NIS2 Lieferkette
Warum Unternehmen ihre Zulieferer jetzt neu bewerten sollten
03.08.2026 | Ein einziger kompromittierter Dienstleister kann ausreichen, um zahlreiche Unternehmen gleichzeitig zu gefährden. Das zeigte eindrucksvoll der Ransomware-Angriff auf den IT-Dienstleister Kaseya im Jahr 2021.
Cyberkriminelle nutzten eine Schwachstelle in der Fernwartungssoftware VSA, die von vielen Managed Service Providern (MSP) eingesetzt wurde. Über die Software gelangte die Schadsoftware in die IT-Umgebungen von Dienstleistern und anschließend zu deren Kunden. Der Angriff machte deutlich, wie schnell aus einem Sicherheitsvorfall bei einem einzelnen Anbieter eine großflächige Bedrohung für viele Organisationen entstehen kann.
Auch der Angriff auf die Softwareplattform SolarWinds hatte zuvor gezeigt, dass Cyberkriminelle gezielt die Lieferkette als Angriffsweg nutzen. Statt ein Unternehmen direkt anzugreifen, suchen Angreifer häufig nach Schwachstellen bei Partnern, Softwareanbietern oder Dienstleistern. Der Grund: Über diese Verbindungen lassen sich oftmals mehrere Ziele gleichzeitig erreichen.
Die eigene IT-Infrastruktur ist deshalb längst nicht mehr die einzige Angriffsfläche eines Unternehmens. Moderne Geschäftsprozesse sind eng mit externen Partnern verbunden. Cloud-Anbieter, Managed Service Provider, Softwarelieferanten und IT-Dienstleister übernehmen wichtige Aufgaben und erhalten dafür häufig weitreichende Zugriffsrechte. Jeder dieser Partner kann zu einem relevanten Faktor für die eigene IT-Sicherheit werden.
Mit der europäischen NIS2-Richtlinie und ihrer Umsetzung in deutsches Recht durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) beziehungsweise die Novellierung des BSI-Gesetzes (BSIG-neu) rückt genau dieses Risiko stärker in den Fokus. Unternehmen müssen ihre Lieferketten ganzheitlich betrachten und Sicherheitsrisiken durch externe Partner systematisch bewerten. Die gesetzlichen Anforderungen an das Lieferketten-Risikomanagement werden damit deutlich konkreter.
Warum die Lieferkette zum Cyberrisiko geworden ist
Viele Unternehmen haben ihre interne IT-Sicherheit in den vergangenen Jahren kontinuierlich verbessert. Firewalls, Endpoint-Schutz, Backup-Strategien und Sicherheitsrichtlinien gehören heute vielerorts zum Standard. Gleichzeitig bleibt ein Bereich häufig weniger transparent: die IT-Sicherheit externer Partner.
Gerade Dienstleister benötigen für ihre Arbeit oft privilegierte Zugänge. Sie administrieren Systeme, warten Anwendungen oder unterstützen bei technischen Problemen. Diese notwendigen Verbindungen schaffen Effizienz – erhöhen jedoch gleichzeitig die potenzielle Angriffsfläche.
Besonders kritisch sind Dienstleister mit:
- Administratorzugängen: Externe Administratoren verfügen häufig über weitreichende Berechtigungen. Werden diese Zugangsdaten kompromittiert, können Angreifer Systeme manipulieren, Benutzerkonten anlegen oder Sicherheitsmechanismen außer Kraft setzen.
- VPN-Verbindungen: VPN-Zugänge ermöglichen den Zugriff auf das Unternehmensnetzwerk aus der Ferne. Sind diese Verbindungen unzureichend abgesichert oder werden gestohlene Zugangsdaten verwendet, können Cyberkriminelle direkt in die IT-Infrastruktur eindringen.
- Zugriff auf sensible Daten: Dienstleister, die personenbezogene Daten, Finanzinformationen oder vertrauliche Unternehmensdaten verarbeiten, stellen ein besonders hohes Risiko dar. Ein Sicherheitsvorfall kann wirtschaftliche Schäden verursachen und regulatorische Konsequenzen nach sich ziehen.
- Wartungszugängen: Für Support- und Wartungsarbeiten erhalten externe Partner häufig temporäre oder dauerhafte Zugriffsrechte auf Systeme. Ohne klare Zugriffskonzepte und regelmäßige Überprüfungen entstehen unnötige Sicherheitslücken.
- Cloud-Infrastrukturen: Viele Geschäftsprozesse laufen heute über Cloud-Dienste. Sicherheitsmängel beim Cloud-Anbieter oder Fehlkonfigurationen können dazu führen, dass Unternehmensdaten unbefugt eingesehen oder Systeme beeinträchtigt werden.
- Backup-Systemen: Backups bilden die Grundlage für eine schnelle Wiederherstellung nach einem Cyberangriff. Erhalten Angreifer über einen Dienstleister Zugriff auf Backup-Systeme, können sie Sicherungen verschlüsseln, manipulieren oder löschen – und damit die Wiederherstellung erheblich erschweren.
Wie Angreifer die Lieferkette ausnutzen
Cyberkriminelle wählen häufig den Weg mit dem größten Erfolgspotenzial. Statt ein Unternehmen mit hohen Sicherheitsstandards direkt anzugreifen, suchen sie nach schwächer geschützten Schnittstellen innerhalb der Lieferkette.
Typische Angriffsszenarien sind:
- kompromittierte Software-Updates
- gestohlene Zugangsdaten externer Dienstleister
- unzureichend abgesicherte Remote-Zugänge
- Sicherheitslücken bei Cloud-Dienstleistern
- schlecht geschützte Managed Service Provider
Der Angriff auf Kaseya zeigte, wie schnell eine solche Strategie Wirkung entfalten kann. Die Angreifer mussten nicht jedes einzelne Unternehmen separat überwinden. Sie nutzten einen zentralen Dienstleister als Eintrittspunkt und konnten dadurch viele Organisationen gleichzeitig erreichen.
Für Unternehmen bedeutet das: Die Sicherheit der eigenen IT hängt zunehmend auch davon ab, wie gut Partner und Lieferanten geschützt sind.
Eine widerstandsfähige Lieferkette wird damit zu einem wichtigen Bestandteil moderner Cybersecurity-Strategien und stärkt die Cyberresilienz des gesamten Unternehmens.
Welche Anforderungen stellt NIS2 an die Lieferkette?
Die NIS2-Richtlinie erweitert den Blick auf Informationssicherheit deutlich. Unternehmen müssen Risiken entlang ihrer gesamten Lieferkette erkennen, bewerten und geeignete Schutzmaßnahmen etablieren.
Für Unternehmen in Deutschland werden diese Vorgaben durch das NIS2UmsuCG sowie das überarbeitete BSI-Gesetz (BSIG-neu) konkretisiert. Die gesetzlichen Regelungen verpflichten betroffene Einrichtungen unter anderem dazu, Risiken innerhalb ihrer Lieferkette angemessen zu identifizieren, zu bewerten und durch geeignete technische sowie organisatorische Maßnahmen zu steuern.
Zu den zentralen Anforderungen gehören:
- Bewertung von Lieferantenrisiken
- Sicherheitsanforderungen für Dienstleister
- regelmäßige Risikoanalysen
- vertragliche Sicherheitsvorgaben
- kontinuierliche Überprüfung kritischer Partner
- Meldeprozesse für Sicherheitsvorfälle
- Integration der Lieferkette in das Informationssicherheitsmanagement (ISMS)
Unternehmen müssen nachvollziehbar darlegen können, wie sie Risiken durch externe Partner bewerten und welche Maßnahmen sie daraus ableiten. Die Lieferkette wird damit zu einem festen Bestandteil eines ganzheitlichen Sicherheitskonzepts.
Lieferantenbewertung nach NIS2: Risiken erkennen, bevor sie zum Problem werden
Eine sichere Lieferkette beginnt mit Transparenz. Unternehmen müssen wissen, welche externen Partner Zugriff auf ihre Systeme haben, welche Daten verarbeitet werden und welches Sicherheitsniveau bei den jeweiligen Dienstleistern besteht.
Dabei gilt: Nicht jeder Lieferant stellt das gleiche Risiko dar. Ein Softwareanbieter mit Zugriff auf produktive Systeme oder ein IT-Dienstleister mit Administratorrechten ist anders zu bewerten als ein Partner, der ausschließlich Standardleistungen ohne Zugriff auf interne Informationen erbringt.
Eine strukturierte Lieferantenbewertung hilft dabei, kritische Abhängigkeiten sichtbar zu machen und Sicherheitsmaßnahmen gezielt zu priorisieren.
Im Rahmen der Bewertung sollten Unternehmen unter anderem folgende Fragen beantworten:
Welche Dienstleister besitzen privilegierte Zugriffe?
Nicht jeder Zulieferer stellt das gleiche Risiko dar. Besonders kritisch sind Dienstleister mit administrativen Berechtigungen oder direktem Zugriff auf Unternehmensnetzwerke und produktive Systeme. Unternehmen sollten ihre Partner daher nach ihrer Kritikalität klassifizieren und Sicherheitsmaßnahmen entsprechend priorisieren.
Welche Daten verarbeitet der Dienstleister?
Je sensibler die verarbeiteten Informationen, desto höher sind die Anforderungen an den Schutz dieser Daten. Verarbeitet ein Dienstleister beispielsweise personenbezogene Daten, Geschäftsgeheimnisse oder vertrauliche Kundeninformationen, sollten entsprechende technische und organisatorische Sicherheitsmaßnahmen nachweisbar umgesetzt werden.
Welche Sicherheitsnachweise liegen vor?
Die Sicherheitsreife eines Dienstleisters lässt sich häufig anhand vorhandener Nachweise und Zertifizierungen bewerten. Dazu zählen beispielsweise:
- ISO 27001-Zertifizierungen
- Informationssicherheitsrichtlinien
- Ergebnisse von Penetrationstests
- Notfall- und Wiederherstellungskonzepte
- Business-Continuity-Konzepte
Diese Nachweise geben einen ersten Einblick in das Sicherheitsniveau des Dienstleisters. Sie sollten jedoch regelmäßig überprüft und durch weitere Informationen, wie beispielsweise Auditberichte oder Sicherheitsfragebögen, ergänzt werden.
Werden Sicherheitsvorfälle gemeldet?
Ein funktionierender Incident-Response-Prozess sollte nicht an den Unternehmensgrenzen enden. Verträge mit externen Dienstleistern sollten klar regeln, wie Sicherheitsvorfälle gemeldet werden, welche Reaktionszeiten gelten und wie beide Parteien im Ernstfall zusammenarbeiten. Nur so können Unternehmen schnell reagieren und die Auswirkungen eines Cyberangriffs möglichst gering halten.
Third Party Risk Management als Bestandteil der NIS2 Compliance
Die Anforderungen der NIS2-Richtlinie machen deutlich: Lieferantenrisiken lassen sich nicht mit einer einmaligen Prüfung erledigen. Sicherheitsanforderungen, Geschäftsbeziehungen und Bedrohungslagen verändern sich kontinuierlich. Ein professioneller Umgang mit Drittparteirisiken erfordert deshalb einen dauerhaft etablierten Prozess.
Third Party Risk Management (TPRM) umfasst die strukturierte Bewertung, Überwachung und Steuerung von Risiken durch externe Partner. Dazu gehören unter anderem:
- regelmäßige Risikoanalysen
- Bewertung kritischer Dienstleister
- Überprüfung von Sicherheitsanforderungen
- Dokumentation von Maßnahmen
- Kontrolle vertraglicher Sicherheitsvorgaben
- kontinuierliche Überwachung relevanter Veränderungen
Ein solcher Ansatz schafft Transparenz und hilft Unternehmen dabei, Sicherheitslücken in der Lieferkette frühzeitig zu erkennen.
Gerade für mittelständische Unternehmen ist das entscheidend: Die Zahl externer Abhängigkeiten wächst, während Cyberangriffe immer stärker auf vernetzte Strukturen abzielen.
So erfüllen Sie die NIS2-Anforderungen
Die Umsetzung der NIS2-Anforderungen beginnt mit einem klaren Überblick über die eigene Lieferkette. Unternehmen sollten zunächst verstehen, welche externen Partner besonders relevant für die eigene Geschäftstätigkeit sind und welche Risiken daraus entstehen.
Ein bewährtes Vorgehen umfasst folgende Schritte:
1. Lieferanten inventarisieren
Der erste Schritt besteht darin, alle externen Dienstleister und Partner zu dokumentieren. Dazu gehören beispielsweise IT-Dienstleister, Cloud-Anbieter, Softwarelieferanten und Managed Service Provider.
2. Kritische Partner identifizieren
Nicht jeder Dienstleister benötigt die gleiche Aufmerksamkeit. Besonders relevant sind Partner mit:
- Zugriff auf Unternehmensnetzwerke
- administrativen Berechtigungen
- Zugriff auf sensible Daten
- Einfluss auf geschäftskritische Prozesse
Diese Partner sollten priorisiert betrachtet und regelmäßig überprüft werden.
3. Risiken bewerten
Mithilfe definierter Kriterien können Unternehmen Lieferanten nach ihrem Risikoprofil einordnen. Bewertungskriterien können sein:
- Art und Umfang der Zugriffe
- Sensibilität der verarbeiteten Daten
- Sicherheitsmaßnahmen des Dienstleisters
- Abhängigkeit vom Anbieter
- Auswirkungen eines möglichen Ausfalls
4. Sicherheitsanforderungen definieren
Sicherheitsanforderungen sollten verbindlich geregelt werden. Dazu gehören beispielsweise Vorgaben zu Zugriffsschutz, Meldewegen, Datenschutz und Sicherheitsmaßnahmen. Klare Vereinbarungen schaffen Sicherheit für beide Seiten und reduzieren Missverständnisse im Ernstfall.
5. Lieferanten kontinuierlich überprüfen
Cyberrisiken verändern sich laufend. Ein Dienstleister, der heute ein angemessenes Sicherheitsniveau bietet, kann durch neue Technologien, veränderte Zugänge oder aktuelle Bedrohungen morgen anders bewertet werden müssen. Eine regelmäßige Überprüfung stellt sicher, dass Sicherheitsmaßnahmen mit den aktuellen Anforderungen Schritt halten.
Supply Chain Security wird zum Wettbewerbsfaktor
Die Sicherheit der Lieferkette entwickelt sich zunehmend zu einem entscheidenden Faktor für Unternehmen. Kunden, Geschäftspartner und Auftraggeber erwarten immer häufiger belastbare Nachweise darüber, wie Unternehmen mit Cyberrisiken umgehen.
Gerade in Geschäftsbeziehungen mit kritischen Infrastrukturen, Industrieunternehmen oder größeren Konzernen wird Informationssicherheit zunehmend zu einer Voraussetzung für Zusammenarbeit. Unternehmen, die ihre Sicherheitsprozesse strukturiert aufgebaut haben und Risiken entlang ihrer Lieferkette kennen, schaffen Vertrauen und erhöhen ihre Widerstandsfähigkeit gegenüber Cyberangriffen.
Eine sichere Lieferkette bietet mehrere Vorteile:
- höhere Cyberresilienz
- geringeres Risiko durch externe Partner
- bessere Vorbereitung auf regulatorische Anforderungen
- höhere Vertrauenswürdigkeit gegenüber Kunden und Geschäftspartnern
- bessere Ausgangslage bei Ausschreibungen und Kooperationen
Supply Chain Security entwickelt sich damit von einer reinen Compliance-Anforderung zu einem strategischen Erfolgsfaktor. Unternehmen, die Sicherheitsrisiken frühzeitig adressieren, schaffen eine stabilere Grundlage für ihre digitale Geschäftsstrategie.
NIS2 erfolgreich umsetzen: Die Lieferkette als Teil einer ganzheitlichen Sicherheitsstrategie
Die Anforderungen der NIS2-Richtlinie zeigen deutlich: Cybersicherheit endet nicht an den Grenzen des eigenen Unternehmens. Externe Dienstleister, Softwareanbieter und IT-Partner müssen in die Sicherheitsstrategie einbezogen werden.
Für Unternehmen bedeutet das, bestehende Prozesse zu überprüfen, Risiken transparent zu machen und technische sowie organisatorische Schutzmaßnahmen weiterzuentwickeln.
LEITWERK unterstützt Unternehmen dabei, ihre IT-Sicherheit ganzheitlich zu stärken – von der Absicherung moderner IT-Infrastrukturen über Managed Services bis hin zu Lösungen für den Schutz vor Cyberangriffen. Mit einem umfassenden Blick auf Technologie, Prozesse und Sicherheitsanforderungen entstehen Konzepte, die Unternehmen widerstandsfähiger gegenüber aktuellen Bedrohungen machen.
Eine sichere Lieferkette beginnt mit Transparenz
Die NIS2-Lieferkettenanforderungen verändern den Umgang mit Cybersicherheit nachhaltig. Unternehmen müssen verstehen, welche externen Abhängigkeiten bestehen, welche Risiken daraus entstehen und wie diese wirksam reduziert werden können.
Eine strukturierte Bewertung von Dienstleistern, klare Sicherheitsprozesse und ein kontinuierlicher Blick auf Veränderungen in der Lieferkette sind entscheidende Faktoren für eine moderne Sicherheitsstrategie. Wer die eigene Lieferkette aktiv schützt, reduziert potenzielle Angriffswege, verbessert die Reaktionsfähigkeit im Ernstfall und stärkt die Cyberresilienz des gesamten Unternehmens.
Sie möchten wissen, wie gut Ihre IT-Umgebung auf aktuelle Cyberbedrohungen vorbereitet ist? Sprechen Sie mit den Sicherheitsexperten von LEITWERK und erfahren Sie, welche Maßnahmen für Ihre individuelle Situation sinnvoll sind.
Häufig gestellte Fragen
Die NIS2-Richtlinie verpflichtet betroffene Unternehmen dazu, Risiken durch externe Partner und Dienstleister systematisch zu bewerten und geeignete Sicherheitsmaßnahmen umzusetzen. Dabei werden nicht nur interne Systeme betrachtet, sondern auch Abhängigkeiten innerhalb der Lieferkette.
Unternehmen, die unter den Anwendungsbereich der NIS2-Richtlinie fallen, müssen Risiken durch relevante externe Partner berücksichtigen. Dazu gehören beispielsweise IT-Dienstleister, Cloud-Anbieter, Softwarelieferanten und Managed Service Provider.
Ein Drittparteienrisiko beschreibt Sicherheitsrisiken, die durch externe Partner entstehen können. Dazu zählen beispielsweise kompromittierte Software, unsichere Fernzugänge, unzureichend geschützte Dienstleister oder Sicherheitslücken bei Cloud-Anbietern.
Angreifer nutzen Lieferketten, weil externe Partner häufig über privilegierte Zugänge verfügen und mehrere Unternehmen gleichzeitig erreichen können. Ein kompromittierter Dienstleister kann dadurch zum Ausgangspunkt für weitreichende Angriffe werden.
Ein Informationssicherheitsmanagementsystem (ISMS) hilft Unternehmen dabei, Risiken strukturiert zu erfassen, Sicherheitsmaßnahmen zu definieren und deren Wirksamkeit dauerhaft zu überprüfen. Dadurch entsteht eine nachvollziehbare Grundlage für Informationssicherheit und Compliance.
Third Party Risk Management schafft Transparenz über externe Abhängigkeiten und hilft Unternehmen dabei, Risiken durch Dienstleister frühzeitig zu erkennen. Durch regelmäßige Bewertungen und klare Sicherheitsanforderungen können potenzielle Schwachstellen in der Lieferkette reduziert werden.
Die Lieferantenbewertung ist ein wichtiger Bestandteil des Risikomanagements. Unternehmen müssen nachvollziehen können, welche externen Partner Zugriff auf Systeme oder Daten haben, welche Sicherheitsmaßnahmen umgesetzt sind und wie hoch das jeweilige Risiko einzuschätzen ist.
