NIS2 Lieferketten-Paket

Beschreibung

Sie bringen jede Lieferantenbeziehung auf ein dokumentiertes Fundament — Sicherheitsrichtlinie, vertragliche Klauseln, Vertraulichkeitserklärung und ein geprüftes Lieferantenverzeichnis — und gehen mit einem lückenlosen Art. 21(2)(d)-Nachweis in die nächste BSI-Prüfung, statt Lieferanten mit einem selbstgebastelten Fragebogen hinterherzulaufen.

Ihre Lieferanten sind die Lücke, die Sie nicht belegen können

Ihr eigenes Haus ist in Ordnung — das wissen Sie. Was Ihnen keine Ruhe lässt, ist der Teil, den Sie nicht kontrollieren: Ihre Lieferanten. Art. 21(2)(d) NIS2 verlangt, „die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen einer Einrichtung und ihren unmittelbaren Anbietern oder Diensteanbietern“ zu adressieren. §30 Abs. 2 Nr. 4 NIS2UmsuCG überträgt das ins deutsche Recht. CIR 2024/2690, Anhang Abschnitt 5, konkretisiert, was das in der Praxis bedeutet: eine Lieferkettensicherheits-Richtlinie, vertraglich verankerte Sicherheitsanforderungen, ein Verfahren zur Bewertung des Lieferantenrisikos und eine laufende Überwachung der Lieferanten-Compliance.

Also fangen Sie an, hinterherzulaufen. Sie verschicken einen selbst zusammengestellten Fragebogen, sammeln Antworten in verstreuten E-Mails, und im Hinterkopf bleibt die Sorge, dass genau der eine ungeprüfte Lieferant — das Drittanbieter-Risiko, das Sie nie formal bewertet haben — beim BSI-Audit zum Aufhänger wird. Denn hier geht es nicht um ein Ja/Nein-Häkchen. Der Prüfer erwartet ein dokumentiertes Programm: welche Lieferanten Sie identifiziert haben, was Sie von ihnen verlangt haben, ob diese Anforderungen vertraglich bindend sind, und wie Sie das laufend bewerten und nachverfolgen. Managen Sie das informell, können Sie nichts davon belegen — egal wie gut Ihre interne Sicherheit sonst aufgestellt ist.

Sie sollten kein Lieferanten-Sicherheitsprogramm bei null erfinden müssen, und Sie sollten nicht die persönliche Sorge tragen, dass die Lücke eines anderen zu Ihrem Prüfbefund wird. Der Gegner hier sind nicht Sie. Es ist der Lieferant, den Sie nie formal bewertet haben — und genau dieses Paket bringt dieses Risiko auf die Akte.

Den kompletten Lieferanten-Lebenszyklus — schon vorformuliert

Wir kennen dieses Gefühl: zu wissen, dass die Richtlinie ein Lieferantenprogramm verlangt, aber nichts Strukturiertes zu haben, auf dem man aufbauen kann. Deshalb beginnen Sie nicht bei null. Sie erhalten sechs editierbare Kern-Vorlagen, die den gesamten Lieferanten-Sicherheitslebenszyklus abdecken — Richtlinie, vertragliche Klauseln, Vertraulichkeitserklärung (NDA), Lieferantenverzeichnis mit eigenem Sub-Auftragsverarbeiter-Register, Selbstbewertung und Compliance-Bewertung — jede referenziert auf Art. 21(2)(d), §30 Abs. 2 Nr. 4 NIS2UmsuCG und CIR 2024/2690, Anhang Abschnitt 5.

Jede Vorlage folgt demselben bewährten Aufbau — Zweck, Geltungsbereich, Anforderungen, Zuständigkeiten, Ausnahmen, Überwachung und Referenzen — mit vorbereiteten Tabellen und rot markierten Platzhaltern für Ihre unternehmensspezifischen Angaben. Sie füllen die roten Felder; die Struktur steht bereits.

Was Sie erhalten

Dazu erhalten Sie 2 System-Anleitungen (Masterplan, Dokument-Abhängigkeitskarte) — 8 Dateien insgesamt.

So kommen Sie von Kauf zu Audit-Nachweis

1. 1. Regeln setzen. Sie fügen die Lieferkettensicherheits-Richtlinie und die Vertragsklauseln ein, füllen die rot markierten Felder — Ihre Anforderungen sind ab sofort definiert und vertraglich bindend.
2. 2. Lieferanten bewerten. Sie versenden die Selbstbewertung an Ihre Lieferanten, bewerten die Antworten mit der Compliance-Checkliste und tragen alles im Lieferantenverzeichnis ein.
3. 3. Nachweis führen. Sie legen dem Prüfer ein dokumentiertes, bewertetes und nachverfolgtes Lieferantenprogramm vor — jeder Schritt erzeugt einen prüffähigen Nachweis für Art. 21(2)(d).

Häufige Fragen zum Lieferketten-Paket

Sind diese Vorlagen Rechtsberatung?

Nein. Diese Vorlagen sind allgemeine Muster als Ausgangspunkt für Ihre Lieferketten-Dokumentation. Sie stellen keine Rechtsberatung dar. Jedes Dokument — insbesondere die Lieferanten-Sicherheitsklauseln (Dok. 43) — muss vor dem Einsatz in Verträgen von einem qualifizierten Rechtsberater geprüft werden.

Müssen alle Lieferanten oder nur kritische Lieferanten mit Sicherheitsklauseln ausgestattet werden?

Art. 21(2)(d) NIS2 verlangt Proportionalität: Der Umfang der Anforderungen richtet sich nach dem Risiko, das ein Lieferant darstellt. Dok. 42 (Richtlinie) und Dok. 45 (Verzeichnis) enthalten eine Risikoklassifizierung, mit der Sie Lieferanten in Kategorien einteilen und die Anforderungen entsprechend abstufen können.

Gibt es eine Rückerstattung?

Es handelt sich um einen digitalen Download. Das Widerrufsrecht ist gemäß EU-Richtlinie 2011/83/EU Art. 16(m) ausgeschlossen, da digitale Inhalte nach dem Download nicht zurückgegeben werden können; Sie werden dieser Regelung an der Kasse ausdrücklich zustimmen. Stattdessen gilt die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung, schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren sie oder ergänzen ein Dokument außerhalb des Standardumfangs. Sie behalten in jedem Fall alles.

Sind Updates enthalten?

Ja. Ihr Kauf umfasst 12 Monate Updates. Entwickelt sich die Rechtslage weiter — neue BSI-Auslegungen, Änderungen am NIS2UmsuCG oder an CIR 2024/2690 —, laden Sie aktualisierte Vorlagen innerhalb dieses Zeitraums kostenlos herunter.

Kann ich die Selbstbewertung direkt an Lieferanten senden?

Ja. Sie versenden Dok. 60 (Lieferanten-Selbstbewertung) als eigenständiges Dokument direkt an Ihre Lieferanten. Es deckt Governance, Zugriffssteuerung, Vorfallmanagement, Betriebskontinuität und Datenschutz ab. Mit Dok. 61 (Compliance-Checkliste) bewerten Sie anschließend die Antworten und vergeben Risikoeinstufungen.

Gilt das Paket auch für Cloud-Dienstleister und SaaS-Anbieter?

Ja. Cloud-Dienstleister und SaaS-Anbieter gelten als Lieferanten im Sinne von Art. 21(2)(d) NIS2. Das Lieferantenverzeichnis (Dok. 45) und die Compliance-Checkliste (Dok. 61) enthalten eigene Felder für Cloud-Dienste, Datenstandorte und Zertifizierungsnachweise (z. B. ISO 27001, SOC 2).

Bringen Sie Ihr Lieferantenrisiko auf die Akte

Sie hören auf, Lieferanten mit einem selbstgebastelten Formular hinterherzulaufen. Sie bewerten jeden Lieferanten nach einem festen Standard, verankern die Anforderungen vertraglich und gehen mit einem dokumentierten Programm in die Prüfung, das genau das belegt. Das ist der Unterschied zwischen hoffen, dass Ihre Lieferanten nicht die Lücke sind — und es beweisen können.