NIS2 Lieferkettensicherheit ist ein wichtiges Thema für IT-Verantwortliche, Geschäftsführung und technische Teams. Dieser ausführliche GORTNET-Fachbeitrag erklärt die Hintergründe, konkrete Maßnahmen, typische Fehlentscheidungen und einen umsetzbaren Weg für mittelständische Unternehmen.
Stand: 21. Oktober 2026 · GORTNET Fachredaktion
Warum die Lieferkette Teil der Sicherheitsstrategie ist
Ein Unternehmen kann seine eigenen Systeme konsequent absichern und trotzdem über einen kompromittierten Dienstleister angegriffen werden. Externe Fernwartung, Cloud-Dienste, Hosting, Entwicklungsbibliotheken und ausgelagerte Administration schaffen Abhängigkeiten. NIS2 rückt die Sicherheit der Lieferkette und die Beziehungen zu unmittelbaren Anbietern ausdrücklich in den Fokus der Risikomanagementmaßnahmen. Welche gesetzlichen Pflichten für Ihr Unternehmen tatsächlich gelten, hängt von Sektor, Größe, Rolle und nationaler Umsetzung ab.
Eine Lieferantenliste aus der Buchhaltung genügt nicht. Die IT benötigt ein Inventar, das für jeden Partner Zugriffsmöglichkeiten, verarbeitete Informationen, geschäftskritische Prozesse, technische Verbindungen und Ansprechpartner ausweist.
IT-Dienstleister nach tatsächlicher Kritikalität priorisieren
Bewerten Sie externe Anbieter anhand ihres möglichen Schadenspotenzials und nicht nur anhand des Einkaufsvolumens. Ein kleiner externer Administrator mit Domänenrechten kann kritischer sein als ein großer Lieferant ohne Zugriff auf Produktionsdaten. Ein praxisnahes Scoring berücksichtigt privilegierte Zugänge, Verfügbarkeit kritischer Anwendungen, Datenklassifikation, Austauschbarkeit und die Zeit bis zur Wiederherstellung.
Vergeben Sie mindestens drei Risikoklassen. Für besonders kritische Partner sollten ein dokumentierter Notfallkontakt, ein aktueller Dienstleistungsvertrag, ein Sicherheitsnachweis und nachvollziehbare Exit-Schritte vorliegen. Die Bewertung muss bei neuen Zugriffsrechten und wesentlichen Änderungen erneut durchgeführt werden.
Welche Nachweise wirklich aussagekräftig sind
ISO-27001-Zertifikate, SOC-Berichte und Fragebögen geben Hinweise, ersetzen aber keine technische Prüfung einer konkreten Dienstleistung. Prüfen Sie Geltungsbereich, aktuelle Version, wesentliche Ausschlüsse und die tatsächlichen Kontrollmaßnahmen. Ein formal zertifizierter Anbieter kann beispielsweise ungesicherte kundenspezifische Fernwartungszugänge betreiben.
Verlangen Sie nachvollziehbare Aussagen zu Multi-Faktor-Authentifizierung, Patch-Fenstern, Sicherheitsvorfällen, Unterauftragnehmern, Protokollierung und Datensicherung. Fragen Sie bei Abweichungen nach einem Termin und einer verantwortlichen Person statt nach allgemein gehaltenen Sicherheitsversprechen.
Vertragsklauseln mit Betriebsprozessen verbinden
Sicherheitsanhänge sollten Anforderungen an Zugriffsrechte, Benachrichtigung bei relevanten Sicherheitsvorfällen, Mitwirkung bei Untersuchungen, Wiederherstellung, Unterauftragnehmer und Löschung beziehungsweise Rückgabe von Daten festlegen. Technische Verantwortung und vertragliche Verantwortung müssen zusammenpassen.
Vermeiden Sie Fristen, die niemand organisatorisch abdecken kann. Legen Sie fest, wer externe Meldungen entgegennimmt, wie kritische Tickets eskaliert werden und wie das Unternehmen nach dem Ende einer Zusammenarbeit alle Konten, Zertifikate, Schlüssel und VPN-Verbindungen deaktiviert.
Drittzugriffe technisch begrenzen
Dienstleister sollten möglichst keine dauerhaft offenen administrativen Zugänge besitzen. Nutzen Sie personenbezogene Identitäten, zeitlich begrenzte Rechte, getrennte Administrationskonten und eine starke Authentifizierung. Für besonders sensible Systeme sind Privileged Access Management, Jump Hosts und aufgezeichnete Sitzungen sinnvoll.
Prüfen Sie regelmäßig, welche Servicekonten, API-Schlüssel, OAuth-Freigaben und Firewall-Regeln zu externen Partnern gehören. Gerade vergessene Integrationen bleiben nach Vertragsende oft unbemerkt bestehen.
Vier-Wochen-Programm für den Mittelstand
In Woche eins identifizieren Fachabteilungen und IT gemeinsam kritische Dienstleister. In Woche zwei erfassen Sie Risiken und technische Verbindungen. In Woche drei werden Nachweise und bestehende Verträge geprüft. Woche vier dient Maßnahmenplan, Verantwortlichkeiten und ersten technischen Verbesserungen.
Wählen Sie zunächst die zehn kritischsten Anbieter. Ein nachvollziehbares Risikoregister mit konkreten Maßnahmen ist in der Praxis wirksamer als ein perfekter Fragebogen, dessen Antworten niemand auswertet.
FAQ zur NIS2 Lieferkettensicherheit
Müssen alle Lieferanten gleich intensiv geprüft werden? Nein, die Tiefe sollte sich am Risiko orientieren. Ist ein Zertifikat ausreichend? Nein, kritische technische Verbindungen und vertragliche Meldewege brauchen eine eigene Betrachtung. Betrifft NIS2 auch kleine Dienstleister? Auch wenn ein Dienstleister nicht selbst unmittelbar in den gesetzlichen Anwendungsbereich fällt, können Kunden vertragliche Anforderungen an ihn stellen.
Fazit: NIS2 Lieferkettensicherheit wird handhabbar, wenn Einkauf, IT, Datenschutz und Geschäftsführung denselben Risikoüberblick nutzen. GORTNET unterstützt mit IT-Inventarisierung und Cybersecurity-Konzepten.
NIS2 Lieferkettensicherheit: typische Fehler beim Audit
Ein häufiges Problem sind lange Fragebögen ohne risikobezogene Auswertung. Nicht jede Dienstleistung verdient dieselbe Prüftiefe. Ein SaaS-Anbieter mit vertraulichen Kundendaten benötigt eine andere Betrachtung als der Lieferant von Büromaterial. Ein zweiter Fehler sind pauschale Sicherheitsklauseln, die keinen technischen Nachweis verlangen. Unternehmen sollten die zugesagten Kontrollen in regelmäßigen Betriebsmeetings verifizieren und wesentliche Abweichungen dokumentieren.
Messpunkte für die Lieferantensteuerung
Ermitteln Sie vierteljährlich den Anteil kritischer Lieferanten mit benanntem Sicherheitskontakt, den Anteil externer Konten mit MFA, die Zahl ungeklärter Sicherheitsabweichungen und die durchschnittliche Dauer der Kontenentfernung nach Vertragsende. Ergänzen Sie eine Kennzahl für erfolgreiche Notfallkommunikation: Kann der Anbieter innerhalb der vereinbarten Zeit eine verantwortliche Person erreichen? Ein kurzer praktischer Test offenbart mehr als eine Kontaktliste aus dem Vorjahr.
Entscheidungshilfe für die Geschäftsführung
Fassen Sie für jeden kritischen Partner drei Informationen zusammen: geschäftliche Auswirkung eines Ausfalls, verbleibendes Restrisiko und die wichtigste finanzierbare Maßnahme. So lässt sich über Investitionen und Ersatzanbieter entscheiden, ohne technische Details zu übersehen. Halten Sie fest, wer Restrisiken akzeptiert und bis wann Verbesserungen überprüft werden. Diese einfache Governance verhindert, dass Lieferantenrisiken ausschließlich zwischen Einkauf und IT hin- und hergeschoben werden.
Weiterführende Informationen und Beratung
Passende GORTNET-Leistungen: Technische Umsetzung sowie Weitere IT-Beratung. Nutzen Sie eine strukturierte Bestandsaufnahme, bevor Sie technische und organisatorische Maßnahmen priorisieren. Kontakt zu GORTNET aufnehmen.
Quellen: Fachquelle 1 · Fachquelle 2. Externe Quellen dienen der Orientierung; produktspezifische Vorgaben sind anhand der aktuellen Herstellerunterlagen zu prüfen.