NIS2: Lieferkettensicherheit durch automatisierte Risikobewertung
NIS2: Lieferkettensicherheit durch automatisierte Risikobewertung
Amin Abbaszadeh
Informationssicherheitsexperte
November 19, 2025
5 Minuten
Amin Abbaszadeh ist Informationssicherheitsexperte bei SECJUR und unterstützt Unternehmen dabei, Informationssicherheits- und Compliance-Standards wie ISO 27001 effektiv umzusetzen. Zuvor war er als Senior Consultant Cybersecurity bei NTT DATA tätig, wo er Projekte im Bereich IT-Compliance und ISMS verantwortete. Durch seine interdisziplinäre Erfahrung in Technik, Beratung und Management verbindet Amin strategisches Denken mit praxisnaher Umsetzung – immer mit dem Ziel, nachhaltige Sicherheits- und Compliance-Strukturen zu schaffen.
Key Takeaways
NIS2 verpflichtet Unternehmen dazu, die Cyberrisiken ihrer Lieferanten systematisch zu bewerten und aktiv zu managen.
Automatisierte Plattformen ersetzen fehleranfällige Excel-Prozesse und ermöglichen ein skalierbares, revisionssicheres Risikomanagement.
Die Risiken in der Lieferkette betreffen nicht nur direkte, sondern auch indirekte Zulieferer und wirken sich unmittelbar auf Ihre Compliance aus.
Ein transparentes und strukturiertes Drittanbieter-Risikomanagement stärkt Ihre Resilienz und verschafft Ihnen einen echten Wettbewerbsvorteil.
Stellen Sie sich vor, ein kleiner, aber kritischer IT-Dienstleister in Ihrer Lieferkette wird Opfer eines Ransomware-Angriffs. Seine Systeme stehen still – und plötzlich auch Ihre Produktion. Was früher "nur" ein Betriebsproblem war, ist unter der NIS2-Richtlinie zu einem Compliance-Albtraum geworden. Denn jetzt sind Sie nicht mehr nur Opfer der Umstände, sondern potenziell mitverantwortlich für die Sicherheitslücken Ihres Lieferanten.
Diese neue Realität macht die Sicherheit der Lieferkette von einer Best Practice zu einer gesetzlichen Pflicht. Doch wie soll man Dutzende oder gar Hunderte von Lieferanten systematisch bewerten, überwachen und managen, ohne ein ganzes Team dafür abzustellen? Die Antwort liegt nicht in endlosen Excel-Listen, sondern in intelligenter Automatisierung.
Dieser Leitfaden ist Ihr Einstiegspunkt. Wir übersetzen die komplexen Anforderungen in verständliche Konzepte und zeigen Ihnen einen klaren, modernen Weg, wie Sie das Drittanbieter-Risikomanagement effizient und nachweisbar meistern.
Was bedeutet NIS2-Lieferkettensicherheit überhaupt?
Im Kern verlangt die NIS2-Richtlinie, dass betroffene Unternehmen die Cybersicherheitsrisiken, die von ihren direkten Lieferanten und Dienstleistern ausgehen, aktiv managen. Es reicht nicht mehr aus, nur das eigene Haus abzusichern. Sie müssen nachweisen können, dass Sie die Sicherheitspraktiken Ihrer Partner bewerten und Maßnahmen ergreifen, um Risiken zu minimieren.
Das entscheidende Konzept hierbei ist die "Vererbung" von Anforderungen. Ein von NIS2 direkt betroffenes Unternehmen (z. B. ein Energieversorger) muss seine Lieferanten (z. B. einen Softwareanbieter) auf die Einhaltung von Sicherheitsstandards überprüfen. Dieser Softwareanbieter wiederum wird diese Anforderungen an seine eigenen Zulieferer (z. B. einen Cloud-Hoster) weitergeben müssen, um im Geschäft zu bleiben.
So entsteht eine Kaskade, die weit über die ursprünglich definierten Sektoren hinausreicht und unzählige kleine und mittlere Unternehmen (KMU) betrifft.
Wer ist direkt und indirekt betroffen?
Direkt betroffene Unternehmen: Organisationen, die unter die "wesentlichen" oder "wichtigen" Einrichtungen der NIS2-Anforderungen fallen. Sie sind gesetzlich verpflichtet, ein Risikomanagement für ihre Lieferkette aufzubauen.
Indirekt betroffene Unternehmen: Jeder Lieferant oder Dienstleister eines direkt betroffenen Unternehmens. Auch wenn Sie nicht direkt unter die NIS2-Gesetzgebung fallen, werden Ihre Kunden von Ihnen Nachweise über Ihre Cybersicherheitsmaßnahmen verlangen. Ohne diese Nachweise riskieren Sie, wichtige Aufträge zu verlieren. Für viele KMU ist NIS2 daher ein entscheidender Wettbewerbsfaktor.
Die Kernanforderungen an die Lieferkette einfach erklärt
Artikel 21 der NIS2-Richtlinie umreißt die Pflichten. Anstatt juristisches Fachchinesisch zu wälzen, fassen wir zusammen, was das in der Praxis bedeutet:
Risiken identifizieren: Sie müssen die spezifischen Risiken bewerten, die von jedem einzelnen Lieferanten ausgehen. Ein Cloud-Provider mit Zugriff auf Ihre Kundendaten stellt ein anderes Risiko dar als der Lieferant für Büromaterial.
Sicherheitsmaßnahmen bewerten: Sie müssen die Qualität der Cybersicherheitsmaßnahmen Ihrer Lieferanten beurteilen. Verwendet Ihr IT-Dienstleister eine Multi-Faktor-Authentifizierung? Führt er regelmäßige Penetrationstests durch?
Vertragliche Absicherung: Sicherheitsanforderungen müssen Teil Ihrer Verträge werden. Darin legen Sie fest, welche Standards der Lieferant erfüllen muss und was im Falle eines Sicherheitsvorfalls passiert.
Due Diligence bei der Auswahl: Schon bei der Auswahl neuer Partner müssen Sie deren Cybersicherheitspraktiken berücksichtigen. Sicherheit wird zu einem zentralen Entscheidungskriterium.
Kontinuierliche Überwachung: Ein einmaliger Check reicht nicht aus. Sie müssen die Risikolandschaft Ihrer Lieferkette fortlaufend im Blick behalten.
Die große Frage ist nicht was zu tun ist, sondern wie man es effizient umsetzt. Hier stehen sich zwei Welten gegenüber: der traditionelle, manuelle Ansatz und der moderne, automatisierte Prozess.
Der manuelle Prozess: Ein Kampf gegen Windmühlen
Viele Unternehmen versuchen, das Lieferantenmanagement mit den Werkzeugen zu bewältigen, die sie bereits haben: Excel, E-Mail und Word. Der Prozess sieht oft so aus:
Inventarisierung: Eine Excel-Liste wird erstellt, in der alle Lieferanten erfasst werden. Diese ist oft schon bei der Erstellung veraltet.
Bewertung: Ein langer Fragebogen wird als Word- oder PDF-Dokument an jeden Lieferanten per E-Mail verschickt.
Nachverfolgung: Manuelle E-Mail-Erinnerungen werden an säumige Lieferanten gesendet. Die Rückläufer müssen mühsam in die zentrale Excel-Tabelle übertragen werden.
Auswertung: Die Antworten werden manuell ausgewertet, um ein vages Risikobild zu erhalten. Eine objektive, vergleichbare Bewertung (Scoring) ist kaum möglich.
Dokumentation: Der gesamte E-Mail-Verkehr und die verschiedenen Dokumentenversionen werden in Ordnern abgelegt. Für ein Audit ist dies ein Albtraum.
Die Grenzen dieses Ansatzes sind offensichtlich:
Nicht skalierbar: Bei mehr als einer Handvoll Lieferanten bricht der Prozess zusammen.
Fehleranfällig: Manuelle Datenübertragung führt unweigerlich zu Fehlern.
Momentaufnahme: Die Daten sind veraltet, sobald sie eingetragen sind. Eine kontinuierliche Überwachung findet nicht statt.
Ressourcenintensiv: Der Prozess bindet wertvolle Arbeitszeit, die für strategische Aufgaben fehlt.
Der automatisierte Prozess: Effizienz, Transparenz und Nachweisbarkeit
Eine Automatisierungsplattform, oft als Digital Compliance Office bezeichnet, transformiert diesen Prozess von Grund auf. Sie dient als zentrale Schaltstelle für Ihr gesamtes Drittanbieter-Risikomanagement.
Der automatisierte Workflow sieht so aus:
Zentrale Inventarisierung: Alle Lieferanten werden in einer zentralen Datenbank erfasst und nach Kritikalität kategorisiert.
Automatisierte Bewertung: Basierend auf der Kritikalität versendet die Plattform automatisch maßgeschneiderte Online-Fragebögen. Erinnerungen und Eskalationen erfolgen ebenfalls automatisch.
Objektives Risiko-Scoring: Die Antworten werden automatisch ausgewertet und in einen leicht verständlichen Risiko-Score umgerechnet. So können Sie auf einen Blick erkennen, wo die größten Gefahren lauern.
Kontinuierliches Monitoring: Die Plattform überwacht öffentlich zugängliche Informationen (z. B. bekannte Schwachstellen, Datenlecks) und passt den Risiko-Score dynamisch an. Sie werden proaktiv gewarnt, wenn sich das Risikoprofil eines Lieferanten ändert.
Audit-sichere Dokumentation: Alle Schritte, von der ersten Bewertung bis zur laufenden Überwachung, werden lückenlos und revisionssicher dokumentiert. Mit wenigen Klicks erstellen Sie aussagekräftige Reports für Audits oder die Geschäftsführung.
Durch die Automatisierung der Risikoanalyse wird die Lieferkettensicherheit von einer reaktiven Pflichtübung zu einem proaktiven, strategischen Vorteil. Sie sparen nicht nur Zeit und Ressourcen, sondern gewinnen auch ein Maß an Transparenz und Kontrolle, das manuell unerreichbar ist.
Ihr Fahrplan: In 5 Schritten zur NIS2-konformen Lieferkette
Der Gedanke, ein komplettes Lieferanten-Risikomanagement aufzubauen, kann überwältigend sein. Beginnen Sie mit diesen fünf praktischen Schritten:
Schaffen Sie Transparenz: Identifizieren und listen Sie alle Ihre Lieferanten auf. Wer sind sie? Welche Dienstleistungen erbringen sie? Welchen Zugriff auf Ihre Daten und Systeme haben sie?
Priorisieren Sie nach Kritikalität: Nicht jeder Lieferant ist gleich. Klassifizieren Sie Ihre Partner in Kategorien wie "hochkritisch", "moderat kritisch" und "unkritisch". Konzentrieren Sie Ihre Bemühungen zunächst auf die hochkritischen Lieferanten.
Definieren Sie Ihre Standards: Legen Sie fest, welche grundlegenden Sicherheitsanforderungen Ihre Lieferanten erfüllen müssen. Orientieren Sie sich an gängigen Standards wie ISO 27001, aber passen Sie die Anforderungen an die jeweilige Kritikalität an.
Starten Sie den Bewertungsprozess: Beginnen Sie mit der Bewertung Ihrer kritischsten Lieferanten. Nutzen Sie standardisierte Fragebögen, um den Prozess vergleichbar zu machen.
Evaluieren Sie Automatisierungslösungen: Untersuchen Sie, wie eine Compliance-Plattform Ihnen helfen kann, diesen Prozess zu skalieren und nachhaltig zu managen. Betrachten Sie dies als Investition in Ihre Widerstandsfähigkeit und Zukunftsfähigkeit.
Der nächste Schritt: Von der Information zur Handlung
Die NIS2-Anforderungen an die Sicherheit der Lieferkette sind mehr als nur eine weitere regulatorische Hürde. Sie sind eine Chance, die Widerstandsfähigkeit Ihres Unternehmens fundamental zu stärken. Ein manueller Ansatz mit Excel-Listen ist für diese strategische Aufgabe nicht mehr zeitgemäß.
Automatisierung ist der Schlüssel, um Kontrolle und Transparenz zu gewinnen, Compliance nachweisbar zu machen und sich auf das zu konzentrieren, was wirklich zählt: die strategische Steuerung Ihrer Geschäftsrisiken. Indem Sie jetzt die richtigen Weichen stellen, sichern Sie nicht nur Ihre eigene Compliance, sondern auch die Stabilität Ihres gesamten Ökosystems.
Muss ich als kleiner IT-Dienstleister jetzt auch NIS2 umsetzen?
Nicht direkt, aber indirekt mit hoher Wahrscheinlichkeit. Wenn Ihre Kunden unter NIS2 fallen, werden diese von Ihnen Nachweise über Ihre Cybersicherheit verlangen. Eine proaktive Auseinandersetzung mit Sicherheitsstandards wird zum entscheidenden Wettbewerbsvorteil.
Reicht es, wenn mein Lieferant eine ISO 27001-Zertifizierung hat?
Eine Zertifizierung ist ein sehr gutes Indiz, aber kein Freifahrtschein. NIS2 verlangt eine risikobasierte Betrachtung. Sie müssen dennoch bewerten, ob die im Zertifikat abgedeckten Bereiche (der "Scope") die für Sie relevanten Risiken abdecken.
Was passiert, wenn einer meiner Lieferanten die Anforderungen nicht erfüllt?
Ihre Aufgabe ist es, das Risiko zu managen. Das kann bedeuten, dass Sie mit dem Lieferanten einen Plan zur Verbesserung seiner Sicherheit erarbeiten, zusätzliche kompensierende Kontrollen bei sich selbst einführen oder im Extremfall den Lieferanten wechseln müssen. Wichtig ist, dass Sie den Prozess und Ihre Entscheidungen nachvollziehbar dokumentieren.
Wie viel Aufwand bedeutet die Einführung einer Automatisierungsplattform?
Moderne Plattformen sind als Software-as-a-Service (SaaS) konzipiert und können oft innerhalb weniger Tage oder Wochen implementiert werden. Der initiale Aufwand der Dateneingabe wird durch die langfristige Zeitersparnis und die Reduzierung von manuellem Aufwand mehr als aufgewogen.
Amin Abbaszadeh ist Informationssicherheitsexperte bei SECJUR und unterstützt Unternehmen dabei, Informationssicherheits- und Compliance-Standards wie ISO 27001 effektiv umzusetzen. Zuvor war er als Senior Consultant Cybersecurity bei NTT DATA tätig, wo er Projekte im Bereich IT-Compliance und ISMS verantwortete. Durch seine interdisziplinäre Erfahrung in Technik, Beratung und Management verbindet Amin strategisches Denken mit praxisnaher Umsetzung – immer mit dem Ziel, nachhaltige Sicherheits- und Compliance-Strukturen zu schaffen.
Über SECJUR
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Compliance, completed
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Viele Webseiten verfügen über eine Datenschutzerklärung. Aber benötigt wirkliche jede Internetseite eine Datenschutzerklärung? Muss auch die Homepage einer Privatperson eine Datenschutzerklärung haben? Die SECJUR-Datenschutzexperten klären auf.
Viele Unternehmen wissen, dass NIS2 kommt, doch die Umsetzung wirksamer Incident-Response-Prozesse bereitet oft Unsicherheit. Dieser Leitfaden zeigt, wie Sie Meldepflichten rechtssicher erfüllen, ein handlungsfähiges Response-Team aufbauen und im Ernstfall schnell und strukturiert reagieren. Erfahren Sie, wie Sie aus reaktiver Schadensbegrenzung ein strategisches Sicherheits- und Compliance-System entwickeln, das Ihre Organisation nachhaltig schützt und Vertrauen stärkt.
Die Umsetzung von Access Management nach ISO 27001 Annex A.9 kann eine echte Herausforderung sein. Regulierung und Überwachung von Zugriffen sind unerlässlich, um Daten und Informationen zu schützen. In diesem Artikel erfahren Sie, wie die Partnerschaft zwischen SECJUR und Cakewalk Unternehmen dabei unterstützt, die Anforderungen dieses ISO-Annex effizient zu erfüllen. Entdecken Sie die Bedeutung von Annex A.9, seine Ziele und die verschiedenen Zugangskontrollmethoden. Erfahren Sie, wie Cakewalks intelligente Lösungen und SECJURs Expertise die nahtlose Integration der Zugriffsverwaltung in ein Informationssicherheitsmanagementsystem ermöglichen.
.svg)
.svg)
.svg)
.avif)
.svg){kind=small}