Was Ihr Großkunde von Ihnen verlangen wird

Drei Gesetze, ein Mechanismus

Der Fragebogen kommt nicht, weil Ihr Kunde Ihnen misstraut, und nicht, weil ein Gesetz Sie zu etwas verpflichtet. Er kommt, weil Ihr Kunde etwas belegen muss, das er ohne Sie nicht belegen kann: dass er die Sicherheitsrisiken kennt, die von seinen Lieferanten ausgehen, und dass er sie beherrscht. Dieser Abschnitt zeigt den Mechanismus an der NIS2-Richtlinie, weil er dort am deutlichsten formuliert ist. Die beiden anderen Rechtsakte — DORA für Finanzkunden, der Cyber Resilience Act für Herstellerkunden — folgen demselben Muster und werden in den Abschnitten 3 und 4 behandelt.

Die Richtlinie (EU) 2022/2555 richtet sich an die Mitgliedstaaten und über sie an „wesentliche und wichtige Einrichtungen“. Das sind Betriebe und Organisationen aus bestimmten Sektoren ab einer bestimmten Größe, dazu einige Arten von Einrichtungen unabhängig von ihrer Größe. Welche das sind, behandelt Abschnitt 2. Für diesen Abschnitt genügt ein Satz: In der Regel ist Ihr Auftraggeber eine solche Einrichtung, und Sie sind es nicht.

Die zentrale Bestimmung ist Artikel 21. Sein erster Absatz lautet:

„Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.“

Der Adressat jedes Satzes ist die Einrichtung. Nirgends in Artikel 21 steht ein Satz, der einen Lieferanten dieser Einrichtung verpflichtet. Was Sie bekommen, ist die Wirkung einer fremden Pflicht — und das ist der erste Satz, den Sie sich für jedes Gespräch mit Ihrem Kunden merken sollten: Die Anforderung hat einen Adressaten, und der sind nicht Sie.