Wer in unserem Unternehmen kann die Lieferketten-Akte einsehen oder ändern

Rollen und Rechte, nicht ein Konto für jeden

Wer die Lieferkettendatei einsehen oder ändern darf, bestimmt die Organisation selbst: Das ist keine gesetzliche Rolle, sondern eine Einstellung im System. In der Praxis funktioniert es mit Rollen: ein Administrator, der Felder ändern und Quellen verknüpfen darf, und Kollegen, die nur lesen dürfen oder nur einen bestimmten Abschnitt ausfüllen dürfen — zum Beispiel IT für die Fragen zur Informationssicherheit und Finance für die Umsatzdaten. So muss nicht jeder Zugriff auf alles haben, und es bleibt klar, wer welche Antwort eingegeben oder bestätigt hat.

Diese Unterscheidung ist vergleichbar mit dem, was Erfüllen die Online-Dienste des Unternehmens die Anforderungen an die Barrierefreiheit? und andere technische Komponenten fragen: Nicht jeder Mitarbeiter hat genug Wissen, um eine Antwort zu bewerten. Die gleiche Logik gilt für sensible Felder wie Setzt das Unternehmen KI-Systeme in seiner Dienstleistung ein? — dort möchte man, dass derjenige, der die Antwort bestätigt, auch versteht, wonach die Frage fragt. Wer letztendlich auf "ja" oder "nein" klickt bei einer Frageliste, bleibt eine Entscheidung der Organisation selbst; das System dokumentiert nur, wer das getan hat und wann.

Warum Rollenverteilung überhaupt relevant ist

Diese Einteilung ergibt sich nicht aus einem einzelnen Gesetzesartikel, sondern aus der Natur der zugrunde liegenden Anforderungen selbst. Die zehn Maßnahmen von Artikel 21 Absatz 2 der NIS2-Richtlinie nennen Zugriffsschutz explizit als Kontrollmaßnahme, und Anlage A der ISO/IEC 27001 konkretisiert dies mit konkreten Controls dafür, wer welche Daten einsehen oder ändern darf. Eine Lieferkettendatei, die Antworten auf solche Fragelisten enthält, unterliegt der gleichen Logik: nicht weil die Verordnung die Plattform vorschreibt, sondern weil die Fragelisten selbst häufig danach fragen, wie der Zugriff auf Unternehmensdaten geregelt ist. Die Rollenverteilung in der Datei ist also eine praktische Widerspiegelung dessen, was bereits in diesen Anforderungen gefragt wird, nicht eine zusätzliche Verpflichtung.