Compliance per Stellvertreter skaliert nicht

Die Cyberbeveiligingswet trat am 15. August 2026 in Kraft und formalisierte neue Pflichten für rund 8.000 Organisationen in den Niederlanden (Rijksoverheid, 2026). Der Beratungsmarkt brauchte Monate, um sich auf dieses Datum vorzubereiten, und nahezu die gesamte Vorbereitung galt einer Gruppe: den wesentlichen und wichtigen Einrichtungen, die nun unmittelbar von dem neuen Gesetz verpflichtet werden. Beraterinnen und Berater waren ausgebucht, um diesen Organisationen zu helfen, ihre Sorgfaltspflicht-Maßnahmen zu erfassen, sich beim NCSC zu registrieren und ihre Governance in Ordnung zu bringen.

Nimmt man konservativ an, dass jede dieser 8.000 Organisationen auf mindestens zwanzig Lieferanten angewiesen ist, so übersteigt die Zahl der Unternehmen, die wegen dieses Gesetzes nun mit einer Compliance-Frage konfrontiert sind, ohne selbst direkt reguliert zu sein, bereits deutlich 100.000.

NFIR bemerkte bei genau dieser Beratungsarbeit noch etwas anderes. Mitten in diesen Gesprächen tauchte immer wieder dieselbe Lücke auf: Die verpflichtete Organisation selbst war meist in vernünftiger Verfassung, oft bereits nach ISO 27001 zertifiziert oder gut auf dem Weg dorthin, ihre Lieferanten jedoch nicht. Diese Lieferanten hatten kein Zertifikat vorzuweisen, keine gemeinsame Möglichkeit, ihre Sicherheitslage zu belegen, und keine Vorstellung davon, wie sie die Compliance-Frage beantworten sollten, die gleich von mehreren Kunden zugleich in ihrem Postfach landen würde.

Bizway sah dasselbe Problem von der anderen Seite. Als Lieferant selbst hatte Bizway bereits eine Zunahme genau dieser Art von Anfragen bemerkt: Kunden fragten, manchmal förmlich und manchmal beiläufig im Rahmen eines Account-Reviews, wie Bizway nachweisen könne, dass es NIS2-bezogene Erwartungen erfüllt. Zwei Organisationen, zwei Blickwinkel, dieselbe Beobachtung: Der Druck dieses Gesetzes würde niemals auf die 8.000 unmittelbar regulierten Unternehmen beschränkt bleiben. Er würde stets eine Ebene tiefer landen, bei denjenigen, die sie beliefern.

Warum verlangt Ihr Kunde plötzlich eine Compliance-Erklärung von Ihnen?

Das ist kein Zufall und kein übereifriges Account-Management. Artikel 21 der NIS2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen dazu, die Sicherheit ihrer Lieferkette zu steuern, einschließlich der sicherheitsbezogenen Aspekte ihrer Beziehungen zu direkten Lieferanten (ENISA, 2023). In der Praxis kann diese Pflicht nicht innerhalb der regulierten Organisation verbleiben. Sie muss nach unten weitergegeben werden, in Verträge, in Onboarding-Checklisten und, am sichtbarsten, in eine Compliance-Frage an jeden Lieferanten, von dem die Organisation abhängt.

ENISAs eigene Analyse der Cybersicherheit von Lieferketten, 2023 veröffentlicht und noch immer die meistzitierte EU-Referenz zu diesem Mechanismus, ergab, dass Kompromittierungen der Lieferkette von unter 1 Prozent der Angriffe im Jahr 2020 auf 17 Prozent im Jahr 2021 angestiegen waren. In 66 Prozent der untersuchten Vorfälle wusste der betroffene Lieferant nicht, wie er kompromittiert worden war, oder konnte es dem darauf angewiesenen Kunden nicht transparent erklären. Genau diese Lücke soll die Cyberbeveiligingswet schließen, und genau deshalb hat eine regulierte Organisation nun allen Anlass, ihre Lieferanten zu bitten, ihre Nachweise vorzulegen, statt darauf zu vertrauen.

Ist ein Zertifikat nicht die naheliegende Antwort?

Die saubere Antwort wäre, dass sich jeder Lieferant nach ISO 27001 zertifizieren lässt und die Sache damit erledigt. Für eine Handvoll größerer Lieferanten ist das ein sinnvoller Weg, und einige gehen ihn bereits. Für die meisten ist er nicht realistisch, und wohl auch nicht notwendig. Ein Zertifikat ist teuer, dauert Monate in der Beschaffung und ist auf Organisationen einer bestimmten Größe und Reife zugeschnitten. Zahlreiche Lieferanten, die kein nennenswertes Risiko für die NIS2-Compliance ihrer Kunden darstellen, werden implizit aufgefordert, sich so zu verhalten, als täten sie es doch.

Was diese Lieferanten tatsächlich brauchen, ist kein Zertifikat. Es ist eine glaubwürdige, mit Nachweisen belegte Möglichkeit, die ihnen gestellte Frage zu beantworten, gestützt auf etwas Solideres als eine beruhigende E-Mail.

Was passiert, wenn ein Lieferant fünfzigmal dieselbe Frage bekommt?

Hier verschärft sich das Problem. Ein Lieferant hat selten nur einen Kunden, der diese Frage stellt; es sind mehrere, jeder mit einem etwas anderen Formular, einer anderen Frist und einem anderen Satz erwarteter Antworten. ISACAs Branchenanalyse vom Mai 2026 beschreibt dies unmittelbar als Verschiebung von der Fragebogen-Müdigkeit hin zum Bedarf nach kontextbezogener, mit Nachweisen belegter Assurance und stellt fest, dass das alte Modell ad hoc erstellter Einzelfragebögen schlicht nicht skaliert, sobald jeder Kunde unabhängig zu fragen beginnt (ISACA, 2026). Multipliziert man das mit der Zahl der Kunden, die ein mittelgroßer Lieferant bedient, verbringt dieser am Ende mehr Zeit mit dem Ausfüllen von Formularen als mit der tatsächlichen Verbesserung seiner Sicherheit.

Das ist kein Versagen der Sorgfalt eines einzelnen Lieferanten. Es ist ein strukturelles Versagen eines Modells, das für gelegentliche Fragen gebaut wurde und nun fortwährend und gleichzeitig von allen zugleich bemüht wird.

Wäre ein maßgeschneiderter Fragebogen von jedem Kunden nicht gründlicher?

Es gibt ein ernstzunehmendes Argument für den derzeitigen Ansatz. Ein Kunde, der seinen eigenen Fragebogen entwirft, kann ihn genau auf das Risiko zuschneiden, das der Lieferant für ihn darstellt: Ein Lieferant, der mit sensiblen Daten umgeht, bekommt andere Fragen als einer, der Büromöbel mit einem internetfähigen Ausweisleser liefert. Maßgeschneiderte Fragebögen belassen Verantwortung und Rechenschaft zudem genau dort, wo NIS2 sie verortet, nämlich bei der regulierten Organisation selbst, und nicht bei einer geteilten Vorlage, die niemand geprüft hat.

Das Problem ist, dass diese Gründlichkeit nur im kleinen Maßstab funktioniert. Sobald eine Organisation Dutzende oder Hunderte von Lieferanten bewerten muss und sobald jeder dieser Lieferanten dieselbe Anfrage parallel von mehreren Kunden bearbeitet, wird ein maßgeschneiderter, manueller Prozess mit dem Volumen nicht genauer. Er wird langsamer, uneinheitlicher und wird eher oberflächlich beantwortet, nur um ihn vom Schreibtisch zu bekommen. Präzision, die auf Kosten der Fertigstellung erkauft wird, nützt niemandem viel.

Wie sieht es tatsächlich aus, seine Nachweise vorzulegen?

Genau darauf zielt die neue Funktion für Compliance-Fragebögen von Lighthouse ab, die gemeinsam mit NFIR und Bizway entwickelt wurde. Sie stellt einer Organisation standardisierte NIS2/Cbw-Fragebögen zur Verfügung, in Varianten, die danach abgestuft sind, ob der Kunde eine wesentliche oder eine wichtige Einrichtung ist, sodass ein Lieferant etwas ausfüllen kann, das der tatsächlichen Pflicht angemessen ist, statt eines maximalistischen Worst Case. Antworten werden nicht auf Ja oder Nein reduziert; jede trägt einen Nachweis, eine Erklärung oder ein erwartetes Datum, wo etwas noch in Arbeit ist, und jede Antwort ist mit einem Zeitstempel und einem Audit-Trail versehen.

Die nützlichere Verschiebung ist das, was nach der ersten Antwort geschieht. Ein Lieferant kann einmal antworten, den Nachweis beifügen und diesen bestätigten Beleg beim nächsten Mal wiederverwenden, wenn ein anderer Kunde dieselbe Frage stellt, statt jedes Mal mit einem leeren Formular zu beginnen. Noch besser: Ein Lieferant muss gar nicht erst auf die Anfrage warten. Derselbe ausgefüllte Fragebogen kann proaktiv mit allen Kunden zugleich geteilt werden und der Frage zuvorkommen, bevor sie überhaupt eintrifft.

Auf der Kundenseite kann eine Organisation die Lieferanten registrieren, von denen sie abhängt, jedem im eigenen Namen den passenden Fragebogen zusenden und in einer Live-Ansicht sehen, wie die gesamte Kette dasteht, wobei eine erneute Bewertung im nächsten Zyklus nur einen Klick entfernt ist. Die Fragebögen sind für Guardian360-Partner und deren Kunden ohne Aufpreis enthalten, das Budget ist also kein Grund, dies bis zum nächsten Quartal aufzuschieben. Guardian360 stellt ausdrücklich klar, dass es sich um ein Readiness-Werkzeug handelt, nicht um eine Zertifizierung: Es ersetzt weder ein formelles Audit noch eine Konformitätsbewertung und erhebt auch nicht diesen Anspruch. Was es ersetzt, sind die fünfzig separaten Tabellen, die niemand die Zeit hatte zu vergleichen.

Es ging nie um die 8.000

Es lohnt sich, zum Ausgangspunkt zurückzukehren. Bei NIS2 und der Cyberbeveiligingswet, die sie umsetzt, ging es nie wirklich darum, 8.000 Organisationen isoliert abzuhärten. Die gesamte Logik der Lieferkettenanforderung von Artikel 21 besteht darin, dass die Sicherheit einer regulierten Organisation nur so gut ist wie die Lieferanten darunter. Behandelt man das Gesetz als Compliance-Übung für die namentlich in seinem Anwendungsbereich genannten Unternehmen, so scheitert der eigentliche Anspruch, das Sicherheitsniveau über eine gesamte Lieferkette von weit über 100.000 Unternehmen anzuheben, leise am ersten Glied außerhalb dieses Anwendungsbereichs.

NFIR erkannte dies vom Beraterstuhl aus und sah zu, wie Organisation um Organisation das eigene Haus in Ordnung brachte, während ihre Lieferanten nirgends Rat fanden. Bizway erkannte es von der Empfängerseite und beantwortete dieselbe Frage immer häufiger und mit immer weniger Geduld. Beide Beobachtungen weisen auf denselben Schluss: Compliance per Stellvertreter, ein Kunde, ein Fragebogen, ein Lieferant nach dem anderen, skaliert nicht auf die Größenordnung des Problems, das NIS2 lösen sollte. Für die Ebene unterhalb der 8.000 zu bauen, ist kein Nebenprojekt. Es kommt dem eigentlichen Sinn des Gesetzes näher, als es der Wettlauf um Zertifizierungen je getan hat.

Quellen

• Rijksoverheid (7 July 2026). Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht.
• NCSC. Cyberbeveiligingswet (NIS2).
• ENISA (June 2023). Good Practices for Supply Chain Cybersecurity.
• ISACA (4 May 2026). Enhancing Third Party Risk Management: Moving From Questionnaire Fatigue to Contextual Assurance.