Leseprobe · Teil I · Abschnitte 1 – 4 · Warum Sie gefragt werden

Drei Gesetze, ein Mechanismus

Der Fragebogen kommt nicht, weil Ihr Kunde Ihnen misstraut, und nicht, weil ein Gesetz Sie zu etwas verpflichtet. Er kommt, weil Ihr Kunde etwas belegen muss, das er ohne Sie nicht belegen kann: dass er die Sicherheitsrisiken kennt, die von seinen Lieferanten ausgehen, und dass er sie beherrscht. Dieser Abschnitt zeigt den Mechanismus an der NIS2-Richtlinie, weil er dort am deutlichsten formuliert ist. Die beiden anderen Rechtsakte — DORA für Finanzkunden, der Cyber Resilience Act für Herstellerkunden — folgen demselben Muster und werden in den Abschnitten 3 und 4 behandelt.

1.1 Wen die Richtlinie anspricht — und wen nicht

Die Richtlinie (EU) 2022/2555 richtet sich an die Mitgliedstaaten und über sie an „wesentliche und wichtige Einrichtungen“. Das sind Betriebe und Organisationen aus bestimmten Sektoren ab einer bestimmten Größe, dazu einige Arten von Einrichtungen unabhängig von ihrer Größe. Welche das sind, behandelt Abschnitt 2. Für diesen Abschnitt genügt ein Satz: In der Regel ist Ihr Auftraggeber eine solche Einrichtung, und Sie sind es nicht.

Die zentrale Bestimmung ist Artikel 21. Sein erster Absatz lautet:

„Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.“

Der Adressat jedes Satzes ist die Einrichtung. Nirgends in Artikel 21 steht ein Satz, der einen Lieferanten dieser Einrichtung verpflichtet. Was Sie bekommen, ist die Wirkung einer fremden Pflicht — und das ist der erste Satz, den Sie sich für jedes Gespräch mit Ihrem Kunden merken sollten: Die Anforderung hat einen Adressaten, und der sind nicht Sie.

1.2 Die zehn Maßnahmen, und die eine, die Sie trifft

Absatz 2 zählt auf, was die Maßnahmen der Einrichtung „zumindest“ umfassen müssen. Es sind zehn Punkte, und sie lesen sich wie das Inhaltsverzeichnis jedes Fragebogens, den Sie je bekommen werden:

„a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme; b) Bewältigung von Sicherheitsvorfällen; c) Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement; d) Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern; e) Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen; f) Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit; g) grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit; h) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung; i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen; j) Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.“

Buchstabe d ist der Grund für dieses Handbuch. „Sicherheit der Lieferkette“ heißt: Die Einrichtung muss die Beziehung zu ihren unmittelbaren Anbietern — also zu Ihnen, wenn Sie direkt an sie liefern — als Sicherheitsfrage behandeln. Die übrigen neun Buchstaben sind der Grund dafür, was gefragt wird: Wenn die Einrichtung selbst Sicherungen, Zugriffskontrolle, Schulung und Vorfallbewältigung nachweisen muss, dann will sie wissen, ob ihr Lieferant an denselben Stellen ein Loch hat. Ein Kunde, der Ihnen Fragen zu Datensicherung, Konten und Notfallplan stellt, fragt Sie im Grunde die Buchstaben c, i und b seines eigenen Pflichtenkatalogs.

1.3 Was die Einrichtung über Sie wissen muss

Absatz 3 sagt, worauf die Einrichtung bei der Lieferkette achten muss:

„Die Mitgliedstaaten stellen sicher, dass die Einrichtungen bei der Erwägung geeigneter Maßnahmen nach Absatz 2 Buchstabe d des vorliegenden Artikels die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse, berücksichtigen.“

Drei Dinge stehen darin, und aus jedem folgt eine Form der Anfrage, die Sie kennen werden:

Erstens die „spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter“. Die Einrichtung muss sie kennen — je Anbieter, nicht pauschal. Daher der Fragebogen: Er ist das Werkzeug, mit dem ein Einkauf hundert Lieferanten einzeln erfasst.

Zweitens die „Gesamtqualität der Produkte und der Cybersicherheitspraxis“. Die Einrichtung muss bewerten, wie Sie arbeiten, nicht nur, was Sie liefern. Daher die Fragen nach einer schriftlichen Sicherheitsregelung, nach Updates, nach der verantwortlichen Person.

Drittens „einschließlich der Sicherheit ihrer Entwicklungsprozesse“. Das trifft Softwarehäuser und Gerätelieferanten: Die Einrichtung will wissen, ob das, was Sie entwickeln, sicher entwickelt wird. Daher die Fragen nach Codeprüfung, nach Fremdkomponenten, nach dem Umgang mit gemeldeten Schwachstellen.

Und die Verhältnismäßigkeit? Sie steht in Absatz 1, gilt aber für die Einrichtung, nicht für Sie:

„Bei der Bewertung der Verhältnismäßigkeit dieser Maßnahmen sind das Ausmaß der Risikoexposition der Einrichtung, die Größe der Einrichtung und die Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere, einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen, gebührend zu berücksichtigen.“

Der Maßstab ist also die Größe und das Risiko der Einrichtung. Ein Krankenhaus darf von seinem Wartungsbetrieb mehr verlangen als ein Logistiker von seinem Reinigungsdienst — nicht, weil der Wartungsbetrieb wichtiger wäre, sondern weil der Kunde ein anderes Risiko trägt. Das ist auch die Erklärung dafür, dass zwei Kunden derselben Größe Ihnen sehr verschiedene Fragebögen schicken können.

1.4 Der Vertrag als Werkzeug: was die Richtlinie „nahelegt“

Die Richtlinie sagt nicht, wie die Einrichtung ihre Lieferkette absichern soll. Sie nennt kein Formular, keinen Fragebogen und kein Zertifikat. Aber ihre Erwägungsgründe geben eine Richtung vor, und diese Richtung ist der Grund für die Klauseln in Ihren Verträgen:

„Die wesentlichen und wichtigen Einrichtungen sollten insbesondere dazu angehalten werden, Risikomanagementmaßnahmen im Bereich der Cybersicherheit in die vertraglichen Vereinbarungen mit ihren direkten Lieferanten und Diensteanbietern Ebene einzubeziehen. Diese Einrichtungen könnten auch die Risiken berücksichtigen, die von Lieferanten und Dienstleistern anderer Ebenen ausgehen.“

Ein Erwägungsgrund ist keine Rechtsvorschrift; er begründet, was die Artikel anordnen. Aber er zeigt, woher die Praxis kommt, Sicherheitsanforderungen in Einkaufsbedingungen zu schreiben: Der Gesetzgeber hat sie ausdrücklich angeregt. Und der zweite Satz zeigt, warum Sie auch nach Ihren Lieferanten gefragt werden — den „Lieferanten und Dienstleistern anderer Ebenen“. Für Ihren Kunden sind Ihre Unterauftragnehmer die zweite Ebene seiner Lieferkette.

Für die digitalen Anbieter, für die eine Durchführungsverordnung der Kommission gilt, ist aus dem „sollten angehalten werden“ eine Liste geworden: acht Punkte, die in den Vertrag mit dem Anbieter gehören. Abschnitt 6 behandelt sie. Sie sind der genaueste Beleg dafür, was ein Großkunde in den Vertrag mit seinem Zulieferer schreiben soll — und damit der beste Anhaltspunkt dafür, was Ihnen vorgelegt wird.

1.5 Zwei Sätze, die den Rest erklären

Zwei weitere Stellen der Richtlinie erklären, warum Kunden bei bestimmten Fragen unnachgiebig sind.

Die erste betrifft Vorfälle. Artikel 23 verpflichtet die Einrichtung, erhebliche Sicherheitsvorfälle innerhalb kurzer Fristen zu melden — und die Empfänger ihrer Dienste zu unterrichten:

„Gegebenenfalls unterrichten die betreffenden Einrichtungen die Empfänger ihrer Dienste unverzüglich über diese erheblichen Sicherheitsvorfälle, die die Erbringung des jeweiligen Dienstes beeinträchtigen könnten.“

Eine Einrichtung, die selbst binnen 24 Stunden eine Frühwarnung abgeben muss, kann das nur, wenn ihr Dienstleister sie sofort informiert, sobald bei ihm etwas passiert, das ihre Systeme berührt. Das ist der Grund für die Klausel, die Sie am häufigsten sehen werden: die Pflicht, Vorfälle unverzüglich zu melden. Sie ist keine Schikane. Sie ist die einzige Möglichkeit für Ihren Kunden, seine eigene Frist zu halten.

Die zweite Stelle betrifft Korrekturen. Stellt eine Einrichtung fest, dass sie ihren Maßnahmen nicht nachkommt, muss sie „unverzüglich alle erforderlichen, angemessenen und verhältnismäßigen Korrekturmaßnahmen“ ergreifen.

Wenn eine Einrichtung also erfährt, dass ein Lieferant nicht hält, was er im Fragebogen angekreuzt hat, ist sie zur Korrektur verpflichtet — und die naheliegende Korrektur ist der Wechsel des Lieferanten. Das ist der nüchterne Grund, warum Abschnitt 9 so viel Gewicht auf die ehrliche Antwort legt: Ein „ja“, das nicht stimmt, ist für den Kunden ein Mangel, den er beheben muss.

1.6 Was die Kammern beobachten

Die Wirtschaftskammer Österreich beschreibt die Praxis auf einer eigenen Seite zur Sicherheit der Lieferkette: Dienstleister und Lieferanten betroffener Einrichtungen würden „vertraglich zu Risikomanagementmaßnahmen verpflichtet“; Einrichtungen würden „in Vorbereitung bereits jetzt entsprechende Nachweise“ verlangen oder Vorgaben „in ihre Verträge und Einkaufsbedingungen“ aufnehmen; Lieferanten seien „indirekt betroffen“.

„Indirekt betroffen“ ist die Formulierung, die dieses Handbuch trägt. Sie sagt beides: Sie sind nicht Adressat des Gesetzes — und Sie bekommen die Anforderung trotzdem. Der Rest dieses Handbuchs beschäftigt sich damit, was daraus praktisch folgt.