NIS2 Lieferketten-Paket

Beschreibung

Sie bringen jede Lieferantenbeziehung auf ein dokumentiertes Fundament — Sicherheitsrichtlinie, vertragliche Klauseln, Vertraulichkeitserklärung und ein strukturiertes Lieferantenverzeichnis — und dokumentieren Ihre Lieferkettensicherheit nach § 30 Abs. 2 Nr. 4 BSIG (Art. 21 Abs. 2 lit. d NIS2) nachvollziehbar, statt Lieferanten mit einem selbstgebastelten Fragebogen hinterherzulaufen.

Ihre Lieferanten sind die Lücke, die Sie nicht belegen können

Ihr eigenes Haus ist in Ordnung — das wissen Sie. Was Ihnen keine Ruhe lässt, ist der Teil, den Sie nicht kontrollieren: Ihre Lieferanten. Art. 21 Abs. 2 lit. d NIS2 nennt als Mindestmaßnahme die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“. In Deutschland setzt § 30 Abs. 2 Nr. 4 BSIG das um: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Verpflichtet ist dabei die besonders wichtige oder wichtige Einrichtung selbst — nicht der Lieferant. Für die in § 30 Abs. 3 BSIG genannten Einrichtungsarten (u. a. Cloud-, Rechenzentrums- und Managed-Service-Anbieter) konkretisiert CIR 2024/2690, Anhang Nr. 5, die Anforderungen verbindlich: ein Konzept für die Sicherheit der Lieferkette, Auswahlkriterien für Anbieter, Mindestinhalte für Verträge, die die Überwachung der Anbieter und ein Verzeichnis#220;berwachung der Anbieter und ein Verzeichnis der direkten Anbieter und Diensteanbieter. Für alle anderen Einrichtungen ist sie eine nützliche Orientierung.

Also fangen Sie an, hinterherzulaufen. Sie verschicken einen selbst zusammengestellten Fragebogen, sammeln Antworten in verstreuten E-Mails, und im Hinterkopf bleibt die Sorge, dass genau der eine ungeprüfte Lieferant — das Drittanbieter-Risiko, das Sie nie formal bewertet haben — bei einer Überprüfung durch das BSI zum Aufhänger wird. Denn hier geht es nicht um ein Ja/Nein-Häkchen. Einrichtungen müssen die Einhaltung ihrer Maßnahmen dokumentieren (§ 30 Abs. 1 Satz 3 BSIG), und wer Nachweise vorlegen soll, braucht ein dokumentiertes Programm: welche Lieferanten Sie identifiziert haben, was Sie von ihnen verlangt haben, ob diese Anforderungen vertraglich bindend sind, und wie Sie das laufend bewerten und nachverfolgen. Managen Sie das informell, können Sie nichts davon belegen — egal wie gut Ihre interne Sicherheit sonst aufgestellt ist.

Sie sollten kein Lieferanten-Sicherheitsprogramm bei null erfinden müssen, und Sie sollten nicht die persönliche Sorge tragen, dass die Lücke eines anderen zu Ihrem Prüfbefund wird. Der Gegner hier sind nicht Sie. Es ist der Lieferant, den Sie nie formal bewertet haben — und genau dieses Paket bringt dieses Risiko auf die Akte.

Den kompletten Lieferanten-Lebenszyklus — schon vorformuliert

Wir kennen dieses Gefühl: zu wissen, dass die Richtlinie ein Lieferantenprogramm verlangt, aber nichts Strukturiertes zu haben, auf dem man aufbauen kann. Deshalb beginnen Sie nicht bei null. Sie erhalten sechs editierbare Kern-Vorlagen, die den Lieferanten-Sicherheitslebenszyklus von der Auswahl bis zum Vertragsende abbilden — Richtlinie, vertragliche Klauseln, Vertraulichkeitserklärung (NDA), Lieferantenverzeichnis mit eigenem Unterauftragsverarbeiter-Register, Selbstbewertungsbogen und Checkliste für Lieferantennachweise — jeweils mit Verweis auf Art. 21 Abs. 2 lit. d NIS2 und die deutsche Umsetzung.

Die Word-Vorlagen sind einheitlich aufgebaut — Deckblatt mit Versionshistorie, Zweck und Rechtsrahmen, Verantwortlichkeiten bzw. Bewertungsschema und verwandte Dokumente — mit vorbereiteten Tabellen und rot markierten Platzhaltern für Ihre unternehmensspezifischen Angaben. Sie füllen die roten Felder; die Struktur steht bereits.

Was Sie erhalten

Dazu erhalten Sie 2 System-Anleitungen (Masterplan, Dokument-Abhängigkeitskarte) — 8 Dateien insgesamt.

So kommen Sie vom Kauf zur dokumentierten Lieferkettensicherheit

1. 1. Regeln setzen. Sie passen die Richtlinie zur Lieferantensicherheit und die Vertragsklauseln an, füllen die rot markierten Felder — Ihre Anforderungen sind definiert und können in neue Verträge und Vertragsverlängerungen aufgenommen werden.
2. 2. Lieferanten bewerten. Sie versenden die Selbstbewertung an Ihre Lieferanten, prüfen die Nachweise mit der Checkliste für Lieferantennachweise und tragen alles im Lieferantenverzeichnis ein.
3. 3. Nachweis führen. Sie dokumentieren ein bewertetes und nachverfolgtes Lieferantenprogramm, wie es § 30 Abs. 1 Satz 3 BSIG verlangt — und haben die Unterlagen griffbereit, falls das BSI Nachweise anfordert.

Häufige Fragen zum Lieferketten-Paket

Sind diese Vorlagen Rechtsberatung?

Nein. Diese Vorlagen sind allgemeine Muster als Ausgangspunkt für Ihre Lieferketten-Dokumentation. Sie stellen keine Rechtsberatung dar. Jedes Dokument — insbesondere die Lieferanten-Sicherheitsklauseln (Dok. 43) — muss vor dem Einsatz in Verträgen von einem qualifizierten Rechtsberater geprüft werden.

Müssen alle Lieferanten oder nur kritische Lieferanten mit Sicherheitsklauseln ausgestattet werden?

§ 30 Abs. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen; maßgeblich sind u. a. die Risikoexposition und die Größe der Einrichtung. Art. 21 Abs. 3 NIS2 verlangt zudem, die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter zu berücksichtigen. Der Umfang der Anforderungen kann sich also nach dem Risiko richten, das ein Lieferant darstellt. Dok. 42 (Richtlinie) und Dok. 45 (Verzeichnis) enthalten eine Risikoklassifizierung, mit der Sie Lieferanten in Kategorien einteilen und die Anforderungen entsprechend abstufen können.

Gibt es eine Rückerstattung?

Es handelt sich um einen digitalen Download. Das Widerrufsrecht ist gemäß EU-Richtlinie 2011/83/EU Art. 16(m) ausgeschlossen, da digitale Inhalte nach dem Download nicht zurückgegeben werden können; Sie werden dieser Regelung an der Kasse ausdrücklich zustimmen. Stattdessen gilt die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung, schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren sie oder ergänzen ein Dokument außerhalb des Standardumfangs. Sie behalten in jedem Fall alles. Eine rechtliche Prüfung Ihres Einzelfalls ist nicht enthalten.

Sind Updates enthalten?

Ja. Ihr Kauf umfasst 12 Monate Updates. Entwickelt sich die Rechtslage weiter — neue BSI-Auslegungen, Änderungen am BSIG oder an CIR 2024/2690 —, laden Sie aktualisierte Vorlagen innerhalb dieses Zeitraums kostenlos herunter.

Kann ich die Selbstbewertung direkt an Lieferanten senden?

Ja. Sie versenden Dok. 60 (Lieferanten-Selbstbewertung) als eigenständiges Dokument direkt an Ihre Lieferanten. Es deckt allgemeine Informationssicherheit, Vorfallmanagement und Betriebskontinuität sowie Lieferkette und Zertifizierungen ab. Mit Dok. 61 (Checkliste für Lieferantennachweise) prüfen Sie anschließend die Nachweise und halten das Ergebnis fest: Freigabe, Freigabe mit Auflagen oder Ablehnung.

Gilt das Paket auch für Cloud-Dienstleister und SaaS-Anbieter?

Ja. Cloud-Dienstleister und SaaS-Anbieter zählen in der Regel zu den unmittelbaren Diensteanbietern im Sinne von Art. 21 Abs. 2 lit. d NIS2 bzw. § 30 Abs. 2 Nr. 4 BSIG. Das Lieferantenverzeichnis (Dok. 45) enthält Spalten für Datenspeicherort, ISO-27001-Zertifizierung und SOC 2 Typ II; die Checkliste für Lieferantennachweise (Dok. 61) prüft Zertifikate wie ISO 27001 oder BSI C5 mit Geltungsbereich und Ablaufdatum.

Bringen Sie Ihr Lieferantenrisiko auf die Akte

Sie hören auf, Lieferanten mit einem selbstgebastelten Formular hinterherzulaufen. Sie bewerten jeden Lieferanten nach einem festen Standard, verankern die Anforderungen vertraglich und haben ein dokumentiertes Programm, das Sie vorlegen können, wenn Nachweise verlangt werden. Das ist der Unterschied zwischen hoffen, dass Ihre Lieferanten nicht die Lücke sind — und es belegen können.