Was verlangt mein Kunde nach NIS2? Anforderungen an Zulieferer

Die Pflicht liegt bei Ihrem Kunden

Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und deren Einhaltung dokumentieren (§ 30 Abs. 1 BSIG). Zu den Maßnahmen, die das Gesetz mindestens verlangt, gehört die Sicherheit der Lieferkette, ausdrücklich einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern (§ 30 Abs. 2 Nr. 4 BSIG).

§ 30 BSIG nennt die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern, ohne sie näher zu bestimmen. Ob und wie Ihr Kunde Ihre Lieferbeziehung dabei berücksichtigt, legt er selbst fest. Die Einhaltung seiner Maßnahmen muss er dokumentieren; ein Fragebogen an Sie ist ein Weg dazu.

Die Geschäftsleitung Ihres Kunden muss die Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG).

Was im Gesetz steht und was nicht

Zur Lieferkette enthält § 30 BSIG nur diese Nummer. Eine Fragenliste oder Anforderungen an einzelne Zulieferer stehen dort nicht. Welche Maßnahmen verhältnismäßig sind, bemisst sich nach § 30 Abs. 1 BSIG unter anderem nach der Risikoexposition, der Größe der Einrichtung, den Umsetzungskosten sowie der Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen.

Genauer festlegen können die Anforderungen Durchführungsrechtsakte der EU-Kommission (§ 30 Abs. 3 und Abs. 4 BSIG) und eine Rechtsverordnung des Bundesministeriums des Innern (§ 30 Abs. 5 BSIG). Diese Seite gibt deren Inhalt nicht wieder.

Für Sie heißt das: Was Ihr Kunde konkret verlangt, steht in seinem Fragebogen, seinem Vertrag oder seinen Einkaufsbedingungen. Zwei Kunden können für dieselbe Leistung Unterschiedliches fragen.

Wie die Anforderungen bei Ihnen ankommen

• Fragebogen oder Selbstauskunft: Fragen zu Organisation, Zugriff, Datensicherung, Vorfällen, Endgeräten, Unterauftragnehmern und Schulung, teils mit der Bitte, Nachweise beizufügen. Wie Sie vorgehen: Lieferantenfragebogen beantworten.
• Vertragsklauseln: zum Beispiel eine Frist, in der Sie Sicherheitsvorfälle melden, die Zustimmung zu Unterauftragnehmern oder die Löschung von Daten zum Vertragsende.
• Nachweise und Audit: Ihr Kunde lässt sich Dokumente vorlegen oder kündigt eine Prüfung an. Was dazugehört: Nachweis Informationssicherheit für Kunden.

Die Antworthilfe im Lieferantenaudit-Paket (IS-AH-10 Antworthilfe für Lieferantenfragebögen) ist für diese Fälle geschrieben: Fragebögen, Selbstauskünfte, Anlagen zu Verträgen und die Vorbereitung von Kundenaudits.

Vertragsklauseln prüfen, bevor Sie zusagen

Was Sie im Vertrag oder im Fragebogen zusagen, kann Ihr Kunde später prüfen. Drei Punkte, die Sie vorher mit Ihren eigenen Regeln abgleichen:

• Meldefrist für Sicherheitsvorfälle. Die Richtlinie im Paket sieht vor, betroffene Kunden unverzüglich zu informieren, mit einer Höchstfrist als Platzhalter, sofern vertraglich keine kürzere Frist vereinbart ist (IS-RL-04 Richtlinie Umgang mit Sicherheitsvorfällen, Abschnitt 7).
• Unterauftragnehmer. Verlangt Ihr Kunde, dass Sie Unterauftragnehmer anzeigen oder seine Zustimmung einholen, müssen Sie wissen, welche Dienstleister Zugriff auf seine Daten haben. Das hält die Dienstleisterliste im Anhang der IS-RL-06 Richtlinie Lieferanten und Dienstleister fest.
• Löschung zum Vertragsende. Für die Löschung der Daten Ihres Kunden hat das Paket keine eigene Regel; Ablauf und Frist beschreiben Sie selbst (IS-AH-10 Antworthilfe für Lieferantenfragebögen, Abschnitt 7). Die Löschung von Datenträgern vor Verkauf, Rückgabe oder Entsorgung regelt IS-RL-05 Richtlinie mobiles Arbeiten und Endgeräte in Abschnitt 10, die Beendigung bei eigenen Dienstleistern IS-RL-06 Richtlinie Lieferanten und Dienstleister in Abschnitt 9.

Für die Meldefrist sagt die Antworthilfe:

Nennt der Fragebogen eine kürzere Frist als die eigene Richtlinie: vor der Antwort klären, ob die Frist eingehalten werden kann, und die Richtlinie oder die Kundenakte anpassen. Nicht ungeprüft zusagen.

Die Vorlagen ersetzen keine rechtliche Prüfung Ihrer Verträge.

Die Themen, nach denen gefragt wird

Die Antworthilfe ordnet typische Fragen sieben Themenblöcken zu. Zu jedem Block enthält das Lieferantenaudit-Paket die Leitlinie, eine Richtlinie oder einen Nachweis:

• Organisation: IS-LL-01 Informationssicherheitsleitlinie und IS-NW-08 Maßnahmenübersicht zum Vorzeigen
• Zugriff: IS-RL-02 Richtlinie Zugriffskontrolle, Passwörter und MFA
• Datensicherung: IS-RL-03 Richtlinie Datensicherung
• Sicherheitsvorfälle: IS-RL-04 Richtlinie Umgang mit Sicherheitsvorfällen und IS-NW-07 Meldewege und Notfallkontakte
• Endgeräte und mobiles Arbeiten: IS-RL-05 Richtlinie mobiles Arbeiten und Endgeräte
• Unterauftragnehmer: IS-RL-06 Richtlinie Lieferanten und Dienstleister
• Schulung: IS-NW-09 Schulungsnachweis

Typische Fragen je Block mit dem passenden Nachweis stehen auf der Seite Lieferantenfragebogen beantworten und im Ratgeber Lieferantenfragebogen Informationssicherheit.

Fällt Ihr Unternehmen selbst unter das Gesetz?

Unabhängig von Ihrem Kunden kann Ihr Unternehmen selbst eine wichtige oder besonders wichtige Einrichtung sein. Das regelt § 28 BSIG. Für Einrichtungen einer Einrichtungsart der Anlagen 1 und 2 des Gesetzes liegt die Schwelle für wichtige Einrichtungen bei mindestens 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme; daneben erfasst § 28 BSIG einige Einrichtungen unabhängig von der Größe, etwa Betreiber kritischer Anlagen und Vertrauensdiensteanbieter.

Ist das der Fall, gelten die Pflichten der §§ 30, 32, 33 und 38 BSIG für Ihr Unternehmen selbst, darunter die Registrierung und die Meldung erheblicher Sicherheitsvorfälle. Dafür ist das NIS2-Paket gebaut. Den Einstieg beschreiben die Ratgeber Registrierung beim BSI und FitNIS2-Navigator ausgefüllt: was jetzt?.

Was Sie vorbereiten

1. eine freigegebene Leitlinie mit Zielen und Verantwortung (IS-LL-01 Informationssicherheitsleitlinie),
2. Richtlinien zu den abgefragten Themen, angepasst an Ihren Betrieb: Zugriff, Datensicherung, Sicherheitsvorfälle, Endgeräte und Dienstleister (IS-RL-02 bis IS-RL-06),
3. Belege aus dem Betrieb, etwa das Protokoll des Wiederherstellungstests, ein Bildschirmfoto der Einstellung zur Mehr-Faktor-Anmeldung und den Schulungsnachweis (IS-NW-09 Schulungsnachweis),
4. eine Maßnahmenübersicht mit dem, was umgesetzt und was geplant ist (IS-NW-08 Maßnahmenübersicht zum Vorzeigen),
5. eine Ablage für beantwortete Fragebögen, damit der nächste Fragebogen auf dem Bestand aufbaut.

Das Lieferantenaudit-Paket enthält die Antworthilfe mit Formulierungsbausteinen für sieben Themenblöcke, die Informationssicherheitsleitlinie, fünf Richtlinien, die Maßnahmenübersicht in Excel, Meldewege und Notfallkontakte und den Schulungsnachweis: 10 Dokumente in Word und Excel für 490 € netto. Die Vorlagen müssen an Ihr Unternehmen angepasst werden und sind keine Rechtsberatung. Ob Ihr Kunde Ihre Antworten akzeptiert, entscheidet er; eine Zusage dafür ist mit dem Kauf nicht verbunden.