Mit Interconnection-Strategien gegen IT-Lieferkettenrisiken Wie NIS2 die Sicherheit in IT-Lieferketten erzwingt

Anbieter zum Thema

DE-CIX Management GmbH

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

NIS2 verpflichtet Unternehmen, nicht nur eigene Systeme abzusichern, sondern auch die Cybersecurity ihrer gesamten IT-Lieferkette nachzuweisen. Das stellt viele vor große Herausforderungen. Intelligente Interconnection-Strategien über geografisch verteilte Rechenzentren können ein Baustein sein, um IT-Lieferketten widerstandsfähiger zu machen.

Egal, ob Fieber, Kopfweh oder Knochenbruch: Antibiotika und Schmerzmittel gehören so selbstverständlich zum Alltag dazu wie die Probleme, die sie lösen. Lange lebte die Welt in dem Glauben, dass Arzneimittel problemlos immer erhältlich seien – ein Trugschluss. Das Corona­virus ließ Lieferketten stocken. Nicht nur fertige Präparate wurden Mangelware, sondern Rohstoffe, die die Pharmafirmen benötigen, um Medikamente überhaupt herzustellen. Ob Amoxicillin, Paracetamol oder Insulin – was sonst überall Just-in-Time verfügbar war, fehlte plötzlich. Und was sich in Übersee nicht mehr produzieren ließ, kam anderswo erst gar nicht im Apothekenregal an.

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

Kaum Kontrolle: Wenige Unternehmen beherrschen Lieferkettenrisiken

Anlagen stehen still, Transportwege sind blockiert und Warenflüsse stocken: Die Pandemie hat gezeigt, wie anfällig Supply Chains sein können. Für jedermann spürbare Versorgungsengpässe im Gesundheitssystem stehen dabei beispielhaft für viele andere Bereiche und Branchen, deren Wertschöpfung verflochten und auf ein übergreifend sekundengenau abgestimmtes Zusammenspiel angewiesen sind – vom Handel über den Automobilbau bis hin zur IT. Besonders verheerend: Nur die wenigsten Unternehmen glauben, Risiken in der eigenen Lieferkette vollständig kontrollieren zu können. Laut Global Supply Chain Risk Report 2025 von Willis Towers Watson (WTW) trifft das nur auf etwa 8 Prozent von weltweit rund 1.000 branchenübergreifend befragten Firmen zu.

Security-Insider Podcast – Folge 110

Wer haftet bei Verstößen gegen NIS2?

Europa macht Geschäftsprozesse und Supply Chains widerstandsfähiger

Von Peitscheneffekten über Nachfrageschwankungen bis hin zu kaskadierenden Störungen – was auch immer Supply Chains aus dem Gleichgewicht bringt, mit der Neuauflage der Richtlinie für Netzwerk- und Informations-Systeme, kurz NIS2, nimmt die Europäische Union (EU) jetzt die feingliedrigen Lieferketten der Digitalwirtschaft ins Visier. Und das aus gutem Grund: Da gerade Risiken aus dem Cyberraum laut den Versicherungsexperten von WTW rund um den Erdball in allen Sektoren zunehmen, zielt NIS2 darauf ab, Geschäftsprozesse und Supply Chains EU-weit widerstandsfähiger zu machen. Dabei weitet der Staatenbund die weiterentwickelte Verordnung auf eine deutlich größere Zahl an Firmen aus – allein in Deutschland sind 30.000 Unternehmen betroffen – und definiert höhere Standards für die IT-Sicherheit. Wer sich bislang also nicht oder nur am Rande mit IT-Vorschriften dieser Art auseinandersetzen musste, wird nun mit hoher Wahrscheinlichkeit von NIS2 betroffen sein. Eine Tatsache, die die EU-Richtlinie zum Weckruf macht. Es gilt, IT-Risiken präzise abzuwehren und Gefahren für die eigene digitale Lieferkette zu erkennen.

Security-Insider Podcast – Folge 112

NIS 2 braucht im Mittelstand pragmatische Ansätze

Raus aus der Risikozone: NIS2 bestimmt, was zu tun ist

Von eingeschleuster Schadsoftware über manipulierte Updates bis hin zu kompromittierten Zulieferern – Abhängigkeiten aller Art können sich rasch zu ernsthaften Risiken für Geschäftsmodelle entwickeln. Je nach Größe oder Branche verpflichtet NIS2 Unternehmen dazu, die Cybersecurity von Lieferanten und Dienstleistern systematisch zu bewerten und zu gewährleisten. Wo es bislang ausreichend war, sich auf direkte Geschäftspartner zu konzentrieren, ist jetzt ein tiefes Verständnis der gesamten Zulieferkette erforderlich. Schließlich können Probleme bei Partnern von Partnern rasch zu eigenen, unmittelbaren Herausforderungen werden. Ein Fakt, der laut Leitfaden der europäischen Agentur für Cybersicherheit (ENISA) () gerade auf das IT-Service-Management zutrifft und sich über die grenzüberschreitende Natur digitaler Prozesse und die vielschichtige Providerlandschaft erklärt. Nach welchen Kriterien wähle ich Dienstleister aus? Wie schützen meine Auftragnehmer sich selbst und die von mir genutzten Anwendungen. Und wie sind Unwägbarkeiten versichert? NIS2 bestimmt, was zu tun ist: Wer sich in einer Risikozone befindet, muss zum Beispiel vertraglich festhalten, wie Subfirmen Vorfälle melden, Gefahren abwehren und im Falle des Falles Einblicke in die eigene Systemlandschaft gewähren.

Weckruf für Unternehmen

NIS-2 – Nicht warten, machen!

Anforderungen von Kundschaft und NIS2 entspannt entgegenblicken

Dokumentieren, regeln und verpflichten, wer NIS2 als regulatorische Checklistenübung begreift, der verkennt die Zeichen der Zeit. Anders gesagt: Jeder Kaufmann, der sein Geschäft umsichtig, gewissenhaft und nachhaltig erfolgreich führen möchte, ist gut beraten, entsprechende Sorgfalt auch in diesen Dingen walten zu lassen. Und das nicht nur, weil es der Gesetzgeber fordert, sondern weil es die Sache an sich notwendig macht, um eigene Umsätze zu sichern, Arbeitsplätze zu erhalten und Partner zufrieden zu stellen. Beispielsweise fordern bereits viele global agierende Player aus der Finanz-, Versicherungs- und Logistikbranche von ihren Dienstleistern sogenannte Selbstauskünfte. Wer in einem solchen Fall die eigene Informationssicherheit bereits nach ISO/IEC 27001 und sein Business-Continuity-Management nach ISO/IEC 22301 zertifiziert hat, der kann den Interessen seiner Kundschaft und Anforderungen von NIS2 entspannt entgegenblicken.

Security-Insider Podcast – Folge 114

So schaffen Sie Synergien zwischen CRA und NIS 2

Interconnection-Strategie zur unternehmerischen Daseinsvorsorge

Egal, ob für digitale Services, smarte Applikationen oder intelligente Geschäftsmodelle – Netzwerke gehören mit zu jeder IT-Supply Chain dazu. Internetknoten wie DE-CIX spielen dabei eine entscheidende Rolle. Zum einen als Baustein der digitalen Infrastruktur unserer Welt an sich. Zum anderen, um vielschichtig verflochtene Geschäftsbeziehungen widerstandsfähig zu verbinden. Eine intelligente Interconnection-Strategie ist daher ein ebenso selbst­ver­ständ­lich­er Baustein der unternehmerischen Daseinsvorsorge wie Notfallpläne, Krisenprozesse und ein Business-Continuity-Management. Was das für Konnektivität bedeuten kann: Firmen sollten sich zum Beispiel diversifiziert und über mehrere geografisch verteilte Rechenzentren vernetzen. Ausfälle lassen sich leichter kompensieren, wenn sie nur einen Teil einer dezentralen Architektur betreffen. Nicht anders sind die Interconnection-Plattformen selbst aufgebaut: Netze sind resilient, wenn alle Ebenen einer Lieferkette wechselseitig sicher sind. Heißt praktisch: Jede Infrastruktur ist so verlässlich, wie die einzelnen Elemente, aus denen sie besteht. Wenn also alle Partner ihre Komponenten, die sie für andere bereitstellen, mehrfach redundant auslegen, wird das Gesamtsystem für jeden robuster – für Provider und ihre Kundschaft.

Empfehlungen und Meldepflichten

BSI veröffentlicht NIS-2-Infopakete

Besser Vor- als Nachsorgen: Resilienz als Grundprinzip des Handelns

NIS2 ist der entscheidende Impuls, die Sicherheit der eigenen IT-Supply Chains ganz oben auf die Agenda zu setzen. Jetzt geht es darum, Abhängigkeiten zu bewerten, Risiken zu managen und Partner zu wählen, die Resilienz als Grundprinzip ihres Handelns verstehen. Intelligente Interconnection-Strategien sind ein Hebel, um die eigene digitale Souveränität zu stärken und das Fundament für ein widerstandsfähiges, zukunftsfähiges und vernetztes Geschäftsmodell zu legen. Fest steht dabei auch: Bei Verstößen drohen im Ernstfall nicht nur hoher Schaden, sondern empfindliche Bußgelder. Maximal sind bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes fällig – je nachdem, welcher Betrag höher ist. Zudem verpflichtet NIS2 auch Leitungsorgane, die Cybersecurity aktiv zu steuern und zu überwachen – persönliche Haftung eingeschlossen. Ergo: So wie Medikamente nur wirken, wenn sie rechtzeitig verfügbar sind, schützt NIS2 als Rezept für den Ernstfall nur, wenn Unternehmer rechtzeitig handeln. Mit einem Unterschied: Bei IT-Risiken hilft keine Nachsorge, sondern nur gute Vorsorge. Wer ermitteln möchte, ob NIS2 für die eigene Firma gilt, kann das per Selbsttest auf der BSI-Website herausfinden.

Über den Autor: Dr. Thomas King ist seit 2018 Chief Technology Officer (CTO) bei DE-CIX und seit 2022 Vorstandsmitglied der DE-CIX Group AG. Zuvor war King seit 2016 Chief Innovation Officer (CIO) bei DE-CIX. Zu Thomas Kings Kernprojekten bei DE-CIX gehören die technologische Weiterentwicklung des Unternehmens zum weltweit führenden Cloud Exchange Betreiber, sowie die Automatisierung der IX-Plattform.

NIS 2

BSI-Portal zur Meldung von Sicherheitsvorfällen ist live

(ID:50822105)