigkeiten. Dies erleichtert die schnelle Identifikation bekannter Schwachstellen (CVEs) und beschleunigt die Reaktion auf Supply-Chain-Angriffe. Regulatoren und Kunden fordern SBOMs zunehmend, der EU Cyber Resilience Act (CRA) wird SBOMs für Hersteller künftig verpflichtend machen.
DORA für Finanzunternehmen hat strengere Drittanbieter-Anforderungen als NIS2: Es fordert ein formelles TPRM-Programm (Third Party Risk Management), Konzentrationsrisiko-Analyse, Vertragsmindestinhalte (Art. 30 DORA) und Register kritischer IKT-Dienstleister. NIS2 ist sektor-übergreifend und weniger detailliert. Finanzunternehmen sollten DORA-TPRM als Grundlage etablieren, dieser erfüllt gleichzeitig NIS2-Lieferkettenpflichten.
Die NIS2-Pflicht überträgt sich nicht automatisch auf Lieferanten, die selbst keine wesentlichen oder wichtigen Einrichtungen sind. Jedoch müssen NIS2-pflichtige Unternehmen sicherstellen, dass kritische Lieferanten angemessene Sicherheitsstandards erfüllen. Über Vertragsklauseln werden Sicherheitsanforderungen weitergegeben, faktisch entsteht ein Compliance-Druck in der gesamten Lieferkette. Kleine Zulieferer sollten sich daher auf Sicherheitsanfragen von Großkunden vorbereiten.
Unsere Kunden vertrauen auf unsere Expertise in digitaler Transformation, Informationssicherheit, Compliance und Risikomanagement
Vereinbaren Sie jetzt ein strategisches Beratungsgespräch mit unseren Experten
30 Minuten • Unverbindlich • Sofort verfügbar
Direkte Hotline für Entscheidungsträger
Strategische Anfragen per E-Mail
Für komplexe Anfragen oder wenn Sie spezifische Informationen vorab übermitteln möchten