Ein Auftraggeber, der selbst unter die NIS2-Richtlinie fällt, darf seine Sorgfaltspflicht nicht auf die eigene Organisation beschränken. Diese Pflicht erstreckt sich auf die Lieferkette: Der Auftraggeber muss beurteilen, welche Risiken Lieferanten mit sich bringen, und das wird in Vertragsanforderungen umgesetzt. In der Metall- und Fertigungsindustrie geht es dabei oft nicht nur um Bürotechnik, sondern auch um Maschinen, Steuerungssysteme und Produktionslinien, die auf irgendeine Weise mit dem Netzwerk des Auftraggebers oder mit dem Internet verbunden sind.
Die häufigsten Anforderungen betreffen Zugriff, Netzwerktrennungen, Aktualisierungsrichtlinien und die Meldung von Vorfällen an den Auftraggeber selbst — unabhängig von der gesetzlichen Meldepflicht, die nur für verpflichtete Entitäten gilt. Im Folgenden wird beschrieben, welche Bestimmungen häufig vorkommen und was diese in der Praxis für eine Produktionsumgebung bedeuten.
Welche Bestimmungen im Vertrag vorkommen
Verträge, die nach der NIS2-Richtlinie überprüft werden, enthalten üblicherweise eine Kombination von Verpflichtungen: das Recht, regelmäßig Fragelisten zu versenden, eine Meldefrist für Vorfälle, die die Leistungserbringung an den Auftraggeber beeinträchtigen, eine Verpflichtung, Sicherheitsmaßnahmen nachweisbar zu machen, und manchmal auch ein Inspektionsrecht. Die Formulierung unterscheidet sich stark je nach Auftraggeber und Sektor; es gibt keinen Standardtext, der für alle Verträge gilt. Um ein klareres Bild davon zu bekommen, was dabei angemessen ist und was nicht, die am häufigsten gestellten Fragen darüber, was ein Abnehmer fragen darf, zu Rate ziehen.
Wichtig ist die Unterscheidung: Der Auftraggeber stellt diese Anforderungen aus seiner eigenen Sorgfaltspflicht heraus, nicht weil der Lieferant selbst unter die Richtlinie fällt. Ein Maschinenbauer oder Lieferant in der Metall- und Fertigungsindustrie kann daher Vertragsanforderungen erhalten, ohne selbst eine wesentliche oder wichtige Entität zu sein. Ob das für eine bestimmte Beziehung der Fall ist, hängt vom Sektor und der Größe des Auftraggebers und von der Rolle ab, die der Lieferant in dieser Lieferkette spielt.
Was dies für an das Netzwerk angeschlossene Produktionssysteme bedeutet
In der Metall- und Fertigungsindustrie ist die Kombination von IT (Bürotechnik) und OT (operative Technologie wie CNC-Maschinen, Speicherprogrammierbare Steuerungen und Produktionslinien) ein wiederkehrendes Anliegen in den Fragen, die Auftraggeber stellen. Maschinen, die aus der Ferne gewartet werden können, oder die Produktionsdaten in eine Cloud-Umgebung senden, werden mit derselben Aufmerksamkeit behandelt wie ein Laptop im Büro.
Trennung zwischen Büro- und Produktionsnetzwerk
Eine wiederkehrende Frage ist, ob das Produktionsnetzwerk vom Büronetzwerk getrennt ist und ob eine Störung oder Infektion in einem Netzwerk sich auf das andere ausbreiten kann. Dies ist keine Frage, die nur mit ja oder nein in einer Frageliste beantwortet wird; Aufsichtsbehörden und Auftraggeber schauen sich dabei die tatsächliche Konfiguration an, nicht eine Absichtserklärung.
Fernzugriff für Wartung
Viele Maschinen in der Metall- und Fertigungsindustrie werden vom Hersteller der Maschine selbst aus der Ferne gewartet, manchmal über eine ständig offene Verbindung. Vertragsanforderungen konzentrieren sich oft speziell auf diesen Punkt: Wer hat Zugriff, wie wird dieser Zugriff protokolliert, und kann er jederzeit widerrufen werden. Dies betrifft sowohl den Lieferanten, der die Maschine baut, als auch das Unternehmen, das die Maschine nutzt.
Was Auftraggeber als Nachweis anfordern
Neben dem Fragebogen selbst fordert ein Auftraggeber häufig eine Form der Begründung an: ein Richtliniendokument, eine Übersicht darüber, wer Zugriff auf welche Systeme hat, oder eine Erklärung, wie mit Updates umgegangen wird. Ein Zertifikat oder Audit-Bericht kann angefordert werden, ist aber für sich genommen keine gesetzliche Verpflichtung gemäß NIS2 — das ist eine Entscheidung des jeweiligen Auftraggebers. Um nachzuprüfen, wie sich diese Vertragsbedingungen zu Ihrer eigenen Position in der Lieferkette verhalten, ist es sinnvoll, zunächst in wenigen Fragen zu überprüfen, wo Ihre Organisation steht.
Was Sie selbst damit tun können
Die meisten Anforderungen, die in Verträgen für die Metall- und Fertigungsindustrie auftauchen, leiten sich von den zehn Risikomanagementmaßnahmen der Richtlinie ab: Zugriffskontrolle, Netzwerksegmentierung, Incident-Registrierung und Wiederherstellungspläne tauchen alle auf, aber dann zugeschnitten auf die Frage, die der Auftraggeber stellt. Eine Übersicht pro Situation, einschließlich der Themen, die speziell für Produktionsumgebungen gelten, finden Sie in der Übersicht der Themen pro Sektor und Situation.
Für die genaue Formulierung eines Vertrags und für die Frage, ob eine bestimmte Anforderung im Verhältnis zur Geschäftsbeziehung angemessen ist, bleibt rechtliche Beratung der richtige Weg; dieser Artikel beschreibt die Muster, die auftauchen, nicht die Antwort auf einen individuellen Vertrag. Mehr darüber, woher die Informationen auf dieser Website stammen und wie sie gepflegt werden, finden Sie auf der Seite darüber, wie wir die Quellen pflegen.
Möchten Sie schnell sehen, ob Ihre Organisation über die Lieferkette betroffen ist, und welcher nächste Schritt dazu passt? Die kostenlose NIS2-Überprüfung gibt Ihnen in wenigen Fragen eine erste Orientierung, ohne dass Sie ein Konto benötigen.