Sicherheit kennt keine Unternehmensgrenzen

In einer stark vernetzten digitalen Welt haben die physischen und technologischen Grenzen eines Unternehmens zunehmend an Bedeutung verloren. 

Cybersicherheit kann sich daher nicht mehr ausschließlich auf die eigenen Unternehmensgrenzen beschränken: Eine der wichtigsten und strategisch relevantesten Neuerungen der NIS2-Richtlinie ist die Ausweitung des Cyberrisikomanagements auf die gesamte Lieferkette.

Die eigene Infrastruktur und die internen Prozesse umfassend abzusichern, reicht heute nicht mehr aus. Lieferanten, Partner und externe Dienstleister sind zu einer direkten Erweiterung der eigenen Geschäftstätigkeit geworden – und damit zugleich zu potenziellen Einfallstoren für Cyberbedrohungen.

In den vergangenen Jahren haben sich die Angriffsmethoden von Cyberkriminellen grundlegend verändert: Häufig versuchen Angreifer nicht, die zentralen Schutzmechanismen eines Unternehmens direkt zu überwinden. 

Stattdessen suchen sie gezielt nach dem schwächsten Glied der Kette – etwa einem Softwareanbieter, einem externen IT-Dienstleister oder einem Servicepartner mit weniger ausgereiften Sicherheitsmaßnahmen –, um auf diesem Weg in die eigentlichen Zielsysteme einzudringen. Vor diesem Hintergrund wird die Sicherheit der Supply Chain zu einem zentralen Thema der Unternehmensführung.

Was NIS2 tatsächlich fordert: Artikel 21

Mit Artikel 21 verpflichtet die NIS2-Richtlinie Unternehmen dazu, die Lieferkette in ihre Strategie zum Risikomanagement einzubeziehen.

Wie auch in den aktuellen FAQ der italienischen Agentur für Cybersicherheit (Agenzia per la Cybersicurezza Nazionale – ACN) hervorgehoben wird, bedeutet dies jedoch nicht, dass automatisch für sämtliche Lieferanten unterschiedslos dieselben Sicherheitsanforderungen gelten müssen.

Ziel ist nicht, die Supply Chain mit zusätzlicher Bürokratie zu belasten, sondern einen dokumentierten, risikobasierten und verhältnismäßigen Ansatz zu entwickeln:

• Vorläufige Folgenabschätzung: Zunächst ist zu prüfen, ob die jeweilige Lieferung oder Dienstleistung tatsächlich Auswirkungen auf die Informationssicherheit hat.

• Maßgeschneiderte Anforderungen: Die Sicherheitsanforderungen sind an das tatsächliche Risikoniveau anzupassen. Dabei sollten unter anderem die Art des Datenzugriffs, der Zugang zu Systemen und entsprechenden Anmeldedaten, die Auswirkungen eines möglichen Ausfalls sowie die Rolle des jeweiligen Lieferanten berücksichtigt werden.

• Gezielte Abgrenzung bei komplexen Verträgen: Bei Bietergemeinschaften bzw. temporären Unternehmenszusammenschlüssen (RTI), zeitlich begrenzten Kooperationen oder gemischten Verträgen sollten die Anforderungen ausschließlich jene Leistungsbereiche und Beteiligten betreffen, die tatsächlich sicherheitsrelevant sind.

Von der Schwachstelle zum Wettbewerbsvorteil durch Vertrauen

NIS2 steht für einen grundlegenden kulturellen Paradigmenwechsel: Cybersicherheit ist eine gemeinsame Verantwortung, muss jedoch mit strategischem Weitblick gesteuert werden.

Anstatt die Supply Chain als einheitlichen Block zu betrachten, ermöglicht ein gezieltes und risikobasiertes Bewertungsmodell den Schutz wesentlicher Dienste, ohne die Zusammenarbeit mit Geschäftspartnern unnötig zu erschweren. Auf diese Weise entwickelt sich das Lieferantenmanagement von einer potenziellen Schwachstelle zu einem echten Erfolgsfaktor für Vertrauen, Reputation und Wettbewerbsfähigkeit.