Hintergrund
Die Anforderungen wandern die Lieferkette hinab
NIS2 verpflichtet erfasste Unternehmen, die Sicherheit in ihrer gesamten Lieferkette zu steuern – nicht nur in den eigenen Systemen. Artikel 21 der Richtlinie nennt die Sicherheit der Lieferkette ausdrücklich als eine der Maßnahmen, für die die Geschäftsleitung verantwortlich ist und haftbar gemacht werden kann.
In der Praxis bedeutet das: Viele erfasste Unternehmen stellen derzeit konkrete Sicherheitsanforderungen an ihre Zulieferer – in neuen Verträgen, in Due-Diligence-Prozessen und in wiederkehrenden Lieferantenaudits. Sind Sie Zulieferer etwa in der Produktion, Logistik oder im IT-Betrieb, müssen Sie also nicht selbst unter NIS2 fallen, bevor die Anforderungen Sie erreichen – sie kommen von Ihren Kunden.
Die Fragen des Kunden
Wonach NIS2-Kunden typischerweise fragen
- Zugriffsübersicht: Können Sie dokumentieren, wer Zugriff auf die Systeme und Daten hat, die die Lieferung an den Kunden betreffen?
- Offboarding: Wie schnell werden Zugriffe entzogen, wenn ein Mitarbeiter ausscheidet – und können Sie das nachweisen?
- Privilegierte Konten: Wer hat Administratorrechte, und wie werden diese begrenzt und überwacht?
- Vorfallsbehandlung: Wie erkennen und melden Sie Sicherheitsvorfälle, die den Kunden betreffen könnten?
- Dokumentation: Können Sie Richtlinien und Logs vorlegen, oder beruht die Antwort auf Gedächtnis und gutem Willen?
Warum Access Governance der richtige Ausgangspunkt ist
Die Frage, wer Zugriff auf was hat, ist einfach zu stellen und oft überraschend schwer klar zu beantworten. In vielen kleinen und mittleren Unternehmen werden Zugriffe manuell verwaltet: in Tabellen, über mündliche Absprachen oder ad hoc, wenn ein Mitarbeiter anfängt oder ausscheidet. Das ist nicht zwangsläufig ein Zeichen schlechter Sicherheit, aber es ist schwer gegenüber einem Kunden zu dokumentieren, der nachfragt – und es erhöht das Risiko, dass alte Konten lange nach ihrem eigentlichen Ablaufdatum bestehen bleiben.
Können Sie heute nicht antworten, besteht kein Grund zur Panik. Aber es gibt guten Grund anzufangen, bevor die Antwort zu einer Vertragsanforderung mit Frist wird. Access Governance ist zugleich die konkreteste und messbarste der Lieferantenanforderungen – und damit der Bereich, in dem sich ein strukturiertes Vorgehen am schnellsten dokumentieren lässt.
Es muss kein großes Projekt sein
Die gute Nachricht: Sie brauchen kein mehrjähriges IAM-Programm, um glaubwürdig zu antworten. Wenn Sie mit den Systemen beginnen, die am wichtigsten sind – typischerweise HR, Active Directory und die zentralen Geschäftssysteme –, lassen sich eine konsolidierte Übersicht und ein dokumentierter Prozess innerhalb weniger Monate etablieren.
Im nächsten Artikel zeigen wir, wie Sie die Sicherheitsanforderungen Ihres Kunden in der Praxis beantworten und wie ein phasenweises Vorgehen aussieht.
Lesen: So beantworten Sie die Sicherheitsanforderungen Ihres KundenKurz gefasst
- Die Anforderungen kommen vom Kunden, nicht von der Behörde – über Verträge und Lieferantenaudits.
- Access Governance ist die konkreteste und am besten überprüfbare der Anforderungen.
- Ein phasenweises Vorgehen liefert dokumentierbare Ergebnisse in Wochen, nicht Jahren.
Haben Sie Sicherheitsanforderungen von einem Kunden erhalten?
Wir geben eine unverbindliche Einschätzung, wo Sie stehen und was für Unternehmen Ihrer Größe der typische nächste Schritt ist. Ergebnisse auf Englisch, Dialog auf Deutsch.
