Lieferkettensicherheit
RECHTSGRUNDLAGE
§30 Abs. 2 Nr. 4 BSIG – Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
Dienstleisterübersicht
Alle externen Dienstleister und Anbieter werden kategorisiert:
| Kategorie | Beispiele | Risikobewertung |
|---|---|---|
| Infrastruktur | Hosting, Serverbetrieb | Hoch – Verfügbarkeit |
| Cloud-Dienste | Object Storage, DNS | Hoch – Vertraulichkeit |
| Software-Lieferanten | Drittanbieter-Bibliotheken, SaaS | Mittel – Supply-Chain-Risiko |
| Supportpartner | Wartung, Beratung | Niedrig – begrenzter Zugriff |
Bewertungskriterien
Vor Beauftragung und bei jährlicher Überprüfung werden Dienstleister anhand folgender Kriterien bewertet:
| Kriterium | Beschreibung |
|---|---|
| Sicherheitszertifizierungen | ISO 27001, SOC 2, BSI C5 oder vergleichbar |
| Standort / Rechtsraum | EU-Rechtsraum bevorzugt, Drittstaatentransfers nur mit Garantien |
| Incident-Response-Fähigkeit | Dokumentierter Prozess, Meldefristen kompatibel mit §32 BSIG |
| Vertragsgestaltung | Sicherheitsanforderungen, Audit-Rechte, Kündigungsklauseln |
| Subunternehmer | Transparenz über weitere Unterauftragnehmer |
Vertragliche Sicherheitsanforderungen
Verträge mit Dienstleistern enthalten:
- Mindestanforderungen an Informationssicherheit
- Pflicht zur unverzüglichen Meldung von Sicherheitsvorfällen
- Audit- und Prüfrechte
- Regelungen zu Datenhaltung und -löschung
- Exit-Strategie und Datenrückgabe
Überprüfungszyklus
| Aktivität | Intervall |
|---|---|
| Neubewertung kritischer Dienstleister | Jährlich |
| Vertragsprüfung | Bei Verlängerung / Änderung |
| Anlassbezogene Prüfung | Bei Sicherheitsvorfall oder wesentlicher Änderung |
Perspektive als Zulieferer
Die BAUER GROUP steht in der Lieferkette auf beiden Seiten: Sie stellt Anforderungen an ihre eigenen Dienstleister und ist zugleich Zulieferer regulierter Kunden. Diese geben ihre Anforderungen nach §30 Abs. 2 Nr. 4 BSIG vertraglich an die BAUER GROUP weiter – etwa als Sicherheitsanlage zum Vertrag, Lieferantenfragebogen oder Meldepflicht bei Sicherheitsvorfällen. Welche Konstellationen es gibt und warum eine Lieferbeziehung allein keine eigene NIS2-Pflicht begründet, beschreibt Betroffenheit & Größenklassen. Die eigene Einstufung der BAUER GROUP steht unter Einordnung der BAUER GROUP.
Dependency Management
Für Software-Abhängigkeiten:
- Automatisiertes Dependency-Monitoring (Dependabot)
- Bewertung von Schwachstellen in Drittanbieter-Bibliotheken
- Bevorzugung aktiv gepflegter Projekte mit transparentem Security-Prozess
CRA-Synergie
Das Software-Supply-Chain-Management (SBOM, Signierung, Dependency Policy) ist in der CRA Supply-Chain-Dokumentation beschrieben. NIS2 ergänzt dies um die Bewertung von IT-Dienstleistern und Infrastrukturanbietern.