Wie erfüllen Sie die NIS2-Anforderungen an die Sicherheit der Lieferkette?

Was verlangt NIS2 bei der Sicherheit der Lieferkette?

NIS2 verlangt, dass Sie die Sicherheitsrisiken managen, die von Ihren Lieferanten und Dienstleistern ausgehen, und Ihre Maßnahmen auf die spezifischen Risiken jedes unmittelbaren Anbieters stützen. Es ist eine der zehn Maßnahmen nach Art. 21, die unser Leitfaden zu NIS2 Compliance beschreibt.

• Art. 21 Abs. 2 lit. d der Richtlinie (EU) 2022/2555: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“.
• Art. 21 Abs. 3: Einrichtungen müssen „die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter einschließlich der Sicherheit ihrer Entwicklungsprozesse“ berücksichtigen, ebenso die Ergebnisse der EU-weit koordinierten Risikobewertungen kritischer Lieferketten nach Art. 22 Abs. 1.
• Die Durchführungsverordnung (EU) 2024/2690 legt detaillierte technische Anforderungen für digitale Anbieter fest, etwa Cloud-, Rechenzentrums-, Managed-Service- und Managed-Security-Service-Anbieter. Laut der technischen Umsetzungsleitlinie der ENISA (Juni 2025) gehören dazu eine Richtlinie zur Sicherheit der Lieferkette und ein Verzeichnis der Lieferanten und Diensteanbieter. Die Verordnung auf EUR-Lex lesen.

Die Verantwortung liegt beim Management. Nach Art. 20 müssen die Leitungsorgane die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, und sie können haftbar gemacht werden. Nach Art. 34 betragen die Höchstbußgelder bei Verstößen gegen Art. 21 mindestens 10 Millionen € oder 2 % des weltweiten Umsatzes für besonders wichtige Einrichtungen und 7 Millionen € oder 1,4 % für wichtige Einrichtungen. Siehe die zehn Maßnahmen nach Art. 21 und ob Sie betroffen sind.

Warum sind Angriffe über die Lieferkette so schwer zu stoppen?

Weil der Schadcode über einen Kanal kommt, dem Sie vertrauen: ein signiertes Update, einen Management-Agenten oder ein Softwarepaket. Ihre Schutzmaßnahmen sind darauf ausgelegt, genau das durchzulassen.

Ein Beispiel: Ihr Überwachungs-Agent installiert wie gewohnt sein signiertes nächtliches Update auf jedem Server. Diesmal enthält es Code, der eine Remote-Shell öffnet. Nichts wirkt auffällig, bis sich Dateien zu verändern beginnen.

• Kaseya VSA, Juli 2021. Angreifer nutzten Zero-Day-Lücken in der Fernwartungssoftware von Kaseya, um die Ransomware REvil zu verteilen. Kaseya meldete etwa 50 direkt betroffene Kunden und 800 bis 1.500 betroffene nachgelagerte Unternehmen (BleepingComputer).
• npm „Shai-Hulud“, September 2025. Ein sich selbst verbreitender Wurm kompromittierte mehr als 500 npm-Pakete und griff Entwickler-Tokens und Cloud-API-Schlüssel ab. CISA empfahl, Abhängigkeiten zu prüfen, Pakete auf Versionen vor dem 16. September 2025 festzulegen und alle Zugangsdaten von Entwicklern zu erneuern.

Die Zahlen steigen. Laut dem Verizon 2025 Data Breach Investigations Report verdoppelte sich der Anteil der Datenpannen mit Beteiligung Dritter auf 30 %. Der Verizon DBIR 2026, zusammengefasst von Help Net Security, berichtet, dass Drittparteien inzwischen bei 48 % der Datenpannen eine Rolle spielen.

Wie bewerten und steuern Sie Lieferanten unter NIS2?

Beginnen Sie mit einem Register aller Lieferanten, die Ihr Netzwerk und Ihre Informationssysteme berühren, ordnen Sie sie nach Kritikalität und konzentrieren Sie Ihren Aufwand auf die wenigen, die Ihre Dienste stoppen oder kompromittieren könnten.

1. Register aufbauen. Erfassen Sie Lieferanten, die Dienste und Systeme, die sie unterstützen, ihre Zugriffe (Admin-Agenten, VPN, API-Schlüssel) und wo Ihre Daten gespeichert sind.
2. Nach Kritikalität ordnen. Fragen Sie: Was passiert, wenn dieser Lieferant kompromittiert wird oder eine Woche ausfällt?
3. Kritische Lieferanten bewerten. Fragen Sie nach Zertifizierungen wie ISO 27001, nach dem Umgang mit Schwachstellen und dem sicheren Entwicklungsprozess, nach früheren Vorfällen und danach, wie der Lieferant seine eigenen Administratorzugänge schützt.
4. Vertragsanforderungen festlegen. Meldung von Vorfällen an Sie innerhalb einer festen Frist, Prüf- oder Nachweisrechte, Datenstandort, Regeln für Unterauftragnehmer und ein Exit-Plan.
5. Überwachen und überprüfen Sie in geplanten Abständen sowie nach jedem bedeutenden Vorfall, sei es beim Lieferanten oder im Markt.

Achten Sie auf das Konzentrationsrisiko: Liegen Backups, Identität und E-Mail bei einem Anbieter, trifft ein einziger Vorfall alles. Wo die Pflichten eines Anbieters enden, zeigt das Modell der geteilten Verantwortung bei Microsoft 365.

Was gehört in ein Notfallhandbuch für Vorfälle in der Lieferkette?

Ein Notfallhandbuch macht aus der Kompromittierung eines Lieferanten ein Verfahren statt Improvisation. Es braucht sechs Teile, die Sie schreiben und abstimmen, bevor Sie sie brauchen.

1. Abhängigkeitskarte. Pro kritischem Lieferanten: welche Agenten, Konten und Integrationen er hat und auf welchen Systemen.
2. Isolierungsschritte pro Anbieter. Wie Sie den Agenten deaktivieren, seine Zugangsdaten widerrufen und seine Netzwerkpfade sperren, und was dadurch im Geschäftsbetrieb nicht mehr funktioniert.
3. Entscheidungsbefugnisse. Wer um 02:00 Uhr einen Lieferanten abschalten darf, ohne auf eine Besprechung zu warten.
4. Ein unabhängiger Wiederherstellungsweg. Backups und Wiederherstellungswerkzeuge, die der kompromittierte Lieferant nicht erreichen kann, mit bekannten Wiederherstellungszielen pro System.
5. Kommunikationsvorlagen. Interne Eskalation, Kundeninformationen und die NIS2-Frühwarnung innerhalb von 24 Stunden sowie die Meldung innerhalb von 72 Stunden nach Art. 23.
6. Testplan. Eine Planübung (Tabletop) pro kritischem Lieferanten, mindestens einmal im Jahr, die misst, wie lange Isolierung und Wiederherstellung tatsächlich dauern.

Die Wiederherstellung lassen die meisten Notfallhandbücher aus. Kam der Angreifer über Ihre Management-Werkzeuge herein, gehen Sie davon aus, dass er alles sehen und womöglich löschen konnte, was diese Werkzeuge erreichen.

Wie greifen Erkennung, Isolierung und Wiederherstellung ineinander?

Jede Ebene fängt auf, was die vorige übersehen hat. Die Erkennung bemerkt, dass sich ein vertrauter Prozess falsch verhält, die Isolierung begrenzt die Ausbreitung, und die Wiederherstellung bringt Sie zurück, wenn die ersten beiden zu spät kamen.

Für MSPs liefert die EDR-Plattform von Mindtime Security die Erkennungswerkzeuge: Schwachstellenmanagement, Malware-Erkennung, CIS-Konfigurationsprüfung, Dateiintegritätsüberwachung, Threat Hunting, Zuordnung zu MITRE ATT&CK und automatisierte Reaktion auf Basis von Regeln, die der MSP konfiguriert. Mindtime stellt die Plattform bereit. Der MSP betreibt den Service und reagiert.

Verwandt: Wenn MFA umgangen wird, ist das Backup Ihre letzte Verteidigungslinie.

Was bedeutet NIS2-Lieferkettensicherheit für MSPs?

MSPs stehen auf beiden Seiten. Sie sind selbst Einrichtungen, in Anhang I der NIS2-Richtlinie im Bereich Verwaltung von IKT-Diensten aufgeführt, und sie sind der kritische Lieferant, den ihre Kunden bewerten müssen.

• Als Einrichtung: Ein MSP im Anwendungsbereich muss Art. 21 erfüllen, einschließlich der Sicherheit der Lieferkette für seine eigenen Anbieter wie RMM-, PSA-, EDR- und Backup-Plattformen, und die detaillierten Anforderungen der Durchführungsverordnung (EU) 2024/2690.
• Als Lieferant: Kunden werden Zertifizierungen, Bedingungen zur Meldung von Vorfällen, Nachweise zu MFA bei Administratorzugängen und den Beleg verlangen, dass sich ihre Daten unabhängig wiederherstellen lassen.
• Als Ziel: Eine einzige kompromittierte Management-Plattform kann alle Kunden auf einmal erreichen, wie Kaseya gezeigt hat.

In Deutschland gilt seit dem 6. Dezember 2025 das NIS2UmsuCG. Es ändert das BSI-Gesetz (BSIG): § 30 BSIG nennt die Sicherheit der Lieferkette ausdrücklich unter den Risikomanagementmaßnahmen, Aufsichtsbehörde ist das BSI. Besonders wichtige und wichtige Einrichtungen müssen sich innerhalb von drei Monaten im BSI-Portal registrieren und erhebliche Sicherheitsvorfälle melden (Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach 30 Tagen). In den Niederlanden gilt seit dem 15. August 2026 die Cyberbeveiligingswet. Nach Angaben des NCSC fallen rund 8.000 Organisationen in 18 Sektoren darunter, und viele von ihnen werden diese Fragen an ihre IT-Dienstleister richten. Siehe auch unveränderliche Backups für MSPs.

Ihre nächsten Schritte

Lieferkettensicherheit nach NIS2 läuft auf drei Dinge hinaus: Kennen Sie Ihre Lieferanten und deren Zugriffe. Legen Sie für die kritischen Lieferanten Anforderungen fest und prüfen Sie diese. Und halten Sie einen Wiederherstellungsweg bereit, der von keinem von ihnen abhängt. Schreiben Sie das Notfallhandbuch jetzt und testen Sie es einmal im Jahr pro kritischem Lieferanten.

Als Lieferant ist Mindtime ISO-27001- und NEN-7510-zertifiziert (NEN 7510 ist die niederländische Norm für Informationssicherheit im Gesundheitswesen) und schließt mit jedem Vertrag einen Auftragsverarbeitungsvertrag (AVV) nach DSGVO ab. Backups liegen ausschließlich in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, unabhängig von US-Hyperscalern, als unveränderliche Kopien (Object Lock) plus Air-Gap-Kopie. Administrative Aktionen erfordern MFA, und Daten werden bei der Übertragung mit AES-256 verschlüsselt. Mindtime deckt die Ebene Backup und Disaster Recovery ab. Wie das zu Art. 21 passt, lesen Sie in unserem Leitfaden zu NIS2 Compliance.

Möchten Sie den Wiederherstellungsweg in Ihrer Lieferkette prüfen? Fordern Sie eine kostenlose Analyse an. MSPs können sich außerdem über unser Partnerprogramm informieren.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.