Anbieter zum Thema

Impossible Cloud GmbH

Schritt 7: Risiko-Assessment der Lieferkette

NIS-2 geht jedoch über Maßnahmen zum Schutz der eigenen Umgebung hinaus: Betroffene Organisationen sollten „die Gesamtqualität und Widerstandsfähigkeit der Produkte und Dienste, die darin enthaltenen Risikomanagement-Maßnahmen im Bereich der Cybersicherheit und die Cybersicherheitsverfahren ihrer Lieferanten und Diensteanbieter, einschließlich ihrer sicheren Entwicklungsprozesse, bewerten und berücksichtigen“, sagt Dennis-Kenji Kipker, Professor für IT-Sicherheitsrecht an der Hochschule Bremen. „Dazu kann es erforderlich sein, Risikomanagement-Maßnahmen zur Cybersicherheit in die vertraglichen Vereinbarungen mit Lieferanten und Diensteanbietern einzubeziehen.“ Dies sei aber nicht grundlegend neu, sondern auch schon im zweiten IT-Sicherheitsgesetz (2021) gefordert.

Wie aber geht man es an, die digitale Lieferkette zu überprüfen? „Das ist keine Rocket-Science“, beschwichtigt Materna-VP Stricker. „Die Einkaufsabteilung hat im Idealfall eine Liste der Dienstleister. Diese kategorisiere ich: Wie kritisch sind diese Dienstleister für meine Geschäftsprozesse? Danach richten sich die Sicherheitsmaßnahmen, und diese gebe ich dann als Anforderungen an die Dienstleister weiter.“ Neue Verträge, rät er, sollten daher immer Security-Klauseln enthalten.

„Ein Third-Party-Risk-Management musste man auch für die DSGVO schon umsetzen“, sagt Andreas Schneider von Lacework. Nun sei lediglich der Kreis größer geworden, weil es nicht mehr nur um personenbezogene Daten gehe. Doch für DSGVO-konforme Unternehmen gelte: „Wahrscheinlich hat man die Übung zu drei Vierteln schon erfüllt.“

„Im Prinzip läuft es darauf hinaus, dass man sich mit seinen Lieferanten zusammensetzt und prüft, ob sie NIS-2-Konformität durch Zertifikate nachweisen können“, kommentiert Tim Berghoff, Security Evangelist bei G Data.

Ist also eine ISO-27001-Zertifizierung für Lieferanten wesentlicher und wichtiger Unternehmen zwingend erforderlich? „Heute noch nicht“, meint Lacework-Experte Schneider. „Man kann aber davon ausgehen: Sobald dem ersten CEO wegen eines NIS-2-Verstoßes der Stecker gezogen wurde, werden die Unternehmen von Lieferanten Security-Nachweise erfordern. Es gibt kein NIS-2-Zertifikat, deshalb wird dann für viele ISO 27001 gefordert werden.“ Denn wer ein ISO-27001-Zertifikat habe, habe wahrscheinlich 80 Prozent von NIS-2 schon umgesetzt. Doch er warnt: „Man muss wissen, dadurch werden Produkte teurer.“

Ein solches Zertifikat ist aufgrund des großen Aufwands für viele kleinere Unternehmen außer Reichweite. „Wer kein ISO-27001-Zertifikat hat, muss seine Dokumente zur Verfügung stellen, etwa per Remote-Session, oder muss immer wieder entsprechende Fragebögen ausfüllen und Dokumente dazupacken“, sagt Indevis-Mann Wocke. „Wer ein Zertifikat vorweisen kann, hat es in der Regel leichter.“

Sonderfall Open Source

Einen Sonderfall der digitalen Lieferkette stellt Open-Source-Software da. Denn von der Open-Source-Community kann man schlecht ein ISO-27001-Zertifikat einfordern. „Beim Thema Open Source kommt man auf technischer Seite nicht um SCA [Software Composition Analysis, d. Red.] und SBOM [Software Bill of Materials, d. Red.] herum“, sagt Lacework-Mann Schneider und erläutert: „Ein SBOM-Tool zeigt die Third-Party Libraries auf, die Open Source sind. SCA nutzt dies für einen Vulnerability-Check: Nutzt man irgendwo veraltete Libraries?“ Mit der Überprüfung auf Schwachstellen ist es aber nicht getan. Vielmehr, so Schneider, müsse man auch überlegen: „Was mache ich, wenn eine Schwachstelle gefunden wird? Wie gehe ich damit um, kann ich das patchen oder austauschen?“

Auch dafür müssen Unternehmen, die Open Source nutzen, also geeignete Prozesse finden. Doch Check-Point-CISO Eggerling gibt Entwarnung: Es sei auch mit Ubuntu-Endpoints „problemlos möglich, eine ISO-27001-Zertifizierung zu erreichen“. Er ergänzt: „Als Microsoft-Kunde habe ich keinerlei Auditierrecht, ich muss Microsoft vertrauen. Bei einem Linux-Derivat habe ich die gleiche Situation.“ Ein Unternehmen müsse lediglich genügend Fürsorge dokumentieren, um sagen zu können: Ich habe mich damit beschäftigt. „Solange die großen Software-Konzerne kein Source-Code-Escrow [Hinterlegen des Quellcodes bei einem neutralen Dritten, d.Red.] anbieten“, so Eggerling, „liegen sie hier mit Linux gleichauf.“

(ID:50265322)