Man kann die eigene IT vorbildlich absichern und trotzdem tagelang stillstehen – weil es nicht die eigene IT war. Wird ein gemeinsamer IT-Dienstleister, ein Rechenzentrum oder ein Software-Lieferant getroffen, hängen alle daran, die ihn nutzen. Für viele Verwaltungen und Unternehmen ist genau das der wahrscheinlichere Ausfallweg als der direkte Angriff: der eigene Perimeter hält, aber der Dienst dahinter ist weg.
Das ist kein Randthema mehr, sondern reguliert. NIS-2 und DORA machen aus dem diffusen „Lieferkettenrisiko” konkrete Pflichten.
Warum der Umweg attraktiv ist
Angreifer rechnen wirtschaftlich. Ein Dienstleister, der 50 Kommunen oder Kanzleien betreut, ist ein Hebel: ein Einbruch, viele Opfer. Dieselbe Konzentration, die den gemeinsamen Betrieb bezahlbar macht, wird zum Ziel. Und der Weg über einen vertrauten Zulieferer – ein manipuliertes Update, ein kompromittierter Fernwartungszugang – umgeht viele Abwehrmaßnahmen, weil er von innen kommt, aus einer Quelle, der man vertraut.
Was NIS-2 und DORA konkret verlangen
Beide Regelwerke verschieben die Verantwortung ausdrücklich auf die Kette:
- Lieferanten bewerten. Betroffene Unternehmen müssen die Risiken ihrer IT-Dienstleister kennen und bewerten – nicht einmalig, sondern fortlaufend.
- Verträge härten. DORA verlangt für Finanzunternehmen konkrete Vertragsklauseln mit IKT-Dienstleistern: Sicherheitsniveau, Auditrechte, Meldepflichten, geordnete Ausstiegsszenarien. NIS-2 fordert vergleichbare Sorgfalt breiter.
- Nachweise führen. „Wir vertrauen unserem Dienstleister” reicht nicht. Verlangt sind belegbare Angaben: Wie sichert er, wie meldet er, wie schnell reagiert er im Ernstfall?
Die unbequeme Kehrseite: Wer selbst Dienstleister ist, muss diese Nachweise liefern können – und wird künftig danach ausgewählt.
Was das praktisch heißt
Die Prüfung beginnt mit unbequemen Fragen an jeden kritischen Dienstleister: Wo liegen unsere Daten? Wer hat Fernzugriff, und wie ist er abgesichert? Wie werden wir im Vorfall informiert, und in welcher Frist? Gibt es getestete Wiederherstellung – nicht nur ein Backup? Und: Was passiert, wenn wir wechseln wollen? Wer diese Antworten nicht bekommt, hat sein Risiko nicht verstanden, sondern nur ausgelagert.
Wie wir dabei helfen
Als inhabergeführtes Systemhaus stehen wir auf beiden Seiten dieser Kette. Für unsere Kunden begleiten wir die Bewertung und Absicherung ihrer Dienstleister und liefern die Nachweise, die NIS-2 und DORA verlangen – laufende Nachweispflege, Meldeprozesse, Notfallvorsorge. Und als Dienstleister legen wir dieselben Nachweise selbst offen: dokumentierter Betrieb, definierte Meldewege, getestete Wiederherstellungen, eine jederzeit übertragbare Umgebung. Das alles zu planbaren monatlichen Pauschalen im Rahmen unserer Compliance-Begleitung und Managed Services. Vertrauen in die Lieferkette ist gut – belegbares Vertrauen ist das, was der Gesetzgeber inzwischen verlangt.