Lieferanten-Risiko nach NIS-2 beherrschbar machen:
Pragmatisch, rechtssicher & audit-bereit.
NIS-2 verpflichtet das Management zur aktiven Absicherung der gesamten Lieferkette. Wir transformieren komplexe Anforderungen in ein skalierbares TPRM-Framework – ohne Einkauf, Security und Legal mit endloser Bürokratie zu belasten.
- Aufwandsreduktion im Einkauf: Risikobasierte Triage trennt Standard-Dienstleister sofort von kritischen IKT-Partnern.
- Haftungssicherheit für Organe: Lückenlose Nachweise und klare Verantwortlichkeiten gemäß § 38 BSIG.
- Synergien nutzen: Anrechnung bestehender Standards (ISO/IEC 27001, TISAX, DORA) ohne Doppelprüfungen.
Die neue Rechtslage fordert die Beherrschung Ihrer Drittparteien
Mit dem Inkrafttreten von NIS-2 (§ 30 BSIG) werden Sicherheitslücken bei Dienstleistern rechtlich wie eigene Versäumnisse behandelt. Aufsichtsbehörden verlangen lückenlose Nachweise – doch klassische Prozesse führen im Unternehmen schnell zum Stillstand.
Gesetzliche Vorgaben nach NIS-2
Was Prüfer und Behörden zwingend einfordern
Prüfpflicht vor Auftragsvergabe
Risikobasierte Bewertung der technischen und organisatorischen Maßnahmen (TOMs) aller IKT-Lieferanten vor Vertragsschluss.
Kaskaden-Transparenz
Durchgriff auf kritische Unterauftragnehmer (Sub-Processor). Risiken in der tieferen Lieferkette müssen dokumentiert sein.
24h-Vorfallsmeldewege
Vertraglich garantierte Meldekaskaden bei Incident-Fällen beim Dienstleister zur Einhaltung behördlicher Fristen.
Persönliche Organshaftung
Die Geschäftsleitung haftet persönlich für die Überwachung. Das Verlassen auf pauschale Selbstauskünfte reicht rechtlich nicht aus.
Warum klassische Ansätze scheitern
Versucht man, diese strikten Pflichten mit manuellen Bordmitteln abzudecken, entstehen typische Engpässe, die wertvolle Kapazitäten binden, ohne echte Audit-Sicherheit zu erzeugen:
Der Excel- & Formular-Flaschenhals
Hunderte ungerichtete Fragebögen binden monatelang Ressourcen in Einkauf, Legal und IT-Security. Der Aufwand steigt exponentiell, während Fachbereiche durch lange Onboarding-Zeiten blockiert werden.
Fehlende Triage & gefährliche Blindspots
Ohne risikobasierte Vorfilterung wird der Catering-Dienstleister mit demselben Aufwand geprüft wie der Cloud-Anbieter mit Systemzugriff. Echte Risiken gehen in der Masse an Daten unter.
Statische Nachweise ohne Dynamik
Einmalig abgefragte PDF-Dokumente landen im Archiv und veralten. Es fehlen strukturierte Informationsregister, automatisierte Re-Assessments und prüfbereite Evidenzen für Auditoren.
So wird Ihre Lieferkette Schritt für Schritt NIS-2-konform
Compliance in der Lieferkette erfordert keine bürokratische Überforderung. Wir etablieren ein risikobasiertes, skaliertes TPRM-System, das Ihre internen Ressourcen im Einkauf, Legal und der IT-Security spürbar entlastet und vor Wirtschaftsprüfern Bestand hat.
Lieferanten-Triage & Wesentlichkeitsprüfung
Nicht jeder Dienstleister birgt dasselbe Risiko. Mit einem vorgeschalteten Pre-Check trennen wir unkritische Partner von wesentlichen IKT-Drittanbietern. Das spart bis zu 60 % Bearbeitungszeit im Einkauf.
- Kriterienbasierte Klassifizierung: Eindeutige Schwellenwerte für Systemrelevanz, Datenklassen und Rechteprofile gemäß § 30 BSIG.
- Fast-Track für Standard-Partner: Unkritische Lieferanten werden ohne lange Fragebögen direkt freigegeben.
- Fokus auf Kernrisiken: Ihre Experten prüfen gezielt nur dort, wo echte Einfallstore für Ihre Organisation liegen.
Risikobasierte Assessments & Zertifikatsanrechnung
Schluss mit unbeantworteten 200-Fragen-Tabellen. Wir nutzen intelligente Prüfpfade und rechnen bestehende Standards voll an, um Aufwände auf beiden Seiten flach zu halten.
- Multi-Framework-Anrechnung: ISO/IEC 27001, SOC 2 und TISAX Nachweise werden direkt als Evidenz gewertet.
- Gezielte Deep-Dive-Audits: Tiefe Prüfungen erfolgen ausschließlich bei kritischen Schnittstellen und Sub-Prozessoren (Tier-N).
- Validierte TOM-Bewertung: Nachweisbare Überprüfung der technischen und organisatorischen Schutzmaßnahmen.
Vertragliche Absicherung & Incident-Schnittstellen
Die NIS-2-Richtlinie verlangt rechtlich verbindliche Regelungen mit Dienstleistern. Wir verankern notwendige Sicherheitsklauseln und etablieren funktionierende Notfall-Schnittstellen.
- Security Addendums & Klauseln: Prüfbereite Vorlagen für Audit-Rechte, BCM-Anforderungen und Nachweispflichten.
- 24h-Meldewege im Notfall: Klare Vertragsklauseln zur Durchsetzung der gesetzlichen Vorfalls-Meldepflichten (§ 32 BSIG).
- Haftungs- & Enthaftungsschutz: Absicherung der Organschaft durch rechtssichere Vertragsdokumentation.
Zentrales Informationsregister & Continuous Monitoring
Bei Prüfungen durch Aufsichtsbehörden oder Wirtschaftsprüfer müssen Sie lückenlos auskunftsfähig sein. Wir bauen Ihr zentrales TPRM-Informationsregister auf.
- Zentrales Drittparteien-Register: Vollständige Übersicht aller Dienstleister, Risikoprofile und Vertragszustände.
- Fortlaufendes Monitoring: Automatische Fristenüberwachung für Zertifikatsabläufe und Re-Assessments.
- Audit-Readiness auf Knopfdruck: Alle Evidenzen und Prüfhistorien lückenlos dokumentiert für Nachweiszwecke.
Fällt Ihr Unternehmen unter die NIS-2-Regulierung?
Die Gesetzgebung unterscheidet primär nach Unternehmensgröße, der Sektorzugehörigkeit (Anlagen 1 und 2 BSIG) sowie der Kritikalität der Dienstleistung.
Besonders wichtige Einrichtungen
Unterliegt der proaktiven (anlassunabhängigen) Aufsicht durch das BSI.
- Größenkriterien: Ab 250 Mitarbeiter oder ab 50 Mio. € Jahresumsatz bei gleichzeitig mehr als 43 Mio. € Jahresbilanzsumme.
- Betroffene Sektoren (Auswahl): Große Unternehmen aus Sektoren hoher Kritikalität (z. B. Energie, Transport, Gesundheit, Wasser, Digitale Infrastruktur, IT-Service-Management/MSP) sowie Betreiber Kritischer Anlagen (KRITIS) unabhängig von der Größe.
Wichtige Einrichtungen
Unterliegt der reaktiven (anlassbezogenen) Aufsicht bei Vorfällen oder Verdachtsmomenten.
- Größenkriterien: Ab 50 Mitarbeiter oder ab 10 Mio. € Jahresumsatz und 10 Mio. € Jahresbilanzsumme (mittlere Unternehmen).
- Betroffene Sektoren (Auswahl): Mittlere Unternehmen aus Sektoren hoher Kritikalität sowie mittlere & große Unternehmen sonstiger kritischer Sektoren (z. B. Maschinenbau, Chemie, Lebensmittel, Logistik, Entsorgung, digitale Dienste).
Unsicher bei verflochtenen Konzernstrukturen?
Bei der Ermittlung der Schwellenwerte müssen Partner- und verbundene Unternehmen gesetzlich mitangerechnet werden. Wir klären Ihre exakte Betroffenheit im Erstgespräch.
Klarheit zu NIS-2 & Lieferketten-Sicherheit
Die wichtigsten Antworten zu gesetzlichen Anforderungen im Drittparteien-Risikomanagement (TPRM), Nachweisen und unserer Zusammenarbeit.
Reicht es aus, wenn unsere Lieferanten ein ISO 27001-Zertifikat besitzen?
Ein ISO 27001- oder SOC 2-Zertifikat ist eine hervorragende Vertrauensbasis, entbindet Sie nach § 30 BSIG jedoch nicht von der eigenen Risikobewertung. Sie müssen nachweisen, dass die konkret bezogene Dienstleistung für Ihren spezifischen Kontext sicher ist und vertragliche Meldewege (z. B. 24h-Incident-Notification) etabliert sind. Wir nutzen vorhandene Zertifikate zur automatischen Entlastung, ergänzen aber gezielt die gesetzlich geforderten NIS-2-Klauseln.
Wie verhindern wir, dass der Einkauf durch endlose Risiko-Fragebögen gelähmt wird?
Durch eine vorgelagerte Pre-Check-Triage. Anstatt jedem Lieferanten einen pauschalen 100-Fragen-Katalog zu senden, filtert unser Triage-Raster unkritische Dienstleister in wenigen Minuten heraus. Tiefe Sicherheits-Assessments und Vertragsprüfungen erfolgen ausschließlich bei tatsächlich kritischen IKT-Partnern. Das spart bis zu 60 % Bearbeitungszeit im Einkauf und der Security.
Wie weit reicht die Prüfpflicht bei Unterauftragnehmern (Tier-N-Risiken)?
NIS-2 verlangt die Transparenz über wesentliche Abhängigkeiten in der gesamten Kette. Sie müssen nicht jeden Sub-Lieferanten Ihres Dienstleisters auditieren, aber vertraglich sicherstellen, dass Ihr Direktlieferant (Tier-1) seine Unterauftragnehmer nachweisbar kontrolliert und Sicherheitsvorfälle in der Sub-Kaskade an Sie weiterleitet.
Können wir Synergien mit DORA, ISO 27001 oder dem EU AI Act nutzen?
Ja, dringend empfohlen. Durch unser Multi-Framework-Mapping bündeln wir die Anforderungen von NIS-2 mit DORA (Art. 28–30), ISO/IEC 27001 (Controls A.5.19-23) und dem EU AI Act (für KI-SaaS-Tools). So bewerten Sie einen Dienstleister nur einmal im System, erfüllen aber gleichzeitig alle relevanten Regulierungsstandards.
Hafe ich als Geschäftsführer persönlich für Mängel im Lieferantenrisiko?
Ja. Gemäß § 38 BSIG sind Geschäftsleitungsorgane verpflichtet, Risikomanagement-Maßnahmen – wozu die Sicherheit der Lieferkette ausdrücklich gehört – zu genehmigen und zu überwachen. Ein reines Verlassen auf ungeprüfte Selbstauskünfte der Lieferanten gilt im Schadensfall als Sorgfaltspflichtverletzung. Unser Framework sichert die Geschäftsführung durch lückenlose Nachweis-Dossiers rechtssicher ab.
In welcher Form werden die Ergebnisse des TPRM-Frameworks übergeben?
Sie erhalten ein prüfungsfertiges, digitales Informationsregister inklusive aller Risikoprofile, Vertragsklauseln und Triage-Berichte. Sämtliche Dokumente werden in editierbaren Standardformaten übergeben – ohne Vendor Lock-in oder Abhängigkeit von starren Spezial-Tools. Bei Audits durch BSI oder Wirtschaftsprüfer liefern Sie geforderte Nachweise direkt per Knopfdruck ab.
Ihre spezifische Anforderung war nicht dabei?
Lassen Sie uns Ihre aktuelle Lieferanten-Struktur in einem kurzen 15-minütigen Erstgespräch analysieren.
15-Min. Audit-Readiness-Check buchen