Zum Inhalt springen
Demo buchen
NIS2-Risikomanagementpflicht · § 30 Abs. 2 Nr. 4 BSIG

Sicherheit der Lieferkette

NIS2 nimmt die gesamte Lieferkette in den Blick: Sie müssen die Sicherheit Ihrer Dienstleister und Software-Lieferanten bewerten, vertraglich absichern und überwachen. Auch indirekt betroffene Unternehmen geraten so über ihre Auftraggeber in die Pflicht.

NIS2§ 30 Abs. 2 Nr. 4 BSIGA.5.19A.5.21A.5.22

Warum diese Pflicht wichtig ist

Angriffe über die Lieferkette nehmen stark zu. Zudem geben NIS2-pflichtige Auftraggeber die Anforderungen vertraglich weiter, weshalb auch nicht direkt regulierte Zulieferer Nachweise erbringen müssen.

So setzen Sie die Pflicht um

  1. 01Lieferanten mit Zugriff auf Systeme oder Daten erfassen und risikobasiert einstufen
  2. 02Sicherheitsanforderungen definieren und vertraglich verankern (inkl. AVV)
  3. 03Kritische Lieferanten bewerten (Fragebogen, Zertifikate, ggf. Audit)
  4. 04Melde- und Kontrollrechte sowie Subunternehmer-Regelungen vereinbaren
  5. 05Lieferantenleistung und -risiken laufend überwachen
Diese Nachweise erwartet die Aufsicht
  • Lieferantenregister mit Risikoeinstufung
  • Sicherheitsbewertungen und Verträge/AVV kritischer Lieferanten
  • Nachweis regelmäßiger Überprüfungen

Häufige Fehler

Keine ÜbersichtEs ist unklar, welche Dienstleister Zugriff auf welche Systeme und Daten haben.
Nur der Preis zähltSicherheit spielt bei Auswahl und Steuerung von Lieferanten keine Rolle.

Passende ISO-27001-Controls

Wer ISO 27001 umsetzt, erfüllt diese NIS2-Pflicht weitgehend mit. Diese Annex-A-Controls decken den Bereich ab:

A.5.19Informationssicherheit in LieferantenbeziehungenA.5.21Steuerung der Informationssicherheit in der IKT-LieferketteA.5.22Überwachung und Änderungsmanagement von Lieferantenleistungen

Häufig gestellte Fragen

Bin ich als Zulieferer auch betroffen?
Möglicherweise indirekt: NIS2-pflichtige Auftraggeber geben Sicherheitsanforderungen vertraglich weiter, sodass auch nicht direkt regulierte Lieferanten Nachweise erbringen müssen.
Welche Lieferanten muss ich bewerten?
Vor allem solche mit Zugriff auf Ihre Systeme oder Daten, risikobasiert priorisiert nach Kritikalität.
Reicht ein ISO-27001-Zertifikat des Lieferanten?
Es ist ein starkes Indiz, ersetzt aber nicht Ihre eigene risikobasierte Bewertung und Überwachung.
In CompliantDesk

Lieferkettensicherheit mit CompliantDesk umsetzen

CompliantDesk deckt diesen Bereich mit folgenden Modulen ab: Lieferanten · Lieferanten-Assessments · AVVs. Starten Sie mit dem kostenlosen NIS2-Check.

NIS2-Check gratisDemo buchen

Verwandte NIS2-Pflichten

§ 30 Abs. 2 Nr. 5 BSIGBeschaffung, Entwicklung & Schwachstellen§ 30 Abs. 2 Nr. 1 BSIGRisikoanalyse

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten