Legt das Unternehmen Sicherheitsanforderungen an seine eigenen Lieferanten fest?

Lieferkette ist eine der zehn Maßnahmen

Ja, in den meisten Fällen ist dies relevant, um mit einem Verweis auf konkrete Lieferantenpolitik zu beantworten, nicht mit einer allgemeinen Beruhigung. Die Frage stammt direkt aus Artikel 21 Absatz 2 der NIS2-Richtlinie, wo "Sicherheit der Lieferkette" als separater Punkt neben den anderen neun Maßnahmen aufgeführt ist. Der Kunde möchte also nicht wissen, ob Sie selbst gut gesichert sind, sondern ob Sie diese Anforderung an die Parteien weitergeben, von denen Sie abhängig sind: Hosting-Anbieter, Softwarelieferanten, IT-Dienstleister.

Konkret geht es um Fragen wie: Gibt es Sicherheitsanforderungen in den Verträgen mit kritischen Lieferanten, wird bei der Beschaffung oder beim Onboarding die Sicherheitsstufe überprüft, und besteht Übersicht über die Abhängigkeiten weiter in der Lieferkette. Ein Unternehmen, das selbst eine Informationssicherheitspolitik hat — siehe auch die Frage über Strategie zur Risikoanalyse und zum Schutz von Informationssystemen — hat oft bereits einen Rahmen, in dem die Lieferantenbewertung ein fester Bestandteil ist. Fehlt dies, dann ist "nein" oder "teilweise" eine ehrliche Antwort; eine Zusage darüber, was geschehen sollte, ist hier nicht an uns.

Wo dies in Artikel 21 Absatz 2 NIS2 steht

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt die Sicherheit der Lieferkette als eine der zehn Maßnahmen, die ein Unternehmen ergreifen muss, einschließlich Aufmerksamkeit für die Beziehung zwischen dem Unternehmen und seinen unmittelbaren Lieferanten oder Dienstleistern. Dieser Punkt hängt oft mit anderen Maßnahmen aus derselben Liste zusammen: ein Lieferant, der Schwachstellen nicht meldet, betrifft auch den Prozess zur Erkennung und Behebung von Schwachstellen, und ein Vorfall bei einem Lieferanten muss denselben Weg gehen wie ein Vorfall im Unternehmen selbst. Ob diese Frage überhaupt verpflichtend ist, hängt davon ab, ob das Unternehmen selbst unter die Richtlinie fällt — das ist eine separate Frage mit einer eigenen Antwort.