Wir müssen nachweisen, dass wir unsere Lieferanten auf Cybersicherheit überprüfen, wie mache ich das

Lieferkettenicherheit: was Artikel 21 Absatz 2 Buchstabe d verlangt

Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie nennt die Sicherheit der Lieferkette als eine der zehn erforderlichen Maßnahmen, einschließlich der Sicherheitsaspekte der Beziehungen zwischen dem Unternehmen und seinen unmittelbaren Lieferanten. Das bedeutet konkret: Sie müssen nachweisen können, dass Sie bei der Einleitung und Aufrechterhaltung von Lieferantenbeziehungen beurteilen, ob dieser Lieferant ein Risiko für Ihre eigene Dienstleistungserbringung darstellt. Eine schriftlich festgehaltene Lieferantenpolitik mit mindestens drei Komponenten deckt dies üblicherweise ab: ein Auswahlkriterium im Vorfeld (welche Anforderungen Sie an neue Lieferanten stellen), eine regelmäßige Überprüfung während der Laufzeit und ein Eskalationsverfahren, falls ein Lieferant einen Vorfall meldet. Dies ist dieselbe Frage, die Ihr Kunde Ihnen selbst zum Kettenrisiko stellt — Sie füllen hier eigentlich Ihre eigene Antwort aus, aber eine Ebene tiefer in der Kette.

Welche Nachweise gelten, hängt davon ab, wie reif Ihr Prozess ist. Eine Vertragsklausel, in der sich Ihr Lieferant zu bestimmten Sicherheitsanforderungen verpflichtet, ist ein Ausgangspunkt, aber keine Überprüfung. Stärker ist eine Frageliste, die Sie selbst an Lieferanten versenden, gekoppelt mit einem einfachen Risikolabel (niedrig/mittel/hoch) auf der Grundlage dessen, was dieser Lieferant von Ihren Systemen sieht oder berührt. Haben Sie das nicht, dann ist die ehrlichste Antwort, dass Sie den Prozess noch einrichten müssen — nicht, dass Sie "ja" auf eine Vertragsklausel ankreuzen, die keine Bedeutung hat. Beachten Sie: Dies ist eine separate Frage von ob Ihr Unternehmen selbst unter die Richtlinie fällt; auch wenn Sie selbst nicht direkt unter NIS2 fallen, kann ein Kunde dies über die Kettenverpflichtung von Ihnen dennoch verlangen.

Woher dies kommt: Richtlinie und niederländisches Gesetz

Die Verpflichtung findet sich in Artikel 21 Absatz 2 Buchstabe d der Richtlinie (EU) 2022/2555; das niederländische Cybersicherheitsgesetz setzt dies in niederländisches Recht um und tritt voraussichtlich am 15. August 2026 in Kraft. ISO/IEC 27001 Annex A enthält eine vergleichbare Kontrollmaßnahme über Lieferantenbeziehungen, was erklärt, warum Kunden mit einer ISO-Frageliste häufig dieselbe Frage stellen wie Kunden, die auf NIS2 verweisen.