Blog · Recht und Architektur ·
NIS2: Was die Lieferkettenbewertung für Ihre Infrastruktur bedeutet
NIS2 verpflichtet Betreiber, ihre Lieferkette zu bewerten, auch Edge und DNS. Was die Pflicht umfasst und wo Anbieter einzuordnen sind.
Was NIS2 verlangt
NIS2 verpflichtet wesentliche und wichtige Einrichtungen in der EU zu Risikomanagement für ihre Netz- und Informationssysteme, und die Sicherheit der Lieferkette gehört ausdrücklich dazu. Wer erfasst ist, muss seine Abhängigkeiten kennen, bewerten und beherrschen, nicht nur die eigenen Server. Dazu kommen Meldepflichten bei erheblichen Vorfällen: erst früh, dann ausführlich.
Kleinere Betriebe trifft die Richtlinie meist nur mittelbar, als Lieferant oder Dienstleister erfasster Einrichtungen, die ihre Kette nachweisen müssen. Die Pflicht wandert die Kette hinab: Wer liefert, wird geprüft.
Die Lieferkette im Netz
Zur Kette gehört jeder, von dessen Sicherheit Ihre Sicherheit abhängt: der Hoster, der DNS-Betreiber, der Edge vor Ihrer Anwendung, der Zertifikatsaussteller, die Registry Ihrer Domains. Viele davon sind unsichtbar im Alltag und unverzichtbar im Ernstfall. Entscheidend ist nicht der Vertrag, sondern die Abhängigkeit.
Bewerten heißt verstehen: Wo steht der Anbieter, wessen Recht gilt dort, wie betreibt er, was belegt er? Ein Zertifikat hilft, ersetzt aber die eigene Bewertung nicht: Sie müssen wissen, wovon Sie abhängen, nicht nur sammeln, was andere bescheinigen.
Der Edge in der Bewertung
Wer TLS für Sie terminiert, sieht jede Anfrage Ihrer Nutzer im Klartext. Ist das ein US-Anbieter, unterliegt er dem CLOUD Act, auch wenn sein Rechenzentrum in Europa steht. Der Edge gehört darum in jede Lieferkettenbewertung: mit Ort, Recht und Betreiber, nicht als Fußnote.
Die Fragen sind konkret: Wo endet die Verschlüsselung, wer sieht den Klartext, wessen Zugriffsgesetze gelten dort, wie ist die Trennung der Mandanten umgesetzt, was bleibt nachvollziehbar? Wer sie beantwortet bekommt, kann bewerten; wer ausweicht, bewertet sich selbst.
Was Belege taugen
Statusseiten beruhigen, Architektur belegt: Zu jeder Schicht sollte stehen, ob sie verfügbar ist oder auf der Roadmap, und was genau dahinterliegt. Behauptungen ohne Beleg sind in einer Bewertung nichts wert, und Zertifikate, die niemand vorzeigen kann, sind keine.
Dieser Text erklärt Zusammenhänge, keine Rechtslage: Verbindlich klärt Ihre Bewertung Ihre Rechtsberatung. Was er klären kann, ist die Architekturfrage dahinter: wem Ihr Edge untersteht.
Einordnung von obhut
obhut ist ein deutsches Unternehmen und baut seine Plattform so, dass Daten die EU nicht verlassen, ohne Regionsschalter. Autoritatives DNS, Zertifikate und der TLS-Proxy gehören zum Angebot; ein eigenes Netz steht auf der Roadmap. Wer seinen Edge bewertet, bekommt von uns Ort, Recht und Stand jeder Schicht genannt.
Häufige Fragen
Gilt NIS2 auch für kleine Unternehmen? Direkt meist nicht: Die Pflichten treffen wesentliche und wichtige Einrichtungen ab bestimmten Größen. Indirekt oft doch, als Lieferant oder Dienstleister solcher Einrichtungen, die ihre Kette nachweisen müssen.
Was gehört zur Lieferkette im Sinne von NIS2? Vereinfacht: jeder, von dessen Sicherheit Ihre Sicherheit abhängt, vom Hoster über DNS und Edge bis zum Zertifikatsaussteller. Entscheidend ist nicht der Vertrag, sondern die Abhängigkeit.
Reicht ein ISO-Zertifikat des Anbieters? Es hilft, ersetzt aber die eigene Bewertung nicht: Sie müssen verstehen, wovon Sie abhängen, nicht nur sammeln, was andere bescheinigen. Fragen Sie zusätzlich nach Ort, Recht und Architektur.