NIS2 angewandt: Wenn ein Lieferant Systemzugriff erhält
Ein Dienstleister benötigt Zugriff. Der Fachbereich möchte die Anwendung nutzen, die IT richtet Konto oder VPN ein, der Einkauf hat den Vertrag, der Lieferant liefert den Service. Im Alltag wirkt das wie eine normale Freigabe oder technische Umsetzung. Aus dem Vorgang entsteht ein Arbeitsstand: Zweck, System, Zugriffspfad, Authentifizierung, Berechtigung, Laufzeit, Meldeweg und Wiedervorlage.
Ein Lieferantenzugriff ist zunächst ein normaler Vorgang. Problematisch wird der Vorgang, wenn Zweck, System, Zugriffspfad, Berechtigung, Laufzeit, Meldeweg und Wiedervorlage nicht nachvollziehbar geführt werden.
Viele Unternehmen sehen Lieferanten zuerst im Vertrag, im Einkauf oder im Datenschutz. Im Betrieb entsteht zusätzlich ein sicherheitsrelevanter Arbeitsstand: Zugriff auf Systeme, Datenbezug, Betriebswirkung, Meldeweg, Owner und Wiedervorlage. Genau dieser Arbeitsstand erklärt später, warum der Zugriff erforderlich war, wie er abgesichert wurde und wann erneut geprüft wird.
Ein Auditor will keine theoretischen Absichtserklärungen sehen. Er will Arbeitsstände sehen: Zweck, System, Berechtigung, Authentifizierung, Laufzeit, Meldeweg und Wiedervorlage.
Kurzfassung
Diese Seite ist relevant, wenn ein Dienstleister, SaaS-Anbieter, MSP, Integrator oder Maschinenbauer Zugriff auf Systeme, Cloud-Portale, VPN oder Produktionsumgebungen erhält.
Der Zugriff selbst wird zum Arbeitsstand: Zweck, System, Zugriffspfad, Authentifizierung, Berechtigung, Laufzeit, Meldeweg und Wiedervorlage.
§30 BSIG wird berührt, wenn Lieferantenrisiken, Zugriff und technische Absicherung geführt werden müssen.
§32 BSIG wird relevant, wenn ein Vorfall beim Lieferanten Auswirkungen auf Betrieb, Dienste oder Kunden haben kann.
§38 BSIG kann eine Vorlage an die Geschäftsführung erfordern, wenn kritische Abhängigkeiten, OT-Fernwartung oder privilegierte Zugriffe betroffen sind.
Wenn Ihr Unternehmen heute nicht erklären kann, wer extern worauf zugreift, wie lange der Zugriff gilt und wann erneut geprüft wird, ist diese Seite der richtige Einstieg.
Ausgangspunkt
Ein Lieferantenzugriff ist ein sicherheitsrelevanter Prozess
Lieferantenzugriff entsteht oft nebenbei: eine Tool-Einführung, ein Supportfall, ein Projekt, ein Wartungszugang, ein Cloud-Service. Mehrere Rollen sind beteiligt — Fachbereich, IT, Einkauf, Compliance, Systemowner, bei OT auch Werkleitung und Instandhaltung. Der Geschäfts- und Supportprozess ist der Ort, an dem daraus Entscheidungen entstehen: Wer erhält Zugriff? Auf welches System? Für welchen Zweck? Wie lange? Mit welcher Absicherung? Genau diese Informationen müssen als gemeinsamer Arbeitsstand geführt werden.
Ein Lieferant ist nicht erst dann kritisch, wenn er intern als A-Lieferant geführt wird. Kritisch wird der Zugriff, wenn Systeme, Daten, Verfügbarkeit oder Wiederanlauf betroffen sind.
Split-View
IT-/SaaS-Zugriff und OT-Fernwartung folgen unterschiedlichen Betriebslogiken
Beide Fälle brauchen Zugriff, Authentifizierung, Berechtigung, Meldeweg und Wiedervorlage. Der Unterschied liegt in der Betriebswirkung.
IT · SaaS · Dienstleister
Typische Zugänge
MSP administriert Systeme
SaaS-Anbieter mit SSO-Integration
Dienstleister mit VPN-Zugang
Berater auf Fileshare, CRM oder Reporting
Cloud-Portal in SSO integriert
Im Vordergrund
Datenzugriff, Identität und Rolle
MFA, SSO, Logging
Vertrags- und AVV-Bezug
Incident-Meldeweg, Entzug
Kann das Unternehmen erklären, welcher Anbieter auf welche Systeme zugreifen kann, warum und wann erneut geprüft wird?
OT · Fernwartung · Produktion
Typische Zugänge
Maschinenbauer mit Remote-Fernwartung
Integrator auf Engineering Workstation
Herstellerportal mit Diagnosedaten
Gateway zwischen Maschine und Cloud
HMI / SCADA / MES-Schnittstellen
Zusätzlich im Vordergrund
Anlagenverfügbarkeit, Safety / Betriebssicherheit
Wartungsfenster, Segmentierung
Herstellerabhängigkeit, Wiederanlauf
Manuelle Freigabe, Produktionsplanung
Kann das Unternehmen erklären, wer über welchen Weg auf welche Anlage zugreift und welche Betriebswirkung ein Fehler oder Ausfall hätte?
Kernunterschied
Der Unterschied liegt nicht im Etikett IT oder OT. Er liegt in der Betriebswirkung. In OT kann ein Zugriff Produktion, Anlage, Safety, Lieferfähigkeit und Wiederanlauf unmittelbar berühren.
Arbeitsstand
Welche Daten der Prozess erzeugen muss
Eine Lieferantenfreigabe sollte nicht nur „erteilt" werden. Der Prozess sollte die Daten erzeugen, die später für Bewertung, Nachweisgrundlage, Meldeweg und Wiedervorlage gebraucht werden. Der Prozess erzeugt den Arbeitsstand, nicht die spätere Rückschau.
01
Lieferant
Name, Rolle, Leistung, Ansprechpartner
Wer ist der unmittelbare Anbieter und wer sind relevante Subunternehmer?
Wann wird geprüft, ob Zugriff, Risiko und Nachweise noch passen?
Mindestdaten
Diese Daten sind keine separate Compliance-Schicht. Es sind die Mindestdaten, die ein Unternehmen braucht, um Lieferantenzugriff später erklären, bewerten und nachweisen zu können.
NIS2-Prüfpunkte
Welche Pflichtbereiche beim Lieferantenzugriff berührt werden
§30 BSIG
Lieferkette und Risikomanagement
Wenn ein Lieferant Systemzugriff, Datenbezug oder Betriebswirkung hat, muss das Unternehmen Zugriff, technische Absicherung, Nachweisgrundlage, Subunternehmer, Meldewege und Wiedervorlagen nachvollziehbar führen.
Ist der Lieferant nach Zugriff, Datenbezug, Betriebswirkung und Nachweislage eingeordnet?
§30 BSIG
Zugriff und Sicherheitsmaßnahmen
Der Zugriff selbst muss als Arbeitsstand geführt werden: benannte Konten, MFA, Least Privilege, Logging, Segmentierung, temporäre Rechte und Entzug bei Projektende oder Vertragsende.
Ist der Zugriff technisch und organisatorisch so geführt, dass er zum Zweck und zur Kritikalität passt?
§32 BSIG
Meldeweg und Vorfallbewertung
Wenn ein Vorfall beim Lieferanten, MSP, SaaS-Anbieter oder Integrator Auswirkungen auf Betrieb oder Dienste hat, muss das Unternehmen eine Meldebewertung vornehmen — und dabei auf geführte Daten zum Zugriff, Meldeweg und betroffenen System zurückgreifen können.
Ist vorher geregelt, wie der Lieferant Vorfälle meldet, wen er informiert und welche Informationen benötigt werden?
§38 BSIG
Geschäftsführung bei kritischen Abhängigkeiten einbinden
Die Geschäftsführung muss nicht jede Lieferantenfreigabe prüfen. Relevant wird eine Vorlage an die Geschäftsführung bei kritischen Abhängigkeiten, privilegierten Zugriffen, OT-Fernwartung, fehlender Nachweisgrundlage oder erheblicher Betriebswirkung.
Welche Lieferantenzugriffe sind so wesentlich, dass Entscheidung der Geschäftsführung und Wiedervorlage nachvollziehbar geführt werden sollten?
Wirksamkeit
Regelmäßige erneute Prüfung
Ein Lieferantenzugriff ist nicht mit der ersten Freigabe abgeschlossen. Zugriff, Nachweisgrundlage, Meldeweg, Vertragsstand und Risiko müssen regelmäßig erneut geprüft werden — besonders nach Vertragsänderungen, Rollenwechseln oder Sicherheitsvorfällen.
Gibt es eine Wiedervorlage für Zugriff, Nachweise und Risikoeinstufung?
OT-Sonderfall
Warum Fernwartung in der Produktion anders geprüft werden muss
In der Produktion ist Zugriff selten nur Datenzugriff. Ein Fernzugriff kann Diagnose, Konfiguration, Steuerung, Wartung oder Wiederanlauf betreffen. Die technische Frage „Kommt der Dienstleister auf das System?“ reicht nicht. Der Prozess erzeugt einen Arbeitsstand: Welche Anlage ist betroffen? Welche Linie? Welches Wartungsfenster? Welche Freigabe? Welche Rückfalloption?
Typische Prüffragen für OT-Fernwartung:
→
Erfolgt Zugriff nur nach Freigabe durch Werkleitung oder Instandhaltung?
→
Gibt es einen Jump Host oder erfolgt direkter Zugriff auf Steuerungssysteme?
→
Wird der Zugriff zeitlich geöffnet und nach der Sitzung wieder geschlossen?
→
Greift der Lieferant mit benanntem Konto oder Shared Account zu?
→
Wird die Session protokolliert?
→
Gibt es eine Freigabe, bevor produktionsrelevante Änderungen erfolgen?
→
Welche Linie oder Anlage ist vom Dienstleister abhängig?
→
Ist der Wiederanlauf auch dann vorbereitet, wenn der Lieferant nicht sofort verfügbar ist?
In OT ist Fernwartung ein Arbeitsstand zu Zugriff, Anlage, Lieferant, Betriebswirkung und Wiederanlauf.
OT-Kernpunkt
Im Fernwartungszugang kommen Zugriff, Lieferant, Betriebswirkung und Meldeweg zusammen. Genau deshalb muss dieser Vorgang als Arbeitsstand geführt werden.
Typische Lücken
Wo Lieferantenzugriff in der Praxis unscharf wird
01
Zugriff bleibt nach Projektende offen
02
Externe Nutzer teilen Sammelkonten
03
MFA-Ausnahmen sind technisch bekannt, aber nicht als Arbeitsstand geführt
04
Lieferantenzugriff ist im Einkauf bekannt, aber nicht im IAM
05
Incident-Kontakt steht im Vertrag, aber nicht im Betriebsprozess
06
Fernwartung wird bei Bedarf geöffnet, aber nicht protokolliert
07
Subunternehmer sind vertraglich erwähnt, aber operativ nicht sichtbar
08
OT-Zugriff ist technisch möglich, aber nicht in der Lieferantenbewertung abgebildet
09
Kritische Abhängigkeit vom Hersteller ist bekannt, aber ohne Wiederanlaufplan
10
Zugriff wird freigegeben, aber nicht regelmäßig erneut geprüft
Diese Lücken entstehen selten aus Nachlässigkeit. Sie entstehen, weil Einkauf, IT, OT, Fachbereich und Compliance unterschiedliche Ausschnitte desselben Lieferantenzugriffs sehen. Wenn diese Sicht nicht in einem Arbeitsstand zusammengeführt wird, beginnt die Nachweisarbeit später auf einem weißen Blatt.
Arbeitsstand
Welche Nachweisgrundlage aus dem Prozess entsteht
Der Prozess sollte die Nachweisgrundlage erzeugen, bevor später aus Vertrag, E-Mail, Ticket und Erinnerung rekonstruiert werden muss. Der Lieferantenzugriff sollte die wichtigsten Arbeitsstände und Nachweise im Ablauf erzeugen.
Lieferantenbewertung nach Zugriff, Datenbezug und Betriebswirkung
Zugriffsfreigabe durch Systemowner oder Werkleitung
Vertrags- oder Zusatzregelung zu Sicherheitsanforderungen
Incident-Meldeweg und Notfallkontakte
Subunternehmerinformation
Nachweisanforderung an den Lieferanten
Laufzeit, Wiedervorlage / erneute Prüfung und Entzug
Bei OT: Fernwartungsfreigabe, Wartungsfenster, Wiederanlaufabhängigkeit
Nachweis-Logik
Ein guter Arbeitsstand zeigt nicht nur, dass ein Lieferant existiert. Er zeigt, warum der Zugriff erforderlich ist, wie er abgesichert wurde, welche Wirkung er haben kann und wann erneut geprüft wird.
Kleine Schritte
Wie Unternehmen pragmatisch starten
Der Einstieg muss kein Lieferanten-Großprojekt sein. Beginnen Sie mit den Zugriffen, die heute schon bestehen. Genau dort entstehen die Entscheidungen, Ausnahmen, Owner und Wiedervorlagen, die später erklärbar sein müssen.
1
Top-20-Lieferanten mit Systemzugriff identifizieren
Wer kann sich heute in Systeme, Portale, Cloud-Umgebungen, VPN oder Produktionsumgebungen einloggen?
2
Zugriff nach vier Kriterien einordnen
Systemzugriff, Datenbezug, Betriebswirkung, Austauschbarkeit — daraus ergibt sich die Prüftiefe.
3
OT-Zugriffe separat markieren
Welche Lieferanten greifen auf Produktionssysteme, Maschinen, HMI, Gateways oder Engineering Workstations zu?
4
Meldeweg prüfen
Wer informiert wen, wenn beim Lieferanten oder im Zugriffspfad ein Sicherheitsvorfall entsteht?
5
Wiedervorlage setzen
Wann wird Zugriff, Nachweislage und Risikoeinstufung erneut geprüft?
Ziel
Nicht jeden Lieferanten sofort vollständig prüfen. Ziel ist ein erster belastbarer Arbeitsstand: Wer greift worauf zu, mit welcher Wirkung, mit welchem Nachweis und mit welcher Wiedervorlage?
Artefakt
Welche Arbeitsstände aus Lieferantenzugriff entstehen
Aus dem Lieferantenzugriff entsteht nicht nur eine Bewertung. Je nach Kritikalität entstehen weitere Arbeitsstände: Zugriffsfreigabe, Nachweisanforderung, Meldeweg, Auflagen mit Wiedervorlage, Subunternehmerinformation, Wiederanlaufabhängigkeit oder Exit-Prüfung. Der Arbeitsstand ist erst belastbar, wenn Freigabe, Auflagen, Nachweisgrundlage, Owner und Wiedervorlage geführt werden.
Arbeitsstände, die dabei entstehen
Lieferantenbewertung
SUP-02
Statuspass
SUP-01
Zugriffsfreigabe
IAM-Arbeitsstand
Incident-Meldeweg
IRP-01
Freigabeumsetzung
Vertragsableitung
OT-Fernwartungsregister
Je nach Umgebung
Management-Fazit
Lieferantenzugriff ist einer der praktischsten NIS2-Prüfpunkte
Lieferantenzugriff betrifft IT, Einkauf, Fachbereich, Compliance und bei OT auch Werkleitung und Instandhaltung. Die entscheidenden Daten entstehen im Ablauf — wenn der Prozess sie erzeugt. Wenn diese Daten nicht geführt werden, beginnt die Nachweisarbeit später mit Rekonstruktion.
NIS2 wird handhabbar, wenn Lieferantenzugriffe als Arbeitsstand geführt werden: Zweck, System, Zugriffspfad, Berechtigung, Laufzeit, Meldeweg, Owner und Wiedervorlage.
Häufige Fragen
Weil Lieferanten mit Systemzugriff, Datenbezug, Betriebswirkung oder Fernwartung Teil der Risikobetrachtung werden. Unter NIS2 müssen solche Abhängigkeiten bewertet, abgesichert und nachvollziehbar geführt werden.
Bei OT betrifft Fernwartung nicht nur Datenzugriff. Ein externer Zugriff kann Produktion, Anlagenverfügbarkeit, Safety / Betriebssicherheit, Wartungsfenster und Wiederanlauf beeinflussen. Deshalb müssen Zugriff, Freigabe, Protokollierung, Lieferant und Betriebswirkung zusammen betrachtet werden.
Nein. Die Prüftiefe sollte risikobasiert festgelegt werden. Entscheidend sind Systemzugriff, Datenbezug, Betriebswirkung, Austauschbarkeit und Nachweislage.
Lieferantenbewertung, Zugriffsfreigabe, technische Absicherung, Nachweisanforderung, Incident-Meldeweg, Subunternehmerinformation, Laufzeit, Wiedervorlage / erneute Prüfung und bei OT zusätzlich Fernwartungsfreigabe und Wiederanlaufabhängigkeit.
Mit den Top-20-Lieferanten, die bereits Zugriff auf Systeme, Daten oder Produktionsumgebungen haben. Diese werden nach Zugriff, Datenbezug, Betriebswirkung und Austauschbarkeit eingeordnet. Danach werden offene Nachweise, Meldewege und Wiedervorlagen ergänzt.
Beginnen Sie mit den Lieferanten, die bereits Zugriff auf Systeme, Daten, Cloud-Portale, VPN oder Produktionsumgebungen haben. Führen Sie diesen Vorgang als Arbeitsstand: System, Zweck, Zugriffspfad, Berechtigung, Laufzeit, Freigabe, Owner, Meldeweg und Wiedervorlage.