Dienstleister und Lieferkette steuern

Lieferkettensicherheit im IT-Grundschutz

Der Baustein OPS.2.3 Nutzung von Outsourcing beschreibt die Anforderungen an Institutionen, die Leistungen auslagern. Zu den Basis-Anforderungen gehören:

• OPS.2.3.A1: Anforderungsprofile für Prozesse, die ausgelagert werden sollen, mit Funktion, verarbeiteten Daten, Schnittstellen, Bewertung der Informationssicherheit und Kritikalität, sofern keine Business-Impact-Analyse vorliegt.
• OPS.2.3.A2: risikoorientierte Entscheidung, ob ein Prozess ausgelagert werden kann, mit regelmäßiger und anlassbezogener Neubewertung.
• OPS.2.3.A3: Eignungsanforderungen an Anbietende, etwa Kompetenzen zur Absicherung und Reputation hinsichtlich Vertrauenswürdigkeit, Prüfung möglicher Interessenkonflikte.
• OPS.2.3.A4: einheitliche Grundanforderungen an Verträge mit Aspekten der Informationssicherheit, Zustimmungsvorbehalt bei Weiterverlagerung und Recht auf Prüfung, Revision und Audit.
• OPS.2.3.A5: Vereinbarung zur Mandantentrennung.
• OPS.2.3.A6: Sicherheitsanforderungen und Sicherheitskonzept für jedes Outsourcing-Vorhaben, abgestimmt mit dem Anbieter, und regelmäßige Prüfung der Wirksamkeit.
• OPS.2.3.A7: Regelungen für die geplante oder ungeplante Beendigung, einschließlich Rückgabe von Informationen, Daten und Hardware und Aufhebung der Zugangsrechte.

Als Standard-Anforderungen folgen unter anderem eine Outsourcing-Strategie und -Richtlinie, eine zuständige Person, ein Auslagerungsregister, die Prüfung der Anbietenden und die regelmäßige Überprüfung der Vereinbarungen.

Ergänzend regelt ORP.2 den Einsatz von Fremdpersonal: Externe müssen zur Einhaltung der Regeln verpflichtet, bei kurzfristigem Einsatz in sicherheitsrelevanten Bereichen beaufsichtigt werden und vor Zugang zu vertraulichen Informationen eine schriftliche Vertraulichkeitsvereinbarung unterzeichnen (ORP.2.A4 und A5).

Lieferkette nach NIS-2

Nach § 30 Absatz 2 BSIG gehört die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern zu den Mindestmaßnahmen für besonders wichtige und wichtige Einrichtungen. Das BSI erwartet, dass betroffene Unternehmen ihre Anforderungen an Dienstleister weitergeben, und hat eine Übersicht der Lieferkettenanforderungen nach Grundschutz-Praktiken veröffentlicht.

Für kleine Betriebe hat das zwei Seiten: Als Auftraggeber sollten sie ihre eigenen Dienstleister steuern. Als Zulieferer eines NIS-2-pflichtigen Kunden müssen sie damit rechnen, Fragebögen zu beantworten, vertragliche Sicherheitsanforderungen zu erfüllen und Nachweise zu erbringen.

Vorgehen in fünf Schritten

1. Dienstleisterregister

Ein einfaches Register, im IT-Grundschutz Auslagerungsregister genannt, enthält je Dienstleister:

• Leistung und betroffene Prozesse,
• verarbeitete Daten und Zugänge, insbesondere Fernzugänge und Administrationsrechte,
• Kritikalität, etwa hoch, mittel, gering,
• Vertragsstand, Ansprechpartner, Notfallkontakt,
• Datum der letzten Überprüfung.

Nicht vergessen: Softwarehersteller mit Fernwartung, Webagentur, Telefonanbieter, Cloud-Speicher, E-Mail-Dienst, Druckerservice.

2. Bewertung

Kritisch ist ein Dienstleister vor allem, wenn ohne ihn zentrale Abläufe stillstehen, wenn er Zugang zu vertraulichen Daten oder zu Ihren Systemen hat oder wenn er schwer zu ersetzen ist. Diese Dienstleister verdienen die meiste Aufmerksamkeit.

3. Auswahl und Vertrag

Bei kritischen Leistungen sollten Sie vor Vertragsschluss fragen:

• Welche Sicherheitsmaßnahmen und Nachweise gibt es, etwa Zertifikate nach ISO 27001 oder auf Basis von IT-Grundschutz, Prüfberichte oder Selbstauskünfte?
• Wo werden Daten verarbeitet, und werden Unterauftragnehmer eingesetzt?
• Wie und wie schnell werden Sicherheitsvorfälle gemeldet?
• Welche Wiederherstellungszeiten werden zugesagt?
• Wie werden Daten bei Vertragsende zurückgegeben und gelöscht?

Im Vertrag sollten diese Punkte verbindlich geregelt werden. Bei personenbezogenen Daten ist zusätzlich ein Vertrag zur Auftragsverarbeitung nach DSGVO erforderlich, wenn der Dienstleister in Ihrem Auftrag verarbeitet.

4. Zugänge steuern

• Fernzugänge persönlich zuordnen, mit Zwei-Faktor-Authentifizierung schützen und nur bei Bedarf freischalten,
• Berechtigungen auf das Nötige beschränken,
• Zugriffe protokollieren, wo möglich,
• Zugänge bei Vertragsende oder Personalwechsel beim Dienstleister sofort entziehen.

5. Überprüfung und Ausstieg

Kritische Dienstleister sollten regelmäßig überprüft werden, etwa jährlich anhand aktueller Nachweise, eines Gesprächs oder eines Audits. Für den Fall, dass der Dienstleister ausfällt, insolvent wird oder gewechselt werden soll, sollte ein Ausstiegsplan existieren: Wo liegen die Daten, in welchem Format bekommen Sie sie, wer kann kurzfristig übernehmen?

Wenn Sie selbst Dienstleister sind

Viele kleine Betriebe sind ihrerseits Zulieferer, etwa als IT-Dienstleister, Agentur, Ingenieurbüro oder Lohnfertiger. Wenn Kunden Nachweise verlangen, helfen folgende Vorbereitungen:

• eine aktuelle Leitlinie und ein schlankes Sicherheitskonzept, aus denen sich Fragen schnell beantworten lassen,
• eine Selbstauskunft zu den wichtigsten Maßnahmen wie Zwei-Faktor-Authentifizierung, Datensicherung, Updates, Schulungen und Vorfallmeldung,
• gegebenenfalls ein Ergebnis eines strukturierten Checks, etwa nach WiBA oder DIN SPEC 27076,
• eine klar benannte Ansprechperson für Sicherheitsfragen und Vorfälle.

Antworten in Fragebögen sollten stimmen. Zusagen, die im Alltag nicht eingehalten werden, können vertragliche Folgen haben.

Grenzen

Kleine Betriebe haben gegenüber großen Anbietern oft wenig Verhandlungsmacht. Dann bleibt die Wahl zwischen Anbietern mit guten Standardbedingungen und nachvollziehbaren Nachweisen sowie eigenen Ausgleichsmaßnahmen, etwa einer zusätzlichen eigenen Datensicherung. Diese Entscheidung sollte bewusst getroffen und dokumentiert werden. Auch dann gilt: Die eigenen Pflichten, etwa sichere Konfiguration, Zwei-Faktor-Authentifizierung und Benutzerverwaltung im Cloud-Dienst, bleiben beim Betrieb und lassen sich nicht auf den Anbieter abwälzen.