Informationssicherheits- und Datenschutzexpertin
December 16, 2025
5 Minuten
.svg)
Unter NIS2 wird ein Cybervorfall beim Drittanbieter unmittelbar zu Ihrem eigenen Compliance-Risiko.
Die 24-Stunden-Frist zur Frühwarnung beginnt, sobald Sie Kenntnis vom Lieferanten-Vorfall haben.
Ohne klare vertragliche Meldepflichten verlieren Unternehmen im Ernstfall wertvolle Reaktionszeit.
Eine vorbereitete Incident Response für die Lieferkette entscheidet über Compliance oder Haftung.
Stellen Sie sich vor, es ist Freitagabend. Ihr internes Monitoring zeigt grün, die Systeme laufen stabil. Doch plötzlich erreichen Sie keine Daten mehr aus Ihrer cloud-basierten CRM-Plattform. Eine Stunde später folgt die E-Mail des Anbieters: "Wir untersuchen derzeit einen Sicherheitsvorfall."
In der Vergangenheit war das ärgerlich, aber primär das Problem des Anbieters. Mit der Einführung der NIS2-Richtlinie ändert sich dieses Szenario grundlegend. Wenn dieser Anbieter für Ihren Geschäftsbetrieb kritisch ist, tickt ab diesem Moment nicht nur dessen Uhr, sondern auch Ihre.
Die strengen Meldepflichten der NIS2 machen keinen Halt an Ihren Unternehmensgrenzen. Sie verwandeln das Management der Lieferkette (Supply Chain) von einer reinen Einkaufsfrage in eine zentrale Compliance-Herausforderung. Doch keine Sorge: Mit der richtigen Vorbereitung lässt sich auch dieses komplexe Szenario beherrschen. In diesem Artikel erfahren Sie, wie Sie Incident Response Prozesse gestalten, die speziell auf Vorfälle bei Drittanbietern zugeschnitten sind.
Die NIS2-Richtlinie erkennt eine Realität an, die Sicherheitsexperten schon lange predigen: In einer vernetzten Welt ist ein Unternehmen nur so sicher wie das schwächste Glied in seiner Lieferkette. Ein Cyberangriff auf einen Zulieferer kann sich durch digitale Schnittstellen (APIs) oder geteilte Netzwerke blitzschnell auf Ihr Unternehmen ausbreiten oder Ihre kritischen Prozesse lahmlegen.
Im Vergleich zu NIS1 erweitert NIS2 den Fokus massiv auf die Sicherheit der Lieferkette. Der Gesetzgeber verlangt nun explizit, dass betroffene Unternehmen die Risiken, die von ihren direkten Zulieferern ausgehen, managen. Das bedeutet konkret: Incident Response Pläne müssen so erweitert werden, dass sie nahtlos greifen, auch wenn der "Tatort" gar nicht in Ihrem eigenen Rechenzentrum liegt.
Nicht jeder Schluckauf bei einem Dienstleister ist meldepflichtig. Doch die Definition eines "erheblichen Sicherheitsvorfalls" ist weit gefasst. Nach NIS2 müssen Sie aktiv werden, wenn der Vorfall beim Drittanbieter:
Sobald Sie Kenntnis von einem solchen Vorfall erlangen, startet ein strenger Zeitplan. Hier scheitern viele Unternehmen, weil sie auf Informationen des Zulieferers warten, die oft zu spät kommen.
Wie im Schaubild zu sehen ist, verzeiht der Prozess keine Verzögerungen. Die NIS2 Meldefristen sind gesetzlich verankert:
Die Herausforderung bei Drittanbietern: Wie geben Sie nach 24 Stunden eine Frühwarnung ab, wenn Ihr Lieferant selbst noch im Dunkeln tappt? Dies erfordert präzise vertragliche Vereinbarungen, auf die wir später noch eingehen.
Ein interner NIS2 Incident Response Plan unterscheidet sich signifikant von dem Prozess, der bei Drittanbietern greift. Bei internen Vorfällen haben Sie vollen Zugriff auf Logs und Systeme. Bei externen Vorfällen sind Sie oft "blind" und auf Kommunikation angewiesen.
Hier ist ein bewährter Ablauf, um die Kontrolle zu behalten:
Erhalten Sie eine Meldung (oder entdecken Sie eine Anomalie), müssen Sie sofort klären:
Anders als bei internen Vorfällen können Sie den Server des Anbieters nicht herunterfahren. Ihre Maßnahmen sind defensiver Natur:
Hier laufen die Fäden zusammen. Während die Technik die Schotten dicht macht, muss das Compliance-Team die NIS2 Meldepflicht prüfen und die Frühwarnung an das BSI absetzen. Parallel dazu muss die Kommunikation mit dem Anbieter auf Hochtouren laufen, um Informationen für das 72-Stunden-Update zu sammeln.
Das größte Risiko in der NIS2 Lieferkette ist nicht technischer, sondern juristischer Natur. Viele Altverträge sehen vor, dass Lieferanten Vorfälle erst "nach Abschluss der Untersuchung" melden müssen. Das ist unter NIS2 fatal.
Wenn Ihr Lieferant sich 48 Stunden Zeit lässt, Sie zu informieren, haben Sie Ihre eigene 24-Stunden-Frist gegenüber dem BSI bereits gerissen.
Praxis-Tipp: Überprüfen Sie Ihre Lieferantenverträge. Sie benötigen Klauseln, die Ihren Lieferanten verpflichten, Sicherheitsvorfälle unverzüglich (z.B. innerhalb von 4-8 Stunden) an Sie zu melden. Nur so bleibt Ihnen genug Zeit für Ihre eigene Prüfung und Meldung. Eine proaktive Lieferantenprüfung ist hier der Schlüssel zum Erfolg, um NIS2 Lieferanten frühzeitig auf ihre Reife hin zu bewerten.
Im Chaos eines Cyberangriffs auf die Supply Chain ist Klarheit über Verantwortlichkeiten das wichtigste Gut. Es darf keine Diskussion darüber geben, wer beim BSI anruft oder wer den Stecker zieht.
Die NIS2-Richtlinie zwingt Unternehmen dazu, ihre Scheuklappen abzulegen. Ein Cybervorfall bei einem Drittanbieter ist nicht mehr nur "deren Problem", sondern wird regulatorisch und operativ zu Ihrem eigenen.
Der Schlüssel zur Bewältigung liegt nicht darin, Incident Response Pläne komplizierter zu machen, sondern sie an die Realität vernetzter Lieferketten anzupassen. Sorgen Sie für klare Meldewege, passen Sie Ihre Verträge an und üben Sie den Ernstfall nicht nur intern, sondern beziehen Sie Szenarien mit Dienstleistern in Ihre Tabletop-Übungen ein.
Je schneller Sie im Ernstfall von "Reaktion" auf "Aktion" umschalten können, desto geringer ist der Schaden – für Ihr Unternehmen und Ihre Kunden.
Nicht direkt. Die Richtlinie verpflichtet Sie dazu, die Sicherheit Ihrer Lieferkette zu gewährleisten. Das bedeutet, Sie müssen priorisieren: Welche NIS2 Zulieferer sind kritisch für Ihren Betrieb? Ein Lieferant für Büromaterial ist weniger relevant als der Host Ihrer ERP-Software.
Unwissenheit schützt vor Strafe nicht gänzlich, kann aber strafmildernd wirken, wenn Sie nachweisen können, dass Sie alles getan haben, um die Informationsflüsse vertraglich und technisch zu sichern. Das Fehlen entsprechender Prozesse wird von Behörden jedoch streng geahndet.
Das hängt von der Auswirkung ab. Wenn durch den Angriff auf den Lieferanten auch Daten Ihrer Kunden kompromittiert wurden oder Ihre Dienstleistung ausfällt, müssen Sie die betroffenen Empfänger Ihrer Dienste unverzüglich unterrichten.
Die manuelle Überwachung von hunderten Lieferanten und deren Sicherheitsstatus ist kaum leistbar. Plattformen wie der Digital Compliance Office (DCO) helfen dabei, Lieferantenverträge zentral zu verwalten, Risiken zu mappen und im Ernstfall schnell auf die richtigen Ansprechpartner und Dokumente zuzugreifen.
Nandini Suresh ist Compliance Expert bei SECJUR und spezialisiert auf Datenschutz, Cybersecurity und geistiges Eigentum. Bevor sie zu SECJUR kam, war sie unter anderem bei Bird & Bird sowie Lorenz Seidler Gossel tätig und betreute dort internationale Mandate im Marken- und Datenschutzrecht. Durch ihre Erfahrung an der Schnittstelle von Recht, Technologie und Compliance verbindet sie juristische Präzision mit einem tiefen Verständnis für die regulatorischen Anforderungen moderner Unternehmen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Werden personenbezogene Daten eines Arbeitnehmers als betroffener Person (vgl. Art. 4 Nr. 1 DSGVO) von dem Arbeitgeber als Verantwortlichem (Art. 4 Nr. 7 DSGVO) verarbeitet, befinden wir uns in einem sehr spezifischen rechtlichen Verhältnis. In dieser Konstellation gilt der sogenannte Arbeitnehmerdatenschutz.
Mehr als Pflicht: Dieser Leitfaden zeigt, wie interne Audits nach ISO 9001 echte Verbesserungen bewirken. Von Planung über Durchführung bis zur Nachverfolgung – mit Checklisten, Praxisbeispielen und typischen Fehlern. So wird Ihr Auditprozess zum strategischen Werkzeug auf dem Weg zur erfolgreichen Zertifizierung.
Viele Unternehmen starten ein ISO 27001-Projekt und scheitern am Risikomanagement. Dieser Leitfaden zeigt, wie Sie Risiken strukturiert bewerten, passende Maßnahmen ableiten und ein auditfestes Statement of Applicability (SoA) erstellen. So wird Risikomanagement vom Pflichtprozess zum strategischen Werkzeug, das Informationswerte schützt, Ressourcen gezielt lenkt und Ihr ISMS wirklich wirksam macht.
.svg)
.svg)
.svg){kind=small}