NIS2 und Lieferkettensicherheit: IT-Dienstleister, Integratoren und Subunternehmer risikobasiert bewerten

Lieferkettensicherheit beginnt nicht damit, allen Vertragspartnern denselben Fragebogen zu senden. Zunächst ist zu klären, von welchen Anbietern die Geschäftsprozesse abhängen, welche Zugriffsrechte sie erhalten und welche Folgen ein Ausfall, ein Sicherheitsvorfall oder eine verspätete Reaktion hätte. Erst daraus lassen sich Prüftiefe, erforderliche Nachweise, Vertragsbedingungen und die laufende Überwachung ableiten. Andernfalls kontrolliert die Organisation lediglich die formale Vollständigkeit von Unterlagen – nicht aber die tatsächlichen Risiken aus IT-Services, Integrationsleistungen und Unteraufträgen.

Der Dienstleister als Teil der organisatorischen Resilienz

Das Lieferantenrisiko ergibt sich nicht allein aus Schwachstellen in den Systemen des Anbieters oder aus dem Niveau seiner technischen Schutzmaßnahmen. Entscheidend ist vielmehr, wo externe Dienstleistungen, Personal, Software oder Infrastruktur die Kontinuität eigener Prozesse bedingen. Der Umfang der Überwachung sollte daher weder vom Auftragswert noch von der Größe des Vertragspartners oder allein von der Art der eingekauften Leistung abhängen. Maßgeblich sind die Folgen eines Ausfalls, einer Verletzung der Vertraulichkeit, eines Verlusts der Datenintegrität oder einer verspäteten Reaktion auf einen Sicherheitsvorfall.

Am Anfang des Prozesses steht eine eindeutige Zuordnung der Verantwortlichkeiten. Der jeweilige Geschäftsprozessverantwortliche identifiziert die Abhängigkeit und bewertet ihre operative Bedeutung. Die Informationssicherheitsfunktion beurteilt die Exposition, der Einkauf integriert die Anforderungen in Auswahlkriterien und Verträge, und die IT prüft Zugriffsumfang sowie technische Ausgestaltung. Zusätzlich muss festgelegt sein, wer das Risiko einstuft, Abweichungen von Anforderungen genehmigt, die Vertragserfüllung überwacht und die Zusammenarbeit im Sicherheitsvorfall koordiniert. Ohne diese Zuordnung bleibt der Lieferantenfragebogen ein Dokument ohne verantwortlichen Eigentümer, während sich das Risiko zwischen den Organisationseinheiten verliert.

Ein kleiner Integrator mit privilegiertem Fernzugriff auf eine Produktionsumgebung kann trotz eines deutlich geringeren Auftragswerts eine größere Exposition verursachen als ein großer Anbieter von Bürodienstleistungen. Ein Ausfall, die Kompromittierung eines technischen Kontos oder die Nichtverfügbarkeit des Integratorpersonals kann die Produktion unmittelbar stoppen oder ihre Wiederherstellung erschweren. Einer vertieften Bewertung sollten deshalb vor allem Vertragspartner unterliegen, die mit kritischen Prozessen verbunden sind, über Fernzugriff oder privilegierte Berechtigungen verfügen, schutzbedürftige Informationen verarbeiten oder an der Reaktion auf Sicherheitsvorfälle und der Wiederherstellung des Geschäftsbetriebs beteiligt sind.

Erst wenn diese Abhängigkeiten transparent sind, lässt sich der Prozess sachgerecht mit den NIS2-Anforderungen an Risikomanagement, Lieferkettensicherheit und Leitungsverantwortung verknüpfen – unter Berücksichtigung des Anwendungsbereichs der jeweils einschlägigen nationalen Vorschriften. Die Geschäftsleitung sollte die technische Bewertung nicht ersetzen. Sie sollte jedoch die Regeln für die Lieferantenklassifizierung, die Zuordnung der Risikoverantwortlichen und das Verfahren zur Genehmigung von Abweichungen festlegen. Sinnvolle Kennzahlen sind die Zahl kritischer Prozesse, die von externen Leistungen abhängen, sowie die Zahl der Anbieter mit privilegiertem Zugriff oder Fernzugriff. Den größeren Zusammenhang dieser Entscheidungen erläutert NIS2 in der Managementpraxis: Anforderungen in Entscheidungen, Verantwortlichkeiten und tatsächliche organisatorische Resilienz überführen.

Segmentierung nach Auswirkung und Zugriff

Ein einheitlicher Fragebogen für sämtliche Vertragspartner ermöglicht keine risikoadäquate Bewertung. Die Segmentierung sollte die Auswirkungen einer Nichtverfügbarkeit, die Art der verarbeiteten Informationen, den Berechtigungsumfang, die Möglichkeit einer Ausbreitung des Vorfalls in die eigene Umgebung und die Ersetzbarkeit des Anbieters zusammenführen. Grundlage der Einstufung ist der in der Business-Impact-Analyse ermittelte Zeitraum, über den ein Prozess ohne die betreffende Leistung betrieben werden kann. Ebenfalls zu berücksichtigen sind die Zahl der abhängigen Prozesse und Standorte. Auftragswert und Unternehmensgröße des Anbieters sind lediglich ergänzende Kriterien, da sie weder technische Abhängigkeiten noch tolerierbare Ausfallzeiten oder den Aufwand eines sicheren Anbieterwechsels abbilden.

Die Schwellenwerte für Basisbewertung, erweiterte Bewertung und Audit sollten mit messbaren Kriterien verknüpft werden. Ein Audit kann erforderlich sein, wenn ein Ausfall des Anbieters die maximal tolerierbare Unterbrechungsdauer überschreiten würde, wenn privilegierter Zugriff besteht oder wenn ein Austausch ohne erhebliche technische Änderungen nicht möglich ist. Eine erweiterte Bewertung ist bei eingeschränktem Zugriff, bei der Verarbeitung schutzbedürftiger Informationen oder bei Abhängigkeiten in nachgelagerten Lieferketten angemessen. Die übrigen Vertragspartner können einer Basisbewertung unterzogen werden, sofern keine Risikokonzentration entsteht.

Bei einem Anbieter von Personalmanagementsystemen liegt der Schwerpunkt auf Informationsklassifizierung, Berechtigungen und Datenwiederherstellung. Ein Automatisierungsintegrator ist vor allem hinsichtlich Fernzugriff, Konfigurationsänderungen und Unterstützungsfähigkeit nach einem Sicherheitsvorfall zu bewerten. Ein Wartungsunternehmen hat möglicherweise keinen Systemzugriff; seine Nichtverfügbarkeit kann den Prozess dennoch wegen fehlender Ersatzteile, Kompetenzen oder Dokumentation zum Stillstand bringen. Die Zusammenhänge zwischen IT-Systemen, Operational Technology und Produktionskontinuität behandelt ausführlicher NIS2 für Produktionsunternehmen: Betroffenheit, Pflichten und organisatorische Vorbereitung über reine IT-Maßnahmen hinaus.

Die Klassifizierung darf nicht über die gesamte Vertragslaufzeit unverändert bleiben. Sie ist erneut durchzuführen, wenn sich Leistungsumfang, Zugriff, Architektur, Unterauftragnehmer, verarbeitete Informationen oder die Bedeutung des Prozesses ändern. Zusätzlich sollte sie regelmäßig bestätigt werden, auch wenn die Vertragsbedingungen unverändert geblieben sind. So lässt sich die erforderliche Sorgfaltstiefe an der tatsächlichen Exposition ausrichten und nachweisen, dass die Lieferkettenüberwachung auf einer Folgenbewertung und nicht auf einer rein formalen Einteilung der Vertragspartner beruht.

Nachweise statt Selbstauskünfte

Bei der Lieferantenbewertung ist nicht nur zu prüfen, ob Richtlinien und Verfahren existieren, sondern wie die vorgesehenen Kontrollen tatsächlich umgesetzt werden. Die Fragen sollten sich auf Zugriffs-, Schwachstellen- und Änderungsmanagement, Datensicherung, Ereignisüberwachung, Behandlung von Sicherheitsvorfällen, Business Continuity, Personalsicherheit und die Steuerung von Unterauftragnehmern beziehen. Die Antwort „Ein Verfahren ist implementiert“ reicht nicht aus, wenn weder ein Verantwortlicher noch die Kontrollfrequenz, die Dokumentation der Ergebnisse oder der Umgang mit Abweichungen genannt werden. Ein Warnsignal sind außerdem allgemeine Unterlagen, die keinen Bezug zur beauftragten Leistung, deren Standort oder der konkreten Betriebsumgebung haben.

Für jede Lieferantenklasse sollte bereits vor Beginn der Bewertung ein Mindestkatalog an Nachweisen definiert sein. Bei geringerem Risiko können Antworten des zuständigen Prozessverantwortlichen ausreichen, sofern sie durch aktuelle Dokumente und beispielhafte Aufzeichnungen belegt werden. Mit zunehmender Kritikalität sollten Testergebnisse, Betriebsprotokolle, Leistungskennzahlen der Kontrollen und unabhängige Bewertungen verlangt werden. Bei kritischen Dienstleistungen kann ein technisches Fachgespräch, eine Remote-Bewertung oder ein Vor-Ort-Audit angemessen sein. Die Wahl der Methode hängt unter anderem davon ab, ob Schutzmaßnahmen ohne direkten Infrastrukturzugang verifiziert werden können und welche Folgen eine unzutreffende Selbstauskunft hätte. Zweckmäßig ist es, Datum und Ergebnis des letzten Wiederherstellungstests für die relevante Dienstleistung sowie die Behebungszeiten für Schwachstellen nach den vom Anbieter verwendeten Kritikalitätsstufen zu erfassen.

Die Aussage, dass Backups erstellt werden, verdeutlicht den Unterschied zwischen einer Zusicherung und einem belastbaren Nachweis. Sie beantwortet nicht, ob die Sicherungen von der Produktionsumgebung getrennt sind, wer sie löschen darf, wie häufig Wiederherstellungstests stattfinden oder welches Ergebnis der letzte Test erbracht hat. Ebenso bleibt offen, wer für die Wiederherstellung der gesamten Leistung verantwortlich ist: Infrastrukturbetreiber, Softwarehersteller, Integrator oder Kunde. Ein angemessener Nachweis umfasst daher nicht nur eine Beschreibung der Regelungen, sondern auch die Aufzeichnung des letzten Tests, den Umfang der wiederhergestellten Daten und Funktionen, festgestellte Abweichungen und den Nachweis, dass die Ursachen eines Fehlschlags wirksam beseitigt wurden. Ausweichende Antworten sind häufig daran erkennbar, dass Datum, Umfang und Verantwortlichkeit fehlen oder der Nachweis keiner konkreten Dienstleistung zugeordnet werden kann.

Das Zertifikat eines Managementsystems ist ein wertvoller ergänzender Nachweis, ersetzt jedoch nicht die erforderliche Sorgfaltsprüfung. Zu prüfen sind Geltungsbereich, Gültigkeitszeitraum, erfasste Standorte und Leistungen sowie deren Übereinstimmung mit dem Beschaffungsgegenstand. Die Zertifizierung einer Zentrale muss weder das Rechenzentrum noch das Betriebsteam oder einen Unterauftragnehmer umfassen, der wesentliche Teile der Dienstleistung erbringt. Ein Zertifikat kann Bestandteil der Basisbewertung sein. Bei kritischen Abhängigkeiten sollte es jedoch durch operative Nachweise und bei wesentlichen Lücken gegebenenfalls durch ein Audit ergänzt werden. Wie Schutzmaßnahmen mit Prozessverantwortung verknüpft werden können, zeigt auch TISAX für Managementbeauftragte und Qualitätsingenieure – Informationssicherheit mit Unternehmensprozessen verbinden. Informationssicherheit sollte nicht allein Bestandteil der IT-Dokumentation bleiben.

Der Vertrag als Steuerungsinstrument

Der Vertrag mit einem kritischen Anbieter sollte die Ergebnisse der Risikobewertung in umsetzbare und überprüfbare Pflichten überführen. Eine reine Vertraulichkeitsklausel reicht nicht aus. Die Regelungen sollten die Meldung von Ereignissen, den Zugang zu Informationen für die Folgenbewertung, die Mitwirkung des Anbieters an Analyse und Wiederherstellung, die Aufrechterhaltung vereinbarter Schutzmaßnahmen, das Änderungsmanagement und den Einsatz weiterer Unterauftragnehmer abdecken. Für die konkrete Leistung sind außerdem Verfügbarkeits-, Wiederherstellungs- und Aufbewahrungsparameter zu vereinbaren, die mit den Anforderungen des Geschäftsprozesses übereinstimmen – und nicht lediglich mit der Standard-Leistungsbeschreibung des Anbieters.

Entscheidend ist, wer die Verhandlung der Sicherheitsanforderungen verantwortet und welche Schwellenwerte für die Genehmigung vertraglicher Abweichungen gelten. Der Einkauf kann den Vertragsprozess steuern, sollte aber nicht allein entscheiden, ob Haftungsbeschränkungen, die Verweigerung eines Auditrechts oder die freie Weitervergabe an Unterauftragnehmer akzeptabel sind. Solche Abweichungen erfordern – abhängig von der Risikoart – eine Bewertung durch den Prozessverantwortlichen, die Informationssicherheit, das Business-Continuity-Management und die Rechtsfunktion. Akzeptiert ein marktbeherrschender Anbieter die Vorgaben des Kunden nicht, sollte die Entscheidung nicht in einer bedingungslosen Übernahme seiner Vertragsbedingungen bestehen. Möglich sind die Bewertung kompensierender Maßnahmen, eine Begrenzung des Leistungsumfangs, verstärkte Überwachung oder eine formale Risikoakzeptanz mit Begründung und benanntem Risikoverantwortlichen.

Eine Verpflichtung zur Meldung „unverzüglich“ hat nur begrenzten operativen Nutzen, wenn Meldekanal, Mindestinhalte, Kontaktstellen und entscheidungsbefugte Personen nicht festgelegt sind. Die vereinbarte Meldefrist muss der Organisation realistisch ermöglichen, das Ereignis zu bewerten und ihre eigenen Pflichten zu erfüllen. Der Anbieter sollte mindestens eine Beschreibung des Ereignisses, die betroffenen Leistungen und Daten, die bekannten oder erwarteten Auswirkungen, eingeleitete Eindämmungsmaßnahmen und den Zeitpunkt der nächsten Aktualisierung mitteilen. Der Vertrag sollte außerdem den Zugang zu technischen Protokollen und die Beteiligung geeigneter Fachkräfte an Ursachenanalyse und Wiederherstellung regeln.

Auch ein vertragliches Auditrecht gewährleistet noch keine wirksame Kontrolle. Werden Auslösekriterien, Umfang des Zugangs zu Nachweisen, Schutz vertraulicher Informationen, Kostenregelungen sowie Fristen für die Vereinbarung und Umsetzung von Korrekturmaßnahmen nicht bestimmt, kann sich die Klausel gerade im Sicherheitsvorfall als nicht praktikabel erweisen. Der Umfang der Vertragsanforderungen sollte sich nach der Kritikalität des Anbieters und der Ersetzbarkeit der Leistung richten. Ein übermäßiger Anforderungskatalog, dessen Einhaltung später niemand überwacht, erzeugt lediglich den Anschein von Kontrolle und erhöht die Kosten des Vertragsmanagements. Geeignete Kennzahlen sind die Zahl der Abweichungen, die eine formale Risikoakzeptanz erfordern, und die fristgerechte Erfüllung vereinbarter Verpflichtungen.

Die Kosten von Vertragsänderungen beschränken sich nicht auf die Arbeit der Rechtsabteilung. Sie umfassen erneute Lieferantenbewertungen, Verhandlungen, Audits, die Überwachung vereinbarter Parameter und die Einführung zusätzlicher Schutzmaßnahmen. Diese Abhängigkeiten sollten in der Budgetplanung berücksichtigt werden, die im Beitrag Was kostet die Umsetzung von NIS2 und uKSC? Budget für Audits, Dokumentation, Schulungen und Schutzmaßnahmen ohne kostspielige Fehlentscheidungen planen beschrieben wird. Ein Vertrag erfüllt seine Steuerungsfunktion erst dann, wenn ein Verantwortlicher für die Überwachung benannt ist, Nachweise über die Erfüllung der Pflichten erhoben werden und ein geregeltes Vorgehen für Änderungen oder die Beendigung der Dienstleistung besteht.

Überwachung nach Vertragsabschluss

Eine Erstbewertung verliert schnell an Aussagekraft, wenn sich im Verlauf der Zusammenarbeit Leistungsumfang, Lösungsarchitektur, Eigentümerstruktur des Anbieters, Verarbeitungsstandort, Unterauftragnehmer oder Zugriffsniveau auf Systeme und Informationen ändern. Die Überwachung sollte deshalb regelmäßige Reviews umfassen, deren Häufigkeit sich aus der Kritikalität der Leistung ergibt, sowie anlassbezogene Neubewertungen. Anbieter mit hohem Einfluss auf die Geschäftskontinuität benötigen engmaschigere Kontrollen als leicht ersetzbare Vertragspartner ohne privilegierten Zugriff.

Der Überwachungszyklus benötigt einen Verantwortlichen, definierte Eskalationsschwellen und verbindliche Aufzeichnungen. Die reine Kontrolle von Service-Level-Kennzahlen genügt nicht. Diese Informationen müssen mit Sicherheitsvorfällen, Ergebnissen von Kontinuitäts- und Wiederherstellungstests, dem Status von Korrekturmaßnahmen, Änderungen bei Unterauftragnehmern und Anzeichen einer sinkenden operativen Leistungsfähigkeit des Anbieters verknüpft werden. Eine außerplanmäßige Neubewertung sollte insbesondere durch folgende Ereignisse ausgelöst werden:

• wesentliche Änderung des Leistungs- oder Zugriffsumfangs;
• Verlagerung der Verarbeitung;
• Wechsel eines für die Leistung relevanten Unterauftragnehmers;
• wiederholte Verletzung vereinbarter Leistungsparameter;
• nicht fristgerecht geschlossene Abweichungen;
• ein Ereignis, das auf unzureichende Reaktionsfähigkeit hinweist.

Ein Anbieter, der beim Vertragsabschluss positiv bewertet wurde, kann ein Jahr später ein neues Rechenzentrum nutzen oder einen Teil der Leistung an einen Unterauftragnehmer vergeben. Bezeichnung und erklärter Leistungsumfang bleiben möglicherweise unverändert, während sich technische Abhängigkeiten, Verarbeitungsort, Wiederherstellungsmodell und Verfügbarkeit von Nachweisen verändern. Fehlt ein Mechanismus zur Meldung solcher Änderungen, überwacht die Organisation ein historisches statt des aktuellen Risikoprofils. Geeignete Kennzahlen sind die Zahl der Änderungen an Leistungsumfang, Zugriff oder Unterauftragnehmern, die eine Neubewertung erfordern, die Zahl der Sicherheitsvorfälle und Service-Level-Verletzungen sowie der Anteil fristgerecht geschlossener Korrekturmaßnahmen.

Eine festgestellte Nichtkonformität muss nicht automatisch zur Beendigung der Zusammenarbeit führen. Die Entscheidung sollte Auswirkungen und Dauer der Abweichung, den erforderlichen Behebungszeitraum, die Ersetzbarkeit der Leistung und die Risiken der Übergangsphase berücksichtigen. Die Organisation kann den Anbieter zu Korrekturmaßnahmen verpflichten, kompensierende Kontrollen einführen, das Risiko befristet und mit festgelegtem Überprüfungstermin akzeptieren, Zugriffsrechte begrenzen oder einen Anbieterwechsel vorbereiten. Jeder Pfad benötigt einen Entscheidungsverantwortlichen, eine Frist, ein Abschlusskriterium und einen Wirksamkeitsnachweis – nicht nur den Nachweis, dass eine Aufgabe formal erledigt wurde.

Die Wirksamkeit des gesamten Mechanismus sollte regelmäßig anhand von Aufzeichnungen, Reaktionsübungen und der Entscheidungsfähigkeit der Organisation bei veränderten Risiken geprüft werden. Einen hilfreichen Bezugsrahmen für die Planung bietet NIS2-Audit im Produktionsunternehmen – die organisatorische Bereitschaft auf neue Pflichten bewerten. Das Audit sollte nicht nur das Vorhandensein eines Reviewplans bestätigen, sondern auch prüfen, ob Warnsignale tatsächlich zur Eskalation führen, Nichtkonformitäten anhand festgelegter Kriterien geschlossen werden und das Lieferantenrisiko mit der Kontinuität der eigenen Prozesse verknüpft bleibt.

Ein auditfähiges Lieferantenbewertungsprogramm

Ein Programm zur Lieferantenüberwachung ist auditfähig, wenn es einen durchgängigen Entscheidungsmechanismus bildet und nicht lediglich aus Fragebögen, Vertragsklauseln und verteilten Registern besteht. Zum Mindestumfang gehören ein Lieferantenregister mit prozessualen und technischen Abhängigkeiten, Segmentierungskriterien, Entscheidungsrollen, Anforderungen für die einzelnen Klassen, die Bewertung von Nachweisen, Vertragsregeln, Monitoring, Eskalation und das Vorgehen bei Beendigung der Zusammenarbeit. Auditprogramm und Risikoregister sollten dieselben Klassifizierungen, Verantwortungsrollen und Akzeptanzkriterien verwenden.

Bei begrenzten Ressourcen sollte die Pilotgruppe aus Anbietern ausgewählt werden, die kritische Prozesse unterstützen, privilegierte Zugriffe besitzen oder nur schwer zu ersetzen sind. Anschließend kann der Umfang entsprechend dem Risikoniveau und den Ergebnissen der ersten Bewertungen erweitert werden. Der Versuch, sofort den gesamten Lieferantenbestand einzubeziehen, erhöht in der Regel den administrativen Aufwand, ohne einen proportionalen Mehrwert zu schaffen. Die Geschäftsleitung sollte die Reihenfolge der Bewertungen, den Maßnahmenplan zur Schließung von Lücken und das Budget genehmigen sowie über Risiken entscheiden, die außerhalb der festgelegten operativen Befugnisse liegen.

In einem Audit ist die konsistente Nachverfolgbarkeit einer einzelnen Entscheidung überzeugender als eine umfangreiche Verfahrensanweisung: Lieferantenklassifizierung, Begründung der Anforderungen, bewertete Nachweise, geeignete Vertragsbedingungen, Aufzeichnungen aus Überwachung und Nichtkonformitäten sowie eine formale Risikoakzeptanz oder die Entscheidung über Korrekturmaßnahmen. Der Reifegrad lässt sich anhand des Anteils der im Programm klassifizierten und bewerteten Anbieter, der Umsetzung des Bewertungsplans für kritische Anbieter und der Zahl der Risiken ohne Verantwortlichen, Reaktionsfrist oder genehmigte Entscheidung messen.

Normative und rechtliche Bezugspunkte sollten die Prozessgestaltung abschließen, nicht deren Logik ersetzen. Die NIS2-Anforderungen sind in Verantwortlichkeiten, Kriterien, Aufzeichnungen und überprüfbare Nachweise zu überführen. Dabei sind die jeweils einschlägigen nationalen Umsetzungsvorschriften und der konkrete Anwendungsbereich für die Organisation zu berücksichtigen. Ein branchenspezifisches Beispiel für diesen Ansatz ist ISO 19443 – Eintrittskarte in die Lieferkette der polnischen Kernenergie. Dort sind Qualifizierung und Überwachung von Lieferanten integraler Bestandteil der Fähigkeit einer Organisation, Anforderungen sicher zu erfüllen.