Was ein Auftraggeber von der ICT-Dienstleistung nach NIS2 fordert
Ein Auftraggeber, der selbst unter die NIS2-Sorgfaltspflicht fällt, muss nachweisen, dass er auch die Risiken in seiner Lieferkette behält. Wenn Sie Fernverwaltung, Hosting, Anwendungsverwaltung oder einen Helpdesk für einen solchen Auftraggeber bereitstellen, erscheint dies im Vertrag: Anforderungen darüber, wer Zugang zu Systemen hat, wie dieser Zugang protokolliert wird, und ob Sie Unterauftragnehmer einsetzen, ohne dies vorher zu melden.
Die Anforderungen selbst unterscheiden sich je nach Auftraggeber und Branche, aber eine Reihe von Themen kommt fast immer vor: Zugriffsverwaltung, Protokollierung von Verwaltungsmaßnahmen, Meldungsfristen bei einem Sicherheitsvorfall auf Ihrer Seite und Einsicht in wer sonst noch an der Arbeit beteiligt ist. Letzteres — Unterauftragnehmer — ist für viele ICT-Dienstleister das Thema, bei dem der Fragebogen am längsten verweilte.
Warum dies jetzt im Vertrag steht
Die NIS2-Richtlinie verpflichtet in Artikel 21 betroffene Organisationen, auch die Sicherheit ihrer Anbieter und Dienstleister zu bewerten. Ein Auftraggeber, der selbst prüfungspflichtig ist, kann dies nicht mit einer mündlichen Zusage nachweisen; er benötigt eine schriftliche Vereinbarung, die er seinem eigenen Aufsichtsführenden zeigen kann. Für Sie als ICT-Dienstleister bedeutet das: dieselbe Frage kommt zurück, nur jetzt in einem Nachtrag oder einer Anlage zum Vertrag festgehalten, anstelle einer losen E-Mail.
Dies ist eine Verschiebung in der Form, nicht notwendigerweise im Inhalt. Vieles von dem, was gefragt wird, taten Sie als Administrator wahrscheinlich bereits. Das Neue ist, dass Sie es nachweisen müssen, mit einem Datum und einem Namen.
Zugang zu Kundensystemen: was genau gefordert wird
Auftraggeber fordern zunehmend einen Überblick darüber an, wer bei ihnen Zugriff hat, mit welchen Rechten, und wie dieser Zugriff entzogen wird, sobald jemand das Team verlässt. Multifaktor-Authentifizierung für administrativen Zugriff ist mittlerweile eine häufig gestellte Anforderung, ebenso wie ein Protokoll, das dokumentiert, wann und von wem auf ein System zugegriffen wurde. Einige Verträge fordern zusätzlich einen festen Ansprechpartner auf Ihrer Seite, damit der Auftraggeber nicht davon abhängig ist, wer in dieser Woche Dienst hat.
Die zugrunde liegende Frage des Auftraggebers ist immer dieselbe: Kann er im Falle eines Vorfalls nachvollziehen, wer wann Zugriff hatte. Das ist auch der Grund, warum allgemeine Antworten wie "wir arbeiten nach Best Practices" selten ausreichen — es wird um einen konkreten Nachweis gebeten, nicht um eine Absichtserklärung.
Fernverwaltung: besondere Aufmerksamkeit für Authentifizierung und Protokollierung
Fernverwaltung erhält in vielen Fragelisten einen eigenen Abschnitt, gerade weil ein Angreifer, der dort eindringt, in einem Schritt bei mehreren Kunden landen kann. Fragen beziehen sich dann auf die Verschlüsselung der Verbindung, darauf, ob der Zugriff auf Fernverwaltung vom gewöhnlichen Netzwerk Ihres Unternehmens getrennt ist, und darauf, wie schnell Sie eine Sitzung beenden können, falls Sie Missbrauch vermuten. Auch hier gilt: Es geht nicht um eine Bewertung, wie gut Ihre Sicherheit ist, sondern darum, ob Sie diese nachweisen können.
Wer solche Fragen zum ersten Mal erhält, erlebt dies oft als einmalige Aktion für einen Kunden. In der Praxis lassen sich die Nachweise, die Sie für einen Auftraggeber sammeln, mit kleinen Anpassungen auch für den nächsten verwenden. die Themen pro Situation durchlesen vermittelt einen Überblick darüber, welche Fragen bei welcher Art von Dienstleistung wiederkommen.
Subunternehmer: das Risiko, das Sie nicht allein kontrollieren
Der schwierigste Teil für viele IKT-Dienstleister ist nicht die eigene Sicherheit, sondern die der Parteien, die sie einbeziehen: ein Hosting-Anbieter, ein Überwachungsdienst, ein freiberuflicher Spezialist. Ein Auftraggeber, der selbst einer Sorgfaltspflicht unterliegt, möchte wissen, ob Sie Unterauftragnehmer nutzen, wer diese sind, und ob sie ähnliche Anforderungen erfüllen. Manche Verträge verpflichten Sie, Änderungen in dieser Lieferkette im Voraus zu melden, oder um die gleichen Sicherheitsanforderungen vertraglich an Ihre eigenen Lieferanten weiterzugeben.
Das ist für ein kleines IKT-Unternehmen nicht immer einfach zu regeln, besonders wenn der Unterauftragnehmer selbst keine Ahnung hat, warum diese Frage plötzlich gestellt wird. Ein erster Schritt ist ein einfacher Überblick: wer macht was für Sie, und welche Vereinbarung haben Sie dazu dokumentiert. Ohne diesen Überblick ist jede neue Frageliste wieder neu aufzuschlüsseln.
Was Sie zusagen können und was nicht
Es ist ratsam, in einen Vertrag nur Zusagen aufzunehmen, die Sie auch nachweisen können. Ein Auftraggeber, der nach Reaktionszeiten bei einem Sicherheitsvorfall, einem 24/7-Dienst oder einer Garantie fragt, dass nichts schiefgeht, fragt im Grunde nach einem Versprechen, das wenige IKT-Dienstleister einlösen können, ohne dafür einen separaten, teuren Dienst einzurichten. Es liegt an Ihnen und, wenn nötig, an einem Rechtsanwalt zu beurteilen, welche Klauseln angemessen sind und welche über das hinausgehen, was die Sorgfaltspflicht des Auftraggebers tatsächlich verlangt.
Ob Ihre eigene Organisation darüber hinaus direkt unter die NIS2-Sorgfaltspflicht fällt — als Unternehmen von wesentlicher Bedeutung oder von kritischer Bedeutung, oder durch die Lieferkettenverantwortung — lässt sich mit einigen wenigen Fragen klären. Diese Unterscheidung bestimmt, ob Sie nur Antworten für Ihre Kunden vorbereiten, oder auch selbst eine Dokumentation führen müssen.
Loslegen
Für den Auftraggeber zählt am Ende nicht Ihre Absicht, sondern ob die Antwort auf seine Frage bereitsteht, wenn er danach fragt. Wer einmal pro Maßnahme einen Status, ein Beweismittel und einen Verantwortlichen dokumentiert hat, muss bei der nächsten Frageliste nicht neu suchen. Schauen Sie sich an, was das Dossier und die Fragelisten kosten wenn Sie diese Vorbereitung strukturell angehen möchten, oder lesen Sie zunächst die häufig gestellten Fragen zur Funktionsweise der Plattform.
Beginnen Sie unverbindlich mit der kostenlosen NIS2-Prüfung, um zu sehen, ob Ihre Organisation selbst verpflichtet ist, lieferkettenrelevant ist, oder keines von beiden — und lesen Sie in der Wissensdatenbank weiter über die Themen, die für Ihren Sektor relevant sind.