Lieferanten-Sicherheitsfragebogen: Vorlage für NIS2 und die Lieferkette

Wesentliche und wichtige Einrichtungen müssen die Sicherheit der Lieferkette regeln, einschließlich der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern, unter Berücksichtigung ihrer Schwachstellen, der Qualität ihrer Produkte und ihrer Cybersicherheitspraxis samt sicherer Entwicklung (§ 32 Abs. 4 lit. d NISG 2026, Art. 21 Abs. 2 lit. d und Abs. 3 NIS-2-Richtlinie). Die ENISA weist darauf hin, dass NIS2 nur die direkten Anbieter der ersten Ebene erfasst.

Welche Fragen Sie stellen und wie Sie Lieferanten einstufen, ist eine Empfehlung von TOMORIS auf Grundlage der DVO und der ENISA-Hinweise. Verpflichtend sind die Inhalte von § 32 NISG 2026 und der DVO, soweit sie für Ihre Einrichtung gelten. Für die Verarbeitung personenbezogener Daten im Auftrag braucht es zusätzlich einen Vertrag oder ein anderes Rechtsinstrument nach Art. 28 Abs. 3 DSGVO.

Nicht jeder Lieferant braucht denselben Aufwand. Die ENISA nennt als Kriterien unter anderem die Sensibilität der bezogenen Produkte und Dienste, die Fähigkeit des Lieferanten, die Versorgung sicherzustellen, seine Vorgeschichte bei Sicherheitsvorfällen und die Gefahr einer Abhängigkeit (Lock-in). Daraus leitet TOMORIS drei Stufen ab:

Fragebogen von [Unternehmen] an [Lieferant], ausgefüllt von [Name, Funktion] am [Datum]. Bitte beantworten Sie jede Frage und nennen Sie einen Nachweis, etwa ein Dokument, Zertifikat oder Prüfbericht.

Grundlagen: Auswahlkriterien und Zertifizierungen, Schulung und Zuverlässigkeitsprüfung, Unterauftragnehmer (DVO Anhang Nr. 5.1.2 und 5.1.4 lit. b, c, g); Rechtsordnung, Eigentümer, Vorgeschichte bei Vorfällen und Regulierung nach NIS2 oder Cyber Resilience Act nennt die ENISA als Kriterien.

Grundlagen: Sicherheitsanforderungen, Updates über die Lebensdauer, Komponenten und Sicherheitsfunktionen beim Erwerb (DVO Anhang Nr. 6.1.2), Behebung von Schwachstellen (Nr. 5.1.4 lit. f), Fernzugriff von Diensteanbietern (Nr. 6.7.2 lit. d), Multi-Faktor-Authentifizierung, Kryptografie und Aufrechterhaltung des Betriebs (§ 32 Abs. 4 lit. j, h und c NISG 2026); Speicher- und Verarbeitungsorte als Vertragsinhalt empfiehlt die ENISA.

Grundlagen: Vorfallmeldung, Prüfrecht und Pflichten bei Vertragsende (DVO Anhang Nr. 5.1.4 lit. d, e, h); Unterstützung im Vorfall, Mitteilung wesentlicher Änderungen und Ausstieg nennt die ENISA als zusätzliche Vertragsinhalte.

1. 1

   Plausibel prüfen

   Antworten mit den Nachweisen abgleichen; Zertifikate auf Geltungsbereich und Gültigkeit prüfen. Fehlende Antworten nachfordern.

2. 2

   Risiko bewerten

   Auswahlkriterien bei Auswahl und Vergabe berücksichtigen (DVO Nr. 5.1.5); soweit angemessen vor Vertragsabschluss eine Risikoanalyse durchführen und festhalten (ENISA zu 5.1.5).

3. 3

   Lücken schließen

   Abweichungen über Vertragsklauseln, Leistungsvereinbarungen oder eigene Schutzmaßnahmen auffangen, etwa eingeschränkte Zugriffe. Ist das nicht möglich, Alternativen prüfen.

4. 4

   Entscheiden und dokumentieren

   Freigabe, Auflagen oder Ablehnung mit Begründung und Verantwortlichen festhalten; Lieferant im Verzeichnis eintragen.

5. 5

   Laufend überwachen

   Leistungsberichte verfolgen, Vorfälle mit Produkten des Lieferanten prüfen, die Notwendigkeit außerplanmäßiger Überprüfungen prüfen (DVO Anhang Nr. 5.1.7), etwa bei Vorfällen, wesentlichen Änderungen oder Vertragsverletzungen (ENISA); das Konzept laut ENISA mindestens jährlich überprüfen.

Für die Selbstdeklaration an die Cybersicherheitsbehörde sind insbesondere Informationen zur Sicherheit der Lieferketten zu übermitteln (§ 33 Abs. 1 NISG 2026). Ausgefüllte Fragebögen, Bewertungen und das Verzeichnis sind dafür eine gute Grundlage.

• a) Cybersicherheitsanforderungen an den Anbieter, einschließlich der Anforderungen beim Erwerb nach Nummer 6.1.
• b) Anforderungen an Sensibilisierung, Qualifikation und Ausbildung sowie gegebenenfalls Zertifizierungen der Mitarbeitenden des Anbieters.
• c) Anforderungen an die Zuverlässigkeitsüberprüfung der Mitarbeitenden des Anbieters.
• d) Pflicht, Sicherheitsvorfälle, die ein Risiko für Ihre Systeme darstellen, unverzüglich zu melden.
• e) Recht auf Prüfung oder auf Erhalt von Prüfberichten.
• f) Pflicht zur Behebung von Schwachstellen, die ein Risiko für Ihre Systeme darstellen.
• g) Regeln für Unteraufträge; wenn zulässig, Sicherheitsanforderungen an Unterauftragnehmer.
• h) Pflichten bei Vertragsende, etwa Rückgabe und Entsorgung erlangter Informationen.

Bei großen Anbietern, deren Verträge sich kaum verhandeln lassen, nennt die ENISA Auswege: gemeinsamer Einkauf mit ähnlichen Organisationen, Vertretung über einen Verband, Anbieter mit veröffentlichten Sicherheitszusagen oder anerkannten Zertifizierungen, Vertragsmuster öffentlicher Stellen und eine kurze Liste von Alternativen.