Das Lieferantenregister nach Art. 21 Abs. 2 Buchst. d NIS-2

Die NIS-2-Richtlinie — Richtlinie (EU) 2022/2555 — gilt für mittlere und größere Einrichtungen in den Sektoren der Anhänge I und II und für einige Arten von Einrichtungen unabhängig von ihrer Größe (Art. 2). Die meisten Startups und KMU fallen nicht darunter. Ihre Kunden oft schon, und Art. 21 Abs. 2 Buchst. d macht diese Kunden für die Sicherheit ihrer Lieferkette verantwortlich, „einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ (die deutsche Fassung der Richtlinie sagt „Anbieter“, wo dieser Leitfaden „Lieferant“ sagt). Dieser Satz ist der Grund, warum ein kleiner Lieferant einen Sicherheitsfragebogen erhält, und er ist zugleich die Vorgabe für das Register, das ein kleines Unternehmen über seine eigenen Lieferanten führen sollte. Dieser Leitfaden legt dar, was dieses Register enthalten muss.

Was Artikel 21 tatsächlich verlangt

Nach Art. 21 Abs. 1 müssen wesentliche und wichtige Einrichtungen „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“ ergreifen, um die Risiken für die Sicherheit ihrer Netz- und Informationssysteme zu beherrschen. Art. 21 Abs. 2 zählt zehn Maßnahmen auf, die der Ansatz „zumindest“ umfassen muss; Buchst. d ist die Sicherheit der Lieferkette. Art. 21 Abs. 3 ergänzt die Einzelheiten: Bei der Entscheidung, welche Maßnahmen für die Lieferkette geeignet sind, müssen die Einrichtungen „die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse, berücksichtigen“.

Drei Wörter tragen das Register. Einzelnen: jeder unmittelbare Lieferant, nicht nur die wichtigen, sondern alle. Spezifischen Schwachstellen: je Lieferant, keine allgemeine Aussage. Cybersicherheitspraxis: was der Lieferant tatsächlich tut, und das erfahren Sie aus seiner Sicherheitsseite, seinem Auftragsverarbeitungsvertrag (AVV), seinen Zertifizierungen und seiner Vorfallhistorie. Nach Art. 20 Abs. 1 muss das Leitungsorgan diese Maßnahmen billigen und ihre Umsetzung überwachen, und es kann dafür verantwortlich gemacht werden; das Register ist also ebenso ein Dokument des Leitungsorgans wie ein operatives. Art. 23 setzt die Uhr für die Meldung von Sicherheitsvorfällen — Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats nach der Meldung nach Art. 23 Abs. 4 Buchst. b —, und bei einem Sicherheitsvorfall in der Lieferkette muss die Einrichtung binnen Stunden wissen, welcher Lieferant, welcher Dienst und wen sie anrufen muss.

Die Durchführungsverordnung (EU) 2024/2690 der Kommission, die Art. 21 für Dienstleister in den Bereichen Cloud, DNS, Rechenzentren, verwaltete Dienste und ähnliche näher ausführt, sagt es in Abschnitt 5 ihres Anhangs deutlich: ein Konzept für die Sicherheit der Lieferkette und ein aktuelles Verzeichnis der unmittelbaren Lieferanten und Dienstleister, mit einer Kontaktstelle für jeden und einer Liste der Produkte, Dienste und Prozesse, die jeder bereitstellt. Sie bindet nur die Einrichtungen, die sie nennt, ist aber die konkreteste Aussage dazu, was die Aufsicht unter einem „Lieferantenregister“ versteht, und das Muster, das ein Kunde in jedem Sektor wiedererkennt.

Was das Register enthalten muss

Eine Zeile pro Lieferant. Offizieller Name, Land, was er für Sie tut, ob er im Einsatz ist, wer intern für die Beziehung zuständig ist. Lieferanten, die Sie geprüft und nicht gewählt haben, bleiben mit diesem Status im Register; auch die Entscheidung ist ein Nachweis.

Die Dienste und Systeme, an denen jeder Lieferant beteiligt ist. Das Register beantwortet „Von wem hängen wir ab?“; die Systemansicht beantwortet „Was hängt von ihnen ab?“. Verknüpfen Sie beide in beide Richtungen, damit Ihnen ein Sicherheitsvorfall beim E-Mail-Dienst sagt, welcher Ihrer Dienste keine Mails mehr verschickt. Das ist die Liste der Produkte, Dienste und Prozesse aus der Durchführungsverordnung.

Die Dokumente, auf die Sie sich stützen. Der AVV, die Nutzungsbedingungen, die Sicherheitsseite, die Liste der Unterauftragsverarbeiter, das SLA, die KI-Richtlinie — so, wie sie an einem bestimmten Tag gelesen wurden, mit den Fakten, die Sie entnommen haben, und den Passagen, aus denen sie stammen. Für den AVV im Einzelnen siehe wie Sie den AVV eines Lieferanten lesen.

Die Lieferanten des Lieferanten. Zu den „spezifischen Schwachstellen“ aus Art. 21 Abs. 3 gehört, wo die Daten liegen und wer sonst noch mit ihnen in Berührung kommt. Die Liste der Unterauftragsverarbeiter, mit Ländern, gehört hierher.

Sicherheitszusagen und ihre Nachweise. Verschlüsselung, MFA, Protokollierung, Backups, Penetrationstests, Zertifizierungen — jeweils mit Quelle. Die „Cybersicherheitspraxis“ in Art. 21 Abs. 3 ist das, was Sie belegen können, nicht das, was Ihnen in einem Verkaufsgespräch gesagt wurde.

Kontakte und SLA-Bedingungen. Der Kontaktweg für den Support, der Kontaktweg für Störungen, die Zeiten, die Verfügbarkeitszusage und die Gutschriften. Bei einem Sicherheitsvorfall brauchen Sie diese Angaben zuerst — siehe SLAs für kleine Unternehmen.

Was Sie gefragt haben und was geantwortet wurde. Befunde aus Ihrer Auswertung sind Fragen an den Lieferanten; seine datierten Antworten schließen sie oder halten sie offen.

Änderungen. Was sich in jedem Dokument geändert hat, wann, ob es wesentlich war, wer es geprüft hat. Ein Register, das nur den aktuellen Stand zeigt, kann nicht belegen, dass der Prüfprozess läuft.

Die Entscheidung. Freigegeben, unter Auflagen freigegeben, in Prüfung, ersetzt — von wem und wann. Das ist die Zeile, für die das Leitungsorgan nach Art. 20 Abs. 1 einsteht.

Was ein Kunde im Anwendungsbereich Sie fragen wird

Wenn Ihr Kunde die NIS-2-Einrichtung ist, ist das Register die Antwort auf seinen Fragebogen. Er wird nach Ihren Unterauftragsverarbeitern und deren Ländern fragen, nach Ihren Sicherheitsmaßnahmen mit Nachweisen, nach Ihrer Meldefrist für Sicherheitsvorfälle und dem Kontaktweg dafür, nach Ihren Vorkehrungen zur Aufrechterhaltung des Betriebs, nach Ihren Entwicklungspraktiken und danach, ob Sie Ihre eigenen Lieferanten bewerten. An der letzten Frage scheitern kleine Unternehmen: Die Pflicht Ihres Kunden aus Art. 21 Abs. 3 reicht durch Sie hindurch bis zu Ihren Lieferanten, und „wir nutzen seriöse Dienstleister“ ist keine Bewertung. Ein Register mit den Zeilen oben beantwortet sie mit einem Satz und einem Screenshot.

Was das Register nicht ist

Es ist kein Vertragsarchiv; Ihre unterschriebenen Vereinbarungen liegen in Ihren eigenen Unterlagen, und das Register hält fest, was sie sagen und wo. Es ist kein Compliance-Zertifikat für einen Lieferanten; eine Zeile wie „AVV gelesen am 24.09.2026, Meldefrist bei Verletzungen des Schutzes personenbezogener Daten 48 Stunden, Löschung innerhalb von 30 Tagen, Unterauftragsverarbeiter in DE und IE“ hält Fakten fest, und die Entscheidung, den Lieferanten weiter zu nutzen, liegt bei Ihnen. Und es ist nie fertig: Art. 21 Abs. 2 Buchst. f verlangt „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit“, was für ein Register heißt: nach einem festen Zeitplan neu lesen, neu prüfen und neu entscheiden.

So macht es Maditon

Mit dem Lieferantenregister beginnt jedes Maditon-Konto. Sie erfassen einen Lieferanten und die Adressen seiner Dokumente; Maditon ruft sie ab, wertet sie aus, zitiert die Passage, auf der jede Tatsache beruht, und listet auf, was ein Dokument dieser Art schuldet und nicht angibt. Lieferanten werden mit Ihren Systemen und Diensten verknüpft, und jedes System hat seine eigenen Dokumente und seine Support-Anmerkung. Die Ansicht „SLA und Kontaktdaten“ zeigt für jeden Lieferanten, was er zugesagt hat und wen Sie anrufen, mit dem Dokument und dem Datum, aus denen jeder Wert stammt. Änderungen kommen in einer täglichen E-Mail. Ein PDF-Paket bringt ein System mit seinen Lieferanten oder das ganze Register zu Papier, für einen Kunden, für eine Prüfung oder für den Tag, an dem Sie gar keinen Zugang haben. Jede Auswertung ist ein Entwurf, bis eine namentlich benannte Person sie bestätigt, und jeder Befund ist eine Frage an den Lieferanten, kein Urteil.

Siehe Was sind Systeme und Dienste in Maditon? und Was enthält ein PDF-Paket von Maditon?, oder legen Sie die erste Zeile in der App an.