Kunde fragt, wie wir den Zugang externer Lieferanten verwalten

Der Zugang für externe Lieferanten ist Teil von Artikel 21 Absatz 2

Diese Frage befasst sich damit, wie Sie den Zugang von Dritten zu Ihren Systemen und Daten verwalten, und das berührt zwei der zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2 gleichzeitig: Punkt (i), die Zugriffskontrollrichtlinie, und Punkt (d), die Sicherheit der Lieferkette in Richtung Lieferanten. Der Kunde möchte also nicht nur wissen, ob externe Parteien Zugang haben, sondern auch, wie dieser Zugang begrenzt ist, wer ihn gewährt und entzieht, und ob dieser Prozess dokumentiert ist. Eine Antwort wie "Lieferanten erhalten Zugang nur nach Genehmigung" ist zu vage, ohne hinzuzufügen, wie diese Genehmigung abläuft und wie oft sie überprüft wird.

Was Sie konkret benötigen: eine Beschreibung des Autorisierungsprozesses für externe Konten, vorzugsweise mit einer Erwähnung des Prinzips der minimalen Rechte (Zugang auf das Notwendigste beschränkt) und der Zeitspanne, in der der Zugang überprüft oder bei Beendigung des Auftrags entzogen wird. Fehlt dieser Prozess, ist "nein" hier die ehrliche Antwort — eine suggestive "ja"-Antwort ohne zugrunde liegendes Dokument verursacht bei einer Stichprobe des Kunden mehr Schaden als ein "nein" mit einer Erläuterung, dass die Richtlinie noch in Entwicklung ist. Dieses Thema überlappt sich mit der Zugriffsrichtlinie und Verwaltung von Unternehmensmitteln, wo die breitere Autorisierungsstruktur behandelt wird, und mit der Frage, ob das Unternehmen Anforderungen an seine eigenen Lieferanten stellt, denn die Verwaltung des externen Zugangs ist in der Praxis oft Teil desselben Kettenrichtlinienpakets.

Wo dies steht: Artikel 21 Absatz 2, Punkte (d) und (i)

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt unter (i) "Richtlinien zur Zugriffskontrolle" als eine der zehn erforderlichen Maßnahmen, und unter (d) die Sicherheit der Lieferkette einschließlich der Beziehung zu Lieferanten — der externe Zugang fällt unter beide. In ISO/IEC 27001 Anlage A sind die entsprechenden Kontrollmaßnahmen für das Zugriffsbeheer und für Lieferantenbeziehungen auf Kontrollniveau ausgearbeitet, was erklärt, warum ein Kunde oft nach einer bestimmten Anlage-A-Kontrollnummer fragt, anstatt nach dem Richtlinientext selbst. Für Unternehmen, die unter die niederländische Umsetzung fallen, ist diese Verpflichtung im Cybersicherheitsgesetz verankert, das am 15. August 2026 in Kraft tritt.