Inhalt
Wird ein Administratorkonto bei einem EDI-Anbieter kompromittiert, ist nicht nur eine einzelne Anwendung betroffen. Bestell-, Lieferavis- und Rechnungsnachrichten können verändert werden oder ausbleiben. Der Ansatz der NIS2-Lieferantensicherheit verlangt, diese Abhängigkeit vor Vertragsunterzeichnung zu bewerten und während der gesamten Leistungserbringung zu überwachen.
NIS2 verpflichtet erfasste Einrichtungen in der EU, Cyberrisiken in ihren Beziehungen zu direkten Lieferanten und Diensteanbietern zu steuern. Auch wenn ein Hersteller in der Türkei nicht unmittelbar in den Anwendungsbereich der Richtlinie fällt, kann er von seinem EU-Kunden einen Sicherheitsfragebogen, ein Auditrecht oder einen Vertrag mit kurzer Frist zur Meldung von Vorfällen erhalten.
Warum betrifft NIS2 EDI- und B2B-Integrationen?
NIS2 Artikel 21(2)(d) zählt die Sicherheit der Lieferkette zu den Mindestmaßnahmen des Risikomanagements. Der dritte Absatz desselben Artikels verlangt, dass Einrichtungen die Schwachstellen jedes direkten Lieferanten und die Qualität seiner Sicherheitspraktiken bewerten. Diese Aufgabe umfasst Softwareentwicklung, Leistungserbringung und Prozesse der Geschäftskontinuität gleichermaßen.
EDI- und B2B-Integrationsanbieter übertragen fortlaufend Daten zwischen Unternehmen. Eine Verbindung kann Bestellmenge, Lieferadresse, Produktcode oder Rechnungsbetrag verarbeiten. Der Systemzugriff eines Anbieters kann weitreichendere operative Folgen haben als eine gewöhnliche Büroanwendung.
Das Risiko ist nicht nur theoretisch. In der ENISA-Erhebung NIS Investments 2025 nannten 37 Prozent der Organisationen das Risikomanagement in der Lieferkette als einen der am schwierigsten umzusetzenden NIS2-Bereiche. In derselben Erhebung machten Verletzungen über Lieferkette und Dritte 10 Prozent der Angriffsarten aus, die den Tagesbetrieb in den letzten 12 Monaten am stärksten beeinträchtigten. 47 Prozent der Teilnehmer zählten diese Angriffe zu ihren größten Sorgen für die kommende Zeit.
Diese Zahlen zeigen, dass es nicht ausreicht, die Anbieterauswahl auf ein Zertifikatskästchen zu reduzieren. Das Unternehmen sollte festhalten, welche Verbindung auf welche Daten und Prozesse zugreift. Wechselt der Anbieter oder kommt ein neuer Unterauftragnehmer hinzu, sollte auch der Risikoeintrag aktualisiert werden.
In welchen vier Ebenen sollte ein EDI-Anbieter bewertet werden?
Eine EDI-Verbindung in vier Ebenen zu untersuchen, bietet einen praktischen Einstieg.
Zugriffsebene. Führen Sie menschliche Nutzer und Maschinenkonten getrennt auf. Fragen Sie, ob für den Administratorzugang MFA, Rollentrennung und zeitlich begrenzte Berechtigungen bestehen. Prüfen Sie, wann ungenutzte Dienstkonten geschlossen und wie Zugangsdaten erneuert werden.
Nachrichtenebene. Verschlüsselung bei der Übertragung und Speicherung reicht nicht aus. Quelle, Ziel, Empfangszeitpunkt, Validierungsergebnis und Endstatus einer Nachricht müssen nachvollziehbar sein. Auch eine Änderung an einer Mapping- oder Routing-Regel muss mit Nutzer, Zeitpunkt und vorherigem Wert protokolliert werden.
Vorfall- und Nachweisebene. Für fehlgeschlagene Anmeldungen, ungewöhnliche Dateivolumen, erneute Sendungen und Administratoränderungen sollten Alarmregeln definiert werden. Die Aufbewahrungsdauer der Protokolle und der Prüfbedarf des Kunden müssen zueinander passen. Zeitangaben, die bei einem Vorfall als Beweis dienen, müssen in allen Systemen an dieselbe Zeitquelle gebunden sein.
Kontinuitätsebene. Datensicherungen allein sind kein ausreichender Nachweis. Der Anbieter sollte Datum, Ergebnis und Zielzeit des Wiederherstellungstests belegen können. Alternativer Kanal, Warteschlangen, erneute Sendung und ein manueller Fortführungsplan sollten für kritische Belegarten ebenfalls im Voraus festgelegt werden.
Angenommen, bei einem Beispielhersteller landet eine ORDERS-Nachricht mit falscher Kundennummer im ERP. Die Untersuchung zeigt, dass die Mapping-Regel über das Konto eines Unterauftragnehmers geändert wurde. Ein starkes Kontrollmodell führt Berechtigungen des Kontos, Änderungsprotokoll, Liste der betroffenen Nachrichten und die erneute Übermittlung der korrekten Daten in derselben Vorfallakte zusammen. Fehlt diese Beweiskette, bestimmt das Unternehmen Umfang und Beginn des Vorfalls zu spät.
MAPs B2B- und EDI-Integrationsansatz behandelt den Datenfluss zwischen Systemen und Handelspartnern als zentrales Projektthema. Auch die Sicherheitsbewertung sollte von derselben Flusskarte ausgehen.
Was sollten Vertrag und Nachweisakte enthalten?
Die Durchführungsverordnung (EU) 2024/2690 der Kommission konkretisiert Bestimmungen, die in Lieferantenverträgen bestimmter digitaler Diensteanbieter enthalten sein können. Die Liste umfasst Sicherheitsanforderungen, Meldung von Vorfällen, Auditrecht, Schwachstellenmanagement, Unterauftragnehmer und den Umgang mit Daten bei Vertragsende.
Die Akte zur NIS2-Lieferantensicherheit sollte diese Bestimmungen dem tatsächlichen Zugriffs- und Datenumfang jeder EDI-Verbindung zuordnen.
Erstellen Sie für den EDI-Anbieter eine Kontrollakte mit acht Punkten:
- Aktuelles Inventar der menschlichen und maschinellen Identitäten mit Zugriff auf den Dienst
- Nachweis der Kontrollen für Verschlüsselung, Schlüsselverwaltung und Authentifizierung
- Umfang und Aufbewahrungsdauer der Protokolle zu Nachrichten, Administratoraktionen und Regeländerungen
- Vertragliche Meldefrist und Kommunikationskette für Vorfälle, die den Kunden betreffen
- Bestimmung zum Auditrecht oder zum Erhalt eines unabhängigen Prüfberichts
- Zuständigkeiten für Meldung, Behebung und Notfall-Updates von Schwachstellen
- Regel für das Hinzufügen und Wechseln von Unterauftragnehmern und die Weitergabe derselben Bedingungen in der Unterkette
- Verfahren zur Sperrung des Zugriffs, Rückgabe, Löschung und Verifizierung der Daten bei Vertragsende
Ergänzen Sie jede Zeile um Dokumentname, Verantwortlichen, Datum der letzten Prüfung und Gültigkeitsdauer. Werten Sie die Antwort „Es gibt eine Richtlinie“ nicht als Nachweis. Gefragt sind ein aktueller Prüfbericht, ein Testprotokoll, eine Zugriffsliste oder eine unterzeichnete Vertragsklausel.
Halten Sie die Entscheidung mit einem von drei Ergebnissen fest: freigeben, unter Auflagen freigeben oder ablehnen. Bei einer Freigabe unter Auflagen müssen der Verantwortliche für die fehlende Kontrolle und das Abschlussdatum eingetragen werden. Bleiben bei einer Verbindung mit hohem Geschäftsrisiko eine unklare Vorfallmeldung oder ein nicht überprüfbarer Administratorzugang offen, sollte der Vertrag nicht unterzeichnet werden.
MAPs Beitrag zu Risiken bei SaaS-Integrationen erläutert die Ebenen API, Identität und Datensicherheit in einem breiteren Rahmen. Die NIS2-Bewertung ergänzt diese technischen Kontrollen um Vertrags-, Nachweis- und Verantwortungsdokumentation.
Wie wird die Vorfallmeldung im Zeitrahmen von 24 und 72 Stunden erreicht?
NIS2 Artikel 23 sieht bei erheblichen Vorfällen eine Frühwarnung innerhalb von 24 Stunden ab Kenntnisnahme vor. Die erste Meldung des Vorfalls muss innerhalb von 72 Stunden erfolgen. Die allgemeine Frist für den Abschlussbericht beträgt einen Monat nach der ersten Meldung.
Diese Fristen sind keine automatischen Meldefristen für den direkten Lieferanten. Der erfasste Kunde benötigt Zeit, um seine eigene Bewertung und interne Freigabe abzuschließen. Meldet der EDI-Anbieter den Vorfall dem Kunden erst in der 24. Stunde, kann das Frühwarnfenster des Kunden faktisch ausgeschöpft sein.
Definieren Sie die Meldeschwelle für Lieferanten im Vertrag deshalb kürzer. Das erste Signal sollte nicht auf eine vollständige Ursachenanalyse warten. Welches System betroffen ist, der Zeitpunkt der ersten Feststellung, der bekannte Nachrichten- oder Datenumfang und die erste ergriffene Maßnahme sollten über einen sicheren Kanal übermittelt werden.
Auch das Betriebsteam sollte in die Meldekette eingebunden sein. Stoppt ein DESADV-Fluss, untersucht das Sicherheitsteam den verdächtigen Zugriff, während das Logistikteam die ausstehenden Sendungen ermittelt. Das Integrationsteam fixiert vor einer erneuten Sendung die Liste fehlerhafter oder fehlender Nachrichten. So überschreibt die technische Reaktion keine kaufmännischen Datensätze.
Messen Sie bei einer Übung vier Zeitpunkte: das Auslösen des Alarms, die Klassifizierung des Vorfalls durch den Anbieter, die erste Meldung an den Kunden und die Erstellung der Liste betroffener Nachrichten. Diese Messungen zeigen, ob die vertragliche Frist realistisch ist.
Wie sollten türkische Unternehmen direkten Anwendungsbereich und vertragliche Auswirkung unterscheiden?
NIS2 ist eine EU-Richtlinie. Nicht jedes türkische Unternehmen fällt allein deshalb automatisch unmittelbar in den Anwendungsbereich, weil es exportiert. Tätigkeit in der EU, Niederlassung, Branche, Größe der Einrichtung und die nationale Regelung des betreffenden Mitgliedstaats sind gemeinsam zu bewerten.
Die mittelbare Wirkung kann verbreiteter sein. Ein erfasster Kunde in der EU kann von seinem türkischen Lieferanten einen Sicherheitsfragebogen, eine Zusage zur Vorfallmeldung, einen Prüfbericht oder Angaben zu Unterauftragnehmern verlangen, um seine Lieferkettenpflicht nach Artikel 21 zu erfüllen. Diese Anforderungen werden im Einkaufs- und Vertragsprozess zu kaufmännischen Verpflichtungen.
In diesem Fall kann die Bewertung der NIS2-Lieferantensicherheit unabhängig vom direkten gesetzlichen Anwendungsbereich zu einer Voraussetzung für die Annahme durch den Kunden werden.
Das türkische Cybersicherheitsgesetz Nr. 7545 trat am 19. März 2025 in Kraft. Das Gesetz regelt die Cybersicherheitsstruktur der Türkei und einen umfassenden Pflichtenrahmen. Es ist nicht derselbe Text wie NIS2; Anwendungsbereich und Pflichten beider Regelungen sind getrennt zu bewerten.
Das Unternehmen sollte zunächst seine Rolle schriftlich festlegen: unmittelbar erfasste Einrichtung, Lieferant eines erfassten Kunden oder ausschließlich in der Türkei tätiges Unternehmen. Anschließend sollte es die Sicherheitsbestimmungen im Vertrag gemeinsam mit dem technischen Team prüfen. Für die Entscheidung über den rechtlichen Anwendungsbereich sollte fachkundiger Rat zum betreffenden Land und zur Branche eingeholt werden.
Welche Schritte sollten in den ersten 30 Tagen erfolgen?
Erstellen Sie in der ersten Woche ein Inventar der kritischen EDI- und B2B-Verbindungen. Halten Sie für jede Verbindung Belegart, Datenverantwortlichen, Systemkonto, Anbieter, Unterauftragnehmer und die geschäftlichen Auswirkungen eines Ausfalls fest. Wählen Sie die fünf Verbindungen mit den größten Auswirkungen aus.
Fordern Sie in der zweiten Woche die Nachweisakte bei den Anbietern an. Prüfen Sie neben dem Namen des Zertifikats auch die Seite zum Geltungsbereich und das Gültigkeitsdatum. Fehlen Vorfallplan, Zugriffsliste, Ergebnis der Wiederherstellung aus der Sicherung oder der letzte Sicherheitstest, erfassen Sie dies als separate Feststellungen.
Ermitteln Sie in der dritten Woche die Vertragslücken. Stellen Sie für Vorfallmeldung, Auditrecht, Schwachstellenmanagement, Wechsel von Unterauftragnehmern und Ausstiegsverfahren die bestehende Klausel und die notwendige Korrektur nebeneinander. Nehmen Sie keine Frist in den Vertrag auf, die das technische Team nicht einhalten kann.
Führen Sie in der vierten Woche eine Tabletop-Übung zu einem Vorfall durch. Verwenden Sie das Szenario, in dem Bestellungen durch eine Mapping-Änderung auf das falsche ERP-Konto geleitet werden. Beantworten Sie mit realen Uhrzeiten die Fragen, wer den Alarm erhielt, wie viele Nachrichten betroffen waren, wann der Kunde informiert wurde und wie die Datensätze korrigiert wurden.
Das Ergebnis der ersten 30 Tage sollte kein Etikett „NIS2-konform“ sein. Bereitstehen sollten ein Inventar der kritischen Verbindungen, belegte Lieferantenentscheidungen, Vertragslücken und gemessene Meldezeiten für Vorfälle. Diese Unterlagen lassen sich bei späteren Audits und Kundenanfragen wiederverwenden.
Belassen Sie die Arbeit zur NIS2-Lieferantensicherheit nicht als jährliche Formularübung. Erneuern Sie die betreffende Risikoentscheidung nach einer neuen Verbindung, einem neuen Unterauftragnehmer, einem Vorfall oder einem größeren Versionswechsel.
Die Inhalte von MAP zu Integration, EDI und Lieferkette finden Sie im MAP Blog. Bestimmen Sie als ersten Umsetzungsschritt die fünf Verbindungen mit den größten geschäftlichen Auswirkungen und halten Sie für jede den Nachweisverantwortlichen und das Erneuerungsdatum fest.
