Supply Chain Security nach NIS2: Lieferanten-Risiken im KMU managen

Der größte blinde Fleck in vielen NIS2-Projekten ist die Liefer­kette. Während sich Unternehmen auf Firewalls, Patch-Management und Mitarbeiter­schulungen konzentrieren, laufen parallel Dutzende Dienst­leister mit weitreichenden Zugriffs­rechten auf IT-Systeme, Cloud-Daten und Produktions­umgebungen – oft völlig unüberwacht. NIS2 § 30 BSIG macht genau diesen Bereich zur Pflicht.

Was NIS2 konkret zur Liefer­kette verlangt

§ 30 Abs. 2 Nr. 4 BSIG verpflichtet betroffene Einrichtungen, „Maßnahmen zur Sicherheit der Liefer­kette, einschließlich sicherheits­bezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Dienste­anbietern“ zu ergreifen. Das ist bewusst weit formuliert und deckt den gesamten Prozess von der Auswahl über die vertragliche Bindung bis zur laufenden Überwachung ab.

Das BSI interpretiert diese Vorgabe streng: Betroffene Unternehmen müssen die Sicherheits­qualität ihrer Dienstleister bewerten, vertraglich absichern und im Incident-Fall nachvollziehen können, welcher Lieferant welchen Zugriff auf welche Systeme hatte. Ein reines Excel-Sheet mit Dienstleister­namen reicht nicht mehr.

Welche Lieferanten sind relevant?

Nicht jeder Dienstleister ist für die Liefer­ketten­sicherheit gleich kritisch. Die Bewertung orientiert sich an Zugriff, Datenkategorie und Geschäfts­bedeutung. Für KMU haben sich drei Kategorien bewährt:

ISO 27001-Controls als praktisches Gerüst

Wer einen strukturierten Ansatz sucht, findet ihn in ISO 27001:2022 Annex A 5.19 bis 5.22. Diese vier Controls decken den kompletten Lebens­zyklus einer Liefer­beziehung ab und sind gleichzeitig der anerkannte BSI-Nachweis für NIS2-konformes Liefer­kanten­management.

Control 5.19 – Informations­sicherheit in Liefe­ranten­beziehungen

Legt die Grund­sätze fest: Wer ist für Liefe­ranten­sicherheit verantwortlich, wie werden Anforderungen dokumentiert, welche Risiko­kategorien gelten. Für KMU ist das eine kurze Richtlinie (zwei bis drei Seiten) mit klaren Zuständig­keiten.

Control 5.20 – Sicherheits­anforderungen in Verträgen

Ohne vertragliche Verankerung keine Durch­setzbarkeit. Liefe­ranten­verträge müssen Sicherheits­anforderungen, Melde­pflichten bei Vorfällen und Audit-Rechte enthalten. Bei kritischen Lieferanten empfehlen wir eine Sicherheits­zusatz­vereinbarung mit verbindlichen Reaktions­zeiten im Incident-Fall.

Control 5.21 – IKT-Liefer­kette

Der speziell auf Informations- und Kommunikations­technologie fokussierte Control. Besonders relevant für MSPs, Cloud-Dienste und Software-Zulieferer. Hier sollten Produkt­sicherheit, Patch-Versorgung und Lebens­zyklus­planung vertraglich geregelt sein.

Control 5.22 – Über­wachung und Änderungen

Die größte Schwach­stelle in der Praxis: Lieferanten werden einmal ausgewählt und nie wieder geprüft. Dieser Control verlangt eine regel­mäßige Neubewertung – mindestens jährlich oder bei wesent­lichen Änderungen (Eigentümer­wechsel, neue Unter­auftrag­nehmer, Sicherheits­vorfälle).

Praxis-Checkliste für das Lieferanten-Onboarding

Bevor ein neuer Dienstleister Zugriff auf IT-Systeme erhält, sollten KMU folgende Punkte prüfen:

• Selbstauskunft zu technischen und organisatorischen Maßnahmen (TOM)
• Nachweis relevanter Zertifizierungen (ISO 27001, BSI C5, SOC 2 Type II)
• Einordnung in Kritikalitäts­kategorie (A/B/C)
• Abschluss Auftrags­verarbeitungs­vertrag nach Art. 28 DSGVO (falls personen­bezogene Daten)
• Festlegung von Zugriffs­berechtigungen nach Least-Privilege-Prinzip
• Dokumentation der Unter­auftrag­nehmer­kette
• Vereinbarung einer Incident-Melde­pflicht innerhalb 24 Stunden
• Definition von Audit- und Prüf­rechten für kritische Lieferanten
• Exit-Strategie und Daten­rückgabe bei Vertrags­ende
• Eintragung ins Liefe­ranten­register mit Wieder­vorlage

Laufende Überwachung ohne Überlastung

Gerade KMU scheuen den Aufwand einer laufenden Lieferanten­bewertung. Der Trick liegt in der Automatisierung. Unsere ISMS-Software verwaltet ein strukturiertes Lieferanten­register mit automatischen Wieder­vorlagen, Vertrags­fristen und Sicherheits­fragebogen. So wird aus einer einmaligen Aktion ein belastbarer, prüfungs­sicherer Prozess – ohne dass ein Vollzeit-Compliance-Officer dafür nötig wäre.

Ein zweiter Baustein ist die regelmäßige technische Überprüfung der extern erreichbaren Angriffs­fläche. Wenn ein IT-Dienstleister eine VPN-Verbindung oder ein Remote-Tool betreibt, sollte das regel­mäßig auf bekannte Schwach­stellen geprüft werden. Der automatisierte Schwach­stellen­scan von TSMONDO prüft externe Dienste kontinuierlich und alarmiert bei kritischen Befunden.

Typische Fehler im KMU und wie man sie vermeidet

Fazit: Liefer­ketten­sicherheit als Daueraufgabe

Supply Chain Security ist kein Projekt mit Abschluss­datum, sondern ein kontinuierlicher Prozess. Für KMU lohnt sich der Aufwand doppelt: Zum einen wird die NIS2-Nachweis­pflicht erfüllt, zum anderen sinkt das Risiko eines Angriffs über einen Dienstleister spürbar. In Kombination mit einem ISO 27001-ISMS und regel­mäßigen Schwach­stellen­scans entsteht ein belastbares Sicherheits­niveau – und zwar mit einem Aufwand, der auch in einem 80-Personen-Unternehmen darstellbar ist.

Wer heute mit dem strukturierten Lieferanten­management beginnt, spart nicht nur im Ernstfall Geld und Reputation, sondern auch bei der ersten BSI-Nachweis­prüfung – denn gerade bei der Liefer­kette prüft die Behörde sehr genau, ob das Thema nur auf dem Papier oder tatsächlich im Unternehmen gelebt wird.

Weiterlesen