Ihr slowenischer Zulieferer ist kein KRITIS-Betreiber. Warum betrifft er dennoch Ihre Sicherheitsstrategie?

Ausgabe 03 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Lieferantenmanagement und Informationssicherheit bei Unternehmen, die selbst reguliert sind oder regulierte Kunden beliefern.

„Der Lieferant fällt nicht unter KRITIS, also ist er nicht unser Thema.“ Der Satz ist juristisch oft richtig und für die Sicherheitsstrategie trotzdem falsch. Er verwechselt die Frage, wer eine Pflicht hat, mit der Frage, woher ein Risiko kommt.

In diesem Beitrag: Drei Dinge, die oft verwechselt werden · Was die Regulierung von Ihnen verlangt · Wo Ihre Verantwortung endet · Beispiel · Was sich ändert · Zwei gut gemeinte Fehler · Die Abhängigkeitslandkarte · Die Frage an Ihren Lieferanten · Anhang: Vorlage

In Gesprächen über Lieferanten und Sicherheit laufen drei Ebenen durcheinander. Für eine belastbare Strategie müssen sie getrennt bleiben:

Ihr Status als Betreiber einer kritischen Anlage oder als Einrichtung nach NIS 2 ist eine Eigenschaft Ihres Unternehmens. Er wandert nicht über die Grenze zu einem slowenischen Werkzeugbauer oder Softwarehaus. Der Lieferant hat seinen eigenen Status: in Slowenien gilt seit dem 19. Juni 2025 das Gesetz über Informationssicherheit (ZInfV-1), mit dem Slowenien NIS 2 umsetzt. Ob er darunter fällt, entscheidet sich nach dortigem Recht, nicht nach Ihrem.

Die dritte Ebene kümmert sich um keinen Status. Wenn der Lieferant per VPN in Ihre Leittechnik kommt, ist sein Zugang Teil Ihrer Angriffsfläche, ob er reguliert ist oder nicht.

Die NIS-2-Richtlinie verlangt von erfassten Einrichtungen Risikomanagementmaßnahmen, darunter ausdrücklich die Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern (Art. 21 Abs. 2 Buchst. d), und Konzepte und Verfahren für den Einsatz von Kryptografie (Buchst. h). Bei der Lieferkette sollen die Einrichtungen die Schwachstellen ihrer direkten Anbieter, die Qualität ihrer Produkte und ihre Cybersicherheitspraxis berücksichtigen (Art. 21 Abs. 3).

Die deutsche Umsetzung befindet sich Anfang September 2025 noch im Gesetzgebungsverfahren. Für bestehende KRITIS-Betreiber gelten bis dahin die Anforderungen des BSI-Gesetzes. An der Richtung ändert das nichts: Die Pflicht trifft Sie. Sie müssen die Risiken aus Ihrer Lieferkette bewerten und behandeln. Der Lieferant wird dadurch nicht Adressat des Gesetzes, sondern Gegenstand Ihrer Bewertung.

Die EU-Roadmap zur Post-Quanten-Kryptografie vom Juni 2025 setzt genau dort an. Unter den ersten Schritten: Abhängigkeiten kartieren, interne wie solche zu Dritten, und die Lieferkette einbeziehen. Für Anwendungsfälle mit hohem Risiko soll die Umstellung bis Ende 2030 abgeschlossen sein. Ein Anwendungsfall, dessen Schlüsselaustausch beim Lieferanten endet, ist erst umgestellt, wenn beide Enden es sind.

Aus der Pflicht, Lieferkettenrisiken zu behandeln, folgt nicht, dass Sie die Systeme des Lieferanten steuern. Die Grenze verläuft so:

• Ihre Aufgabe: Abhängigkeiten kennen, ihr Risiko bewerten, Anforderungen formulieren, Nachweise verlangen, Entscheidungen über Restrisiken treffen.
• Aufgabe des Lieferanten: seine Systeme und Prozesse, seine eigenen Unterauftragnehmer und Hersteller, seine eigene Rechtslage.
• Gemeinsame Aufgabe: jede Verbindung zwischen beiden Häusern. Sie hat zwei Enden und braucht eine Abstimmung, wer wann was umstellt.

Eine Strategie, die beim Satz „kein KRITIS, also nicht relevant“ endet, lässt die dritte Zeile leer. Eine Strategie, die vom Lieferanten verlangt, alles zu erfüllen, was für Sie gilt, überfordert die zweite und erzeugt Verträge, die niemand einhalten kann.

Stellen Sie sich einen kommunalen Wasserversorger in Bayern vor, Betreiber einer kritischen Anlage. Die Software, mit der Pumpwerke und Hochbehälter überwacht werden, stammt aus einem Integrationsprojekt, an dem ein slowenisches Ingenieurbüro mitgearbeitet hat. Das Büro wartet heute zwei Module per Fernzugang und liefert für eine Messstation eigene Firmware.

Das Büro hat zwölf Mitarbeitende und ist nach eigener Einschätzung in Slowenien nicht von ZInfV-1 erfasst. In Deutschland ist es kein KRITIS-Betreiber. Rechtlich hat es keine eigene Pflicht gegenüber dem BSI.

Technisch hängen am Büro drei Dinge, die der Versorger in seiner Risikoanalyse führen muss:

1. Der Fernzugang endet auf einem VPN-Gateway im Büro. Welche Verfahren dort für den Schlüsselaustausch konfiguriert sind und wer sie ändern kann, weiß beim Versorger niemand. Im Büro, nebenbei gesagt, auch nicht mehr so genau.
2. Die Firmware der Messstation wird mit einem Schlüssel des Büros signiert. Wird diese Signatur in zehn Jahren fälschbar, lässt sich manipulierte Firmware einspielen. Die Messstation soll fünfzehn Jahre laufen.
3. Die Projektdokumentation mit Netzplänen liegt auch beim Büro. Ihre Schutzdauer ist lang.

Keiner dieser Punkte macht das Büro zum KRITIS-Betreiber. Jeder dieser Punkte ist eine Abhängigkeit, die nach der EU-Roadmap als hohes Risiko gelten kann: lange Lebensdauer, lange Umstellung, lange Vertraulichkeit.

• Lieferanten nach Abhängigkeit einstufen, nicht nach Umsatz. Ein kleines Ingenieurbüro mit Fernzugang ist kritischer als ein großer Lieferant von Standardteilen.
• Kryptografie als Merkmal der Abhängigkeit erfassen. Nicht als eigene Kategorie, sondern als Spalte: Welche Verfahren schützen die Verbindung, wer kann sie ändern?
• Anforderungen nach Ebene trennen. Was gesetzlich für den Lieferanten gilt, verlangen Sie nicht; Sie fragen danach. Was Sie brauchen, regeln Sie im Vertrag. Was technisch nötig ist, stimmen Sie gemeinsam ab.
• Kleine Lieferanten nicht überfordern. Ein Zwölf-Personen-Büro kann kein Kryptoinventar nach Konzernstandard liefern. Es kann aber sagen, welche drei Verbindungen es zu Ihnen hat und wer sie betreut.

Das Gesetz in den Vertrag kopieren. Eine Anlage, die den Lieferanten verpflichtet, „sämtliche Anforderungen der NIS-2-Richtlinie und des BSI-Gesetzes einzuhalten“, sieht gründlich aus. Sie ist für einen slowenischen Zehn-Personen-Betrieb weder verständlich noch prüfbar, und im Streitfall weiß niemand, was genau geschuldet war. Besser: die zwei oder drei Anforderungen, die sich aus Ihren Abhängigkeiten ergeben, konkret benennen, etwa „Die Verfahren am Fernwartungszugang werden auf Anfrage innerhalb von 20 Arbeitstagen offengelegt“.

Ein Zertifikat als Ersatz für Wissen nehmen. Eine ISO/IEC-27001-Zertifizierung zeigt, dass ein Managementsystem existiert. Sie zeigt nicht, mit welchen Verfahren ein bestimmtes VPN-Gateway Schlüssel aushandelt oder wann ein Signaturschlüssel ersetzt wird. Für die Post-Quanten-Umstellung zählt die zweite Art Wissen. Ein Zertifikat ist ein guter Hinweis auf Ordnung, kein Nachweis über Kryptografie.

Beide Fehler haben dieselbe Ursache: Die eigene Pflicht wird nach außen gereicht, ohne sie vorher in die konkreten Abhängigkeiten zu übersetzen.

Die EU-Roadmap empfiehlt Abhängigkeitskarten als einen der ersten Schritte. Für das Lieferantenmanagement reicht ein schlichtes Format: je Lieferant und je Abhängigkeit eine Zeile, mit den drei Ebenen nebeneinander. In der Praxis entsteht sie in zwei Durchgängen:

1. Von innen: Welche Ihrer kritischen Dienste nutzen Daten, Zugänge, Software oder Geräte von Lieferanten? Die Antwort kommt aus dem Betrieb, nicht aus dem Einkauf.
2. Von außen: Mit jedem kritischen Lieferanten die Zeilen gemeinsam prüfen. Fehlende Einträge in der Spalte „Wer ändert“ sind das Ergebnis, nicht ein Mangel des Gesprächs.

„Welche Ihrer Systeme und Zugänge sind Teil unserer Prozesse, und wer bei Ihnen oder bei Ihren Dienstleistern ist für ihre Kryptografie zuständig?“

Mit dieser Frage verlangen Sie keinen Status, den der Lieferant nicht hat. Sie fragen nach dem, was Sie für Ihre eigene Pflicht wissen müssen. Ein guter Lieferant erkennt den Unterschied und antwortet entsprechend.

Die slowenische Ausgabe behandelt dieselbe Frage aus Sicht des Lieferanten: »Niste KRITIS-zavezanec. Ali ste zato zunaj problema?« (auf Slowenisch). Vorherige Ausgabe: Heute abgefangen, morgen entschlüsselt.

Eine Zeile je Abhängigkeit, nicht je Lieferant. In der slowenischen Ausgabe inhaltlich gleich.

Lesehilfe: Zeilen mit „Wer ändert: unbekannt“ und „Risiko: hoch“ sind Ihr erster Gesprächsstoff. Zeilen mit „Vertragliche Regelung: keine“ und langer Lebensdauer gehören in die nächste Vertragsverlängerung.

Grenze der Vorlage: Die Spalte „Gesetzliche Pflicht des Lieferanten“ dokumentiert eine Auskunft, keine Prüfung. Ob ein Unternehmen nach slowenischem oder deutschem Recht erfasst ist, beurteilt dessen eigene Rechtsberatung.

Alle erschienenen Ausgaben der Reihe: Übersicht „Post-Quanten-Sicherheit in der Lieferkette“

Nächste Ausgabe (6. 10. 2025): „Sie fordern Quantensicherheit von Lieferanten. Kennen Sie Ihre eigenen kryptografischen Abhängigkeiten?“

Quellen (Stand 1. 9. 2025): Richtlinie (EU) 2022/2555 (NIS 2), Art. 21 Abs. 2 und 3; NIS Cooperation Group, „A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography“, Version 1.1 (Juni 2025), Abschnitt 6.2; Zakon o informacijski varnosti (ZInfV-1), Uradni list RS Nr. 40/2025.

Wenn Sie Ihre Lieferanten einmal nach Abhängigkeit statt nach Umsatz sortieren möchten: Schreiben Sie uns.