Was tun, wenn Lieferanten, Softwareanbieter, SaaS- oder Cloud-Dienste Sicherheitsprobleme melden?
Ein Lieferant meldet eine Schwachstelle. Ein Cloudanbieter informiert über einen Cybervorfall. Ein kritischer Anbieter liefert die angeforderten Security-Nachweise nicht. Das Ereignis liegt außerhalb Ihres Unternehmens – die Auswirkungen können trotzdem Ihre eigenen Systeme, Prozesse, Produkte, Daten oder Kunden betreffen.
Zuerst muss klar sein, was genau betroffen ist, wo es eingesetzt wird, welche Information bestätigt ist und welche Angaben vom Anbieter noch fehlen.
Ein Vorfall beim Provider ist nicht automatisch Ihr eigener Sicherheitsvorfall. Er darf aber auch nicht automatisch als „Problem des Providers“ abgelegt werden.
Allgemeine Sicherheitsversprechen, Zertifikate oder Selbstauskünfte beantworten nicht automatisch jede konkrete Frage.
Der Nutzen entsteht aus der Verbindung zu verwendeten Komponenten, Versionen, bekannten Schwachstellen und dem eigenen Arbeitsstand.
Lieferanten-Cybersicherheit ist kein einmaliger Einkaufscheck. Änderungen können neue Informationsbedarfe oder Neubewertungen auslösen.
Hier wird aus einzelnen Fragebögen und Zertifikaten ein nachvollziehbarer Nachweisstand.
Cybersecurity und Resilienz treffen sich dort, wo eine externe Abhängigkeit zum Single Point of Failure werden kann.
Lieferanten-Cybersicherheit verbindet Aufgaben, die in Unternehmen häufig auf Einkauf, IT, Informationssicherheit, Produktbereiche und Compliance verteilt sind.
Die NIS2-Richtlinie sieht für von ihr erfasste wesentliche und wichtige Einrichtungen Cybersecurity-Risikomanagementmaßnahmen vor. Dazu gehört ausdrücklich die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu direkten Lieferanten und Diensteanbietern.
Ob und welche NIS2-bezogenen Pflichten ein konkretes Unternehmen treffen, hängt vom jeweiligen Rechts- und Unternehmenskontext ab.
Die konkrete Vertragsgestaltung hängt vom Einzelfall ab und kann rechtliche Prüfung erfordern.
Der kostenlose 7-Fragen-Quick-Guide führt die Erstaufnahme weiter und ergänzt interne Verantwortung, Dokumentation und nächsten Review.
Kostenlosen Quick Guide öffnenDer Schwerpunkt liegt auf SaaS, Cloud, externer IT, Softwareanbietern, Managed Services oder anderen kritischen Lieferanten.
Lieferanten-Cybersicherheit vertiefen →Die betroffene Software, Firmware oder Komponente ist Bestandteil eines eigenen Produkts mit digitalen Elementen.
Zum Cyber Resilience Act →Ein Lieferant kann beim Onboarding sorgfältig geprüft worden sein – und ein Jahr später sieht der relevante Zustand anders aus.
Fragen für die ersten Schritte
Online lesen · PDF herunterladen · keine Registrierung erforderlich
Der Quick Guide hilft dabei, Meldung, eigenen Bezug, bestätigte Fakten, Informationslücken, interne Zuständigkeit und nächsten Review nachvollziehbar zu erfassen.
Wenn Sie Lieferanten, SaaS-/Cloud-Dienste, Softwareanbieter und weitere externe Abhängigkeiten strukturiert steuern und dokumentieren möchten, unterstützt das Supply Chain Praxis-Kit die operative Bearbeitung.
Sie umfasst die Steuerung von Cyberrisiken, die aus Lieferanten, Softwareanbietern, Cloud-/SaaS-Diensten und anderen externen Services entstehen können.
Zuerst klären, welcher Anbieter, Service, welche Komponente und Version gemeint sind und ob Sie diese tatsächlich nutzen. Danach bestätigte Fakten, Informationslücken, zuständige interne Stellen und nächsten Review dokumentieren.
Nein. Zuerst muss geprüft werden, welche eigenen Daten, Services, Prozesse oder Systeme betroffen sein können und ob daraus ein eigener Incident- oder Meldeprozess entsteht.
Ein Zertifikat kann ein wichtiger Nachweis über Elemente eines Managementsystems sein, beantwortet aber nicht automatisch jede konkrete Frage zu Service, Produkt, Vertragsumfang, technischem Zustand oder aktuellem Ereignis.
Wenn die betroffene Software, Firmware oder Komponente Bestandteil eines eigenen Produkts mit digitalen Elementen ist, kann zusätzlich die CRA-Produktperspektive relevant werden.
