Lieferketten-Cybersicherheit nach NIS-2 einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/lieferketten-cybersicherheit

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

NIS-2 verlangt, Cyber-Risiken bei Dienstleistern und Zulieferern mitzubetrachten. Zugänge, Vorfallmeldung und Nachweise der Partner sind typische Anforderungen. Eine interne IT-Policy, die an der Werkstür endet, deckt das nicht.

Gemeint sind die Partner, die Systeme berühren oder einen Dienst tragen: Cloud, MSP, Software, Fernwartung, teilweise auch der Logistiker mit Hallenzugang zum Rechenraum. Nicht gemeint ist die Vollabfrage jedes Materiallieferanten „auf Cyber“. Wer beides vermischt, erstickt im Bogen oder lässt den Admin-Zugang unberührt.

Typische Fragen: Wer hat welche Berechtigung? Wie schnell erreicht uns ein Vorfall beim Partner? Welche Nachweise liegen – Leitlinie, MFA, Backup, Meldeweg? Catenis führt dafür die Lieferketten-Ampel im NIS-2-Modul und die Cyber-Fragebögen in der Lieferantenakte. Zertifikate allein schließen eine rote Lücke nicht.

Die interne Policy bleibt nötig. Sie endet falsch, wenn der Dienstleister mit Domain-Admin außen vor bleibt. Vertragsklausel, Fragebogen und Maßnahme müssen denselben Partner meinen. Sonst hat Einkauf einen Kodex und IT einen VPN-Tunnel, und niemand hält beides zusammen.

Kritisch ist, wer den Dienst tragen oder das Netz betreten kann. Ein kleiner MSP mit Domain-Rechten wiegt schwerer als ein großer Materiallieferant ohne Zugang. Catenis zeigt das in der Ampel, sobald der Bogen und die Bewertung da sind. Die Priorisierung selbst bleibt Entscheidung des Betriebs.

Geltungsbereich

Für die erfasste Einrichtung gehören unmittelbare IKT- und Diensteanbieter in den Kreis. Mittelbare Stufen nur, wo das Risiko es verlangt, nicht aus Prinzip. Verhältnismäßigkeit gilt: der Buchhaltungs-SaaS mit Finanzdaten steht vor dem Büromaterialhändler.

Kunden drehen die Richtung um. Dann ist das eigene Unternehmen der Partner in fremder NIS-2-Kette. Derselbe Fragebogen, den man sendet, kommt zurück. Standard und Premium unterscheiden die Tiefe: Premium für kritische IKT, Software, SaaS.

DORA fragt im Finanzkreis ähnliche Dritte, der CRA fragt Produkt und SBOM. Catenis hat kein DORA-Modul; der Premium-Bogen holt nahe Fragen ab. Die Aufsicht über Finanz-IKT bleibt extern.

Unterauftragnehmer des MSP gehören dazu, sobald sie mitlaufen. Ein grüner Hauptvertrag mit unbekanntem Sub-Admin ist eine Lücke. Der Bogen muss das fragen oder der Vertrag muss es verbieten. Die Akte muss eine der beiden Antworten tragen.

Was zu tun ist

Die Partner listen, die Zugang oder IKT-Leistung haben: Vertrag, Dienst, Daten, wie kritisch der Ausfall wäre. Wer nur „unsere Lieferanten“ sagt, kann nicht priorisieren.

Fragebogen und Nachweise bei den Priorisierten einholen. Offene rote Punkte mit Frist und Owner. In Catenis hängt die NIS-2-Maßnahme Lieferkette an genau dieser Ampel. P3 (Lieferantensicherheit) braucht GF-Bezug, der Bogen braucht Antworten.

Meldeweg und Zugang im Vertrag oder in der Verfahrensnotiz festziehen: wie der Partner eskaliert, wie Konten sterben, wenn der Vertrag endet. Das steht selten im ISO-Zertifikat.

Wiederholen. Ein einmal grüner MSP mit neuem Unterauftragnehmer ist wieder offen. Monitoring und Frist tun die Arbeit; die einmalige Kampagne nicht.

Austritt und Vertragsende wie interne Konten behandeln: wer entzieht die Tokens, wer prüft die Reste. In Catenis den Partner auf rot oder „nicht mehr relevant“ setzen, sobald der Zugang tot sein soll. Eine grüne Ampel zu einem gekündigten MSP ist die falsche Geschichte.

Die GF-Freigabe von P3 nicht als Ersatz für offene Bögen nehmen. Die Policy sagt, dass bewertet wird. Die Ampel sagt, ob bewertet wurde. Beides muss in der Akte stehen, sonst hat die Leitung eine Richtlinie und der Einkauf eine leere Liste.

Cloud, MSP und Fernwartung zuerst, dann Software mit privilegierten Rechten, dann der Rest nach Ausfallwirkung. Diese Reihenfolge hält die Vollabfrage vom Tisch. Catenis filtert den Stamm nicht von selbst; jemand muss die kritischen Partner markieren.

Typischer Fehler

Der häufigste Fehler: die interne Firewall-Policy als Lieferkettensicherheit zu verkaufen. Der zweite: 400 Kreditoren denselben Premium-Bogen schicken und die drei MSP nicht nachfassen. Der dritte: ein Zertifikat als Ersatz für Zugangsliste und Meldeweg.

Wer den Partner nicht erreichen kann, wenn es brennt, hat die Anforderung verfehlt – unabhängig von der Ampelfarbe im ruhigen Monat.

Ein vierter Fehler: den Cyber-Bogen an die Kreditorenbuchhaltung zu hängen und IT nicht zu fragen, wer wirklich Zugang hat. Dann fehlen genau die Konten, die zählen. Ein fünfter: den Partner nach der ersten grünen Antwort nie wieder anzufassen. Lizenzen, Subunternehmer und Admin-Wege ändern sich. Wer nur den Kodex unterschreiben lässt und den Meldeweg nicht testet, hat die Kette auf Papier.

Grenze

Das Lexikon sagt nicht, welcher Dienstleister im Einzelfall kritisch ist. Das bleibt Risikoentscheidung der Einrichtung.

Catenis dokumentiert Fragebögen, Ampel und Maßnahmenstatus. Es überwacht keine fremden Netze und meldet nichts an das BSI. Einordnung, Portal und DORA-Aufsicht bleiben extern. Eine interne Policy an der Werkstür deckt Zugänge und Meldewege der Partner nicht. Zertifikate allein schließen eine rote Lücke nicht. Zugang, Vorfallmeldung und Nachweise der Partner müssen in derselben Akte stehen, mit Frist, Owner und Datum. Die Ampel ohne Nachfassung veraltet oft schon innerhalb eines einzigen Kalenderjahres ohne Review.