Die Sicherheit eines Unternehmens ist nur so stark wie das schwächste Glied in seiner Lieferkette. Die Änderung des KSC-Gesetzes (zur Umsetzung der NIS2-Richtlinie) verpflichtet wichtige Unternehmen, Risiken in ihren Beziehungen zu Anbietern von IKT-Produkten und -Dienstleistungen zu managen. Dies bedeutet, dass die rechtliche und operative Haftung für IT-Sicherheitsvorfälle nicht an den Grenzen der eigenen Infrastruktur endet, sondern sich auch auf externe Anbieter von Software, Cloud-Diensten, Infrastruktur und Managed Services erstreckt.
Warum ist die Lieferkette ins Visier der Regulierungsbehörden geraten?
Lieferkettenangriffe haben sich zu einem der Hauptangriffsvektoren für Sicherheitslücken in digitalen Infrastrukturen entwickelt. Gemäß den neuen Vorschriften müssen Unternehmen, die dem KSC-Regime unterliegen, die spezifischen Schwachstellen jedes direkten Lieferanten sowie die Gesamtqualität seiner Cybersicherheitsprodukte und -praktiken berücksichtigen. Die Aufsichtsbehörde wertet die unterlassene Überprüfung eines Lieferanten als Versäumnis, eigene Sicherheitsmaßnahmen umzusetzen.
Was muss sich bei B2B-Verträgen mit ICT-Anbietern ändern?
Bestehende Standardverträge im B2B-Bereich beschränken die Haftung von IT-Anbietern oft auf symbolische Beträge und enthalten lediglich oberflächliche Sicherheitserklärungen. Das neue KSC-Regime erfordert die Einführung starker, durchsetzbarer Vertragsklauseln, insbesondere:
- Recht auf Audit:Gewährleistung des Rechts des Auftraggebers (und der Aufsichtsbehörden), Sicherheitsaudits in den Räumlichkeiten des Lieferanten durchzuführen oder dessen IT-Umgebung zu überprüfen.
- Strenge Meldepflichten bei Vorfällen: Der Lieferant ist verpflichtet, unverzüglich alle Vorfälle auf seiner Seite zu melden, die die Kontinuität oder Sicherheit der erbrachten Dienstleistung beeinträchtigen könnten (unter Berücksichtigung der Zeitfenster, die es dem Auftraggeber ermöglichen, seiner eigenen 24-Stunden-Meldepflicht nachzukommen).
- Technische und organisatorische Mindeststandards: Präzise Definition der Anforderungen an Datenverschlüsselung, Berechtigungsmanagement, Multi-Faktor-Authentifizierung und die Durchführung regelmäßiger Penetrationstests.
- Kaskadierende Verpflichtungen (Sub-Subunternehmer): Eine Anordnung zur Auferlegung ähnlicher Cybersicherheitsanforderungen auf Sublieferanten und Subunternehmer, die vom Hauptauftragnehmer eingesetzt werden.
Wie kann man IT-Auftragnehmer effektiv prüfen?
Die Lieferantenprüfung darf sich nicht auf eine einmalige Erfassung von Erklärungen beschränken. Gemäß den KSC-Richtlinien muss dieser Prozess in Form einer zyklischen Risikobewertung erfolgen, die Folgendes umfasst:
- Lieferantenkategorisierung: Einteilung der Auftragnehmer in Gruppen basierend auf ihrem Zugriffsniveau auf die kritischen Systeme und Daten der Organisation.
- Überprüfung von Zertifizierungen und Standards: Überprüfung, ob der Lieferant über anerkannte Marktzertifizierungen (z. B. ISO/IEC 27001, SOC 2) verfügt, und Durchführung detaillierter Selbstbewertungsumfragen.
- Operative Überprüfungen: Regelmäßige Überprüfung der SLA-Kennzahlen und Anforderung unabhängiger Sicherheitstestergebnisse.
- Business Continuity Planning: Analysieren Sie die Notfallpläne Ihres Anbieters für den Fall einer Katastrophe, eines Ransomware-Angriffs oder einer plötzlichen Dienstunterbrechung.
Die Umsetzung neuer Aufsichtsregeln für IKT-Lieferanten erfordert eine enge Zusammenarbeit zwischen Rechts-, Einkaufs- und IT-Abteilung. Die verbleibende Zeit bis April 2027, dem Stichtag für die vollständige Implementierung eines Cybersicherheits-Risikomanagementsystems, sollte für eine umfassende Überprüfung des B2B-Vertragsportfolios und die Implementierung von Prüfverfahren genutzt werden, bevor diese Punkte bei der ersten Inspektion durch die Aufsichtsbehörde überprüft werden.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Der aktuelle Stand der Rechtslage ist der 10. September 2026.
