NIS2 für Zulieferer: Was Ihre Kunden Sie künftig fragen werden

NIS2 ist das zentrale Cybersicherheitsgesetz der EU für wesentliche und wichtige Einrichtungen, und es erreicht Zulieferer über deren Kunden. Auch wenn Ihr Unternehmen selbst nicht unter die Richtlinie fällt, muss ein Kunde, der darunter fällt, die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ steuern. So steht es in Artikel 21 Absatz 2 Buchstabe d der Richtlinie (EU) 2022/2555.

In der Praxis bedeutet das Fragebögen, neue Vertragsklauseln, Anfragen nach Nachweisen und manchmal ein Auditrecht. Das betrifft auch Unternehmen außerhalb der EU, etwa aus den USA, wenn sie Software, Hosting, IT oder andere Dienste an EU-Kunden liefern, die unter NIS2 fallen.

Dieser Artikel fasst zusammen, was die Richtlinie und ihre Durchführungsvorschriften tatsächlich über Zulieferer sagen und wie Sie Antworten vorbereiten, die einer Prüfung standhalten.

Die wichtigsten Daten und Artikel

• Die Richtlinie wurde am 14. Dezember 2022 verabschiedet. Die Mitgliedstaaten mussten ihre nationalen Gesetze bis zum 17. Oktober 2024 erlassen und ab dem 18. Oktober 2024 anwenden (Artikel 41).
• Artikel 20 verpflichtet die Leitungsorgane der betroffenen Einrichtungen, die Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu billigen und ihre Umsetzung zu überwachen.
• Artikel 21 Absatz 2 nennt mindestens 10 Bereiche von Maßnahmen, von Risikoanalyse und Bewältigung von Sicherheitsvorfällen über die Sicherheit der Lieferkette bis zum Umgang mit Schwachstellen und zur Multi-Faktor-Authentifizierung.
• Artikel 21 Absatz 3 verlangt, dass Einrichtungen bei der Wahl der Maßnahmen für die Lieferkette die spezifischen Schwachstellen jedes unmittelbaren Anbieters und Diensteanbieters sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter berücksichtigen.
• Artikel 23 Absatz 4 legt die Meldestufen für die betroffene Einrichtung fest: eine Frühwarnung innerhalb von 24 Stunden, nachdem sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangt hat, eine Meldung des Vorfalls innerhalb von 72 Stunden und einen Abschlussbericht spätestens 1 Monat nach der Meldung.

NIS2 ist eine Richtlinie, die verbindlichen Pflichten ergeben sich also aus dem nationalen Recht des jeweiligen Landes. Die Details unterscheiden sich. Welches Gesetz für Ihren Kunden gilt, sagt Ihnen dessen Rechtsabteilung.

Was die Durchführungsverordnung ergänzt

Für bestimmte digitale Anbieter (darunter Anbieter von Cloud-Computing-Diensten, Rechenzentren, verwalteten Diensten und verwalteten Sicherheitsdiensten) hat die Kommission in der Durchführungsverordnung (EU) 2024/2690 detaillierte Anforderungen festgelegt. Ihr Anhang, Nummer 5.1, beschreibt am deutlichsten, was Kunden von Zulieferern verlangen werden. Betroffene Einrichtungen müssen Kriterien für die Auswahl von Lieferanten festlegen, darunter deren Cybersicherheitspraxis und sichere Entwicklungsverfahren, und ihre Verträge sollten, soweit angemessen, Folgendes regeln:

• Cybersicherheitsanforderungen an den Lieferanten,
• Schulungen und, soweit angemessen, Zertifizierungen des Personals des Lieferanten,
• Hintergrundprüfungen des Personals,
• eine Pflicht, den Kunden unverzüglich über Sicherheitsvorfälle zu informieren,
• das Recht auf Audits oder auf den Erhalt von Auditberichten,
• eine Pflicht, Schwachstellen zu behandeln, die ein Risiko für den Kunden darstellen,
• Regeln für die Vergabe von Unteraufträgen,
• Pflichten bei Vertragsende, etwa die Rückgabe und Löschung von Daten.

Auch Kunden außerhalb des Anwendungsbereichs dieser Verordnung nutzen sie oft als Vorlage, weil sie Artikel 21 in eine konkrete Liste übersetzt.

Was Ihre Kunden Ihnen tatsächlich schicken werden

Rechnen Sie mit einer Mischung aus Folgendem:

1. Ein Sicherheitsfragebogen zu Zugriffskontrolle, Multi-Faktor-Authentifizierung, Backups, Verschlüsselung, Umgang mit Schwachstellen und Reaktion auf Sicherheitsvorfälle.
2. Vertragsergänzungen mit Meldefristen für Sicherheitsvorfälle, die kurz genug sind, damit der Kunde seine eigene Frühwarnung innerhalb von 24 Stunden einhalten kann.
3. Anfragen nach Nachweisen: Richtlinien, Auditberichte, Zertifikate wie ISO/IEC 27001 oder ein SOC-2-Bericht und Testergebnisse.
4. Fragen zu Ihren Subunternehmern, besonders zu Hosting und Support.
5. Laufende Überwachung: Nummer 5.1.6 des Anhangs verlangt, dass Einrichtungen Änderungen der Cybersicherheitspraxis ihrer Lieferanten in geplanten Abständen überwachen. Rechnen Sie also mit wiederholten Fragen.

Antworten vorbereiten, die sich überprüfen lassen

Fragebögen lassen sich leicht optimistisch ausfüllen. Immer häufiger prüfen Kunden die Teile, die von außen sichtbar sind. Bevor Sie antworten, stellen Sie sicher, dass die Außenansicht Ihres Unternehmens zu dem passt, was Sie schreiben:

• E-Mail-Authentifizierung. Wenn Sie starke E-Mail-Sicherheit angeben, sollte Ihr DMARC-Eintrag auf Durchsetzung stehen:

dig +short TXT _dmarc.yourcompany.com
"v=DMARC1; p=reject; rua=mailto:dmarc@yourcompany.com"

• TLS und Zertifikate. Gültige Zertifikate auf jedem erreichbaren Hostnamen, keines abgelaufen, keines auf vergessenen Hosts.
• Exponierte Dienste. Kein Remote Desktop, keine Datenbank und keine Admin-Oberflächen, die aus dem Internet erreichbar sind.
• Website-Hygiene. Sicherheitsheader vorhanden, keine offen erreichbaren .env-, .git- oder Backup-Dateien (siehe offen erreichbare .env-, .git- und Backup-Dateien).
• Vergessene Systeme. Keine verlassenen Staging- oder Testserver unter Ihrer Domain (siehe vergessene Staging- und Testserver).

Eine saubere Außenansicht beweist noch kein ausgereiftes Sicherheitsprogramm, aber eine schwache widerlegt einen guten Fragebogen sehr schnell.

Checkliste zur Vorbereitung

• Benennen Sie eine verantwortliche Person für Sicherheitsfragebögen von Kunden und pflegen Sie einen wiederverwendbaren Antwortsatz.
• Schreiben Sie ein Verfahren zur Meldung von Sicherheitsvorfällen mit Ansprechpartner und einer Frist, die Sie tatsächlich einhalten können.
• Führen Sie eine aktuelle Liste Ihrer eigenen Subunternehmer und der Daten, die sie verarbeiten.
• Dokumentieren Sie, wie Sie mit Schwachstellen umgehen, von der Meldung bis zur Behebung.
• Sammeln Sie Nachweise an einem Ort: Richtlinien, Auditberichte, Zertifikate, Zusammenfassungen von Tests.
• Prüfen Sie Ihre externe Angriffsfläche regelmäßig und beheben Sie, was ein Kunde sehen würde.
• Prüfen Sie erneut vor jeder Vertragsverlängerung.

Wo Datahorses ins Spiel kommt

Datahorses überwacht Ihr Unternehmen jeden Tag von außen: Domains, DNS, Zertifikate, E-Mail-Authentifizierung, Websites und exponierte Dienste. Funde kommen mit genauen Schritten zur Behebung und bleiben als Nachweis erhalten, auf den Sie verweisen können, wenn ein Kunde fragt, wie Sie Ihre eigene Angriffsfläche im Blick behalten. Wir greifen nicht auf Ihre Systeme zu und benötigen keinen Zugang. Sehen Sie sich an, was wir überwachen oder wie die Zusammenarbeit funktioniert.