Die Lieferkettensicherheit wird mir der CER-Richtlinie und dem KRITIS-Dachgesetz erstmals systematisch Bestandteil der Resilienzpflichten kritischer Betreiber. Wer Lieferanten und externe Dienstleister bisher als Beschaffungsthema verstanden hat, muss sie jetzt als Risikoperimeter behandeln. Eine fachliche Einordnung der neuen Anforderungen und der methodischen Konsequenzen.
Die Lieferkette war in der bisherigen KRITIS-Regulierung in Deutschland kein eigenständiges Pflichtenfeld. Das BSI-Gesetz und die BSI-Kritisverordnung adressierten die IT-Sicherheit der Betreiber selbst; physische Sicherheit war branchengesetzlich geregelt, in der Tiefe je nach Sektor unterschiedlich. Was Lieferanten und externe Dienstleister beitrugen – und welche Risiken sie einbrachten – blieb regulatorisch weitgehend außerhalb des Betrachtungswinkels.
Mit der CER-Richtlinie (Richtlinie (EU) 2022/2557) und ihrer deutschen Umsetzung im KRITIS-Dachgesetz hat sich das geändert. Erwägungsgrund 18 der Richtlinie benennt die Sicherheit der Lieferketten ausdrücklich als Resilienzfaktor. Die deutsche Umsetzung verlangt in § 12 KRITIS-DachG die Bewertung der Abhängigkeit von kritischen Dienstleistungen anderer Betreiber – auch in anderen Sektoren und auch grenzüberschreitend – und in § 13 die Ermittlung alternativer Lieferketten als Bestandteil der Resilienzmaßnahmen. Damit sind wesentliche Lieferanten und Dienstleister Bestandteil des Schutzperimeters; ihre Verfügbarkeit ist methodisch zu prüfen, ihr Personal ist Teil des Sicherheitsmanagements nach § 13 Abs. 3 Nr. 5.
Für viele Betreiber ist das eine substanzielle Verschiebung. Die organisatorische Verantwortung, die bisher beim Einkauf lag, verlagert sich teilweise in den Verantwortungsbereich des Resilienz-Ansprechpartners. Vertragsstandards, die in der Beschaffung über Jahre gewachsen sind, müssen neu betrachtet werden. Und die Frage, wer in der eigenen Lieferkette eigentlich kritisch ist, wird zur methodischen Aufgabe.
Dieser Beitrag beschreibt die regulatorische Grundlage, definiert die Kategorie der wesentlichen Lieferanten, benennt die methodischen Anforderungen und zeigt, wo in der Praxis Lücken bestehen.
Die regulatorische Grundlage
Die CER-Richtlinie verpflichtet Mitgliedstaaten und Betreiber, Risiken aus der Abhängigkeit von Lieferanten in die Risikobetrachtung einzubeziehen. Erwägungsgrund 18 verlangt von den Mitgliedstaaten, bei der Bestimmung der Abhängigkeit anderer Sektoren von wesentlichen Diensten einer kritischen Einrichtung „so weit wie möglich auch die Auswirkungen auf die Lieferketten" zu berücksichtigen. Artikel 13 der Richtlinie verpflichtet kritische Einrichtungen zu Resilienzmaßnahmen, die Schutz vor Sicherheitsvorfällen, Krisenmanagement und die Wiederherstellung der Dienste umfassen.
Das KRITIS-Dachgesetz übernimmt diese Pflicht in der deutschen Umsetzung. Die Risikoanalyse und Risikobewertung nach § 12 KRITIS-DachG ist nach § 8 Abs. 7 erstmals neun Monate nach Registrierung durchzuführen und mindestens alle vier Jahre zu wiederholen. Sie folgt dem All-Gefahren-Ansatz und verlangt unter anderem die Bewertung der Abhängigkeit von kritischen Dienstleistungen anderer Betreiber – auch in anderen Sektoren und auch grenzüberschreitend (§ 12 Abs. 1 Nr. 2). Der Resilienzplan nach § 13 muss als Resilienzmaßnahme die Ermittlung alternativer Lieferketten umfassen (§ 13 Abs. 3 Nr. 4).
§ 13 Abs. 3 Nr. 5 KRITIS-DachG verlangt darüber hinaus ein angemessenes Sicherheitsmanagement hinsichtlich der Mitarbeitenden – ausdrücklich einschließlich des Personals externer Dienstleister. Damit ist auch das externe Personal mit Zugang zu kritischen Anlagen Teil des Schutzkonzepts. Die konkrete Ausgestaltung – Identitätsprüfung, Zugangssteuerung, Begleitung in sensiblen Bereichen – bleibt der Sicherheitsmethodik des Betreibers überlassen.
Was wesentliche Lieferanten sind
Die Regulierung gibt keine geschlossene Definition vor, sondern überlässt die Konkretisierung den Betreibern im Rahmen ihrer Risikoanalyse. Methodisch hat sich eine Differenzierung entlang von drei Kriterien bewährt.
Funktionale Kritikalität. Welche Lieferantenleistung ist für die Aufrechterhaltung der kritischen Funktion unverzichtbar? Ein Energieversorger ohne Reservelieferanten für bestimmte Bauteile, ein Krankenhaus ohne Notfall-Sauerstofflieferanten, ein Wasserwerk ohne alternative Chemikalien-Quelle steht im Versorgungsausfall ohne ausweichende Option da.
Substituierbarkeit. Wie schnell und mit welchem Aufwand lässt sich der Lieferant ersetzen? Standardkomponenten mit etabliertem Markt sind in der Regel substituierbar; spezifische Maßanfertigungen, proprietäre Software-Komponenten oder Lieferanten mit langen Vorlaufzeiten sind es nicht.
Zugang und Wirkmöglichkeit. Hat der Lieferant oder einer seiner Mitarbeitenden physischen oder digitalen Zugang zu kritischen Anlagen, sensiblen Daten oder Steuerungssystemen? Dann erweitert er den Risikoperimeter um Integritätsrisiken – vom Insider-Risiko bis zur Erpressbarkeit.
Aus dem Zusammenspiel dieser Kriterien ergibt sich die Kategorie der wesentlichen Lieferanten. Sie ist in der Regel enger als das gesamte Lieferantenportfolio, aber breiter als die Vorstellung, die das Beschaffungswesen historisch davon hat.
Lieferantengruppen, die in der Praxis besondere Aufmerksamkeit verdienen
Aus der Beratungspraxis lassen sich vier Lieferantenkategorien benennen, die in der Risikobetrachtung besondere Aufmerksamkeit verdienen.
Wartungsdienstleister und externe Servicetechniker stehen häufig am Anfang der Liste. Sie haben qua Aufgabe physischen Zugang zu sensibler Anlagentechnik, ihre Tätigkeit erfolgt teilweise unbeaufsichtigt, und die Identitätsprüfung erschöpft sich nicht selten in der Vorlage eines Werksausweises. Der Übergang von Wartung zu Sabotage ist methodisch fließend – und genau deshalb regulatorisch relevant.
Reinigungs- und Catering-Dienstleister werden in der Risikobetrachtung typischerweise spät einbezogen, obwohl sie in sensiblen Bereichen tätig sind und mit Personalvolumen mit hoher Fluktuation arbeiten. Die Vertragsketten reichen häufig über mehrere Ebenen – wer beim Reinigungsdienstleister tatsächlich putzt, ist der vergebenden Stelle nicht immer bekannt.
IT- und OT-Dienstleister mit Fernwartungszugang bilden eine eigene Risikoklasse. Ihre Wirkmöglichkeit auf Steuerungssysteme ist erheblich, ihre eigene Lieferantenkette wiederum komplex. Eine Kompromittierung des Lieferanten kann zur Kompromittierung der gestützten Anlage führen.
Spezialteile- und Komponentenlieferanten in monopolistischen oder oligopolistischen Märkten bilden die vierte Gruppe. Wer für eine konkrete Anlagenkomponente nur einen oder zwei Hersteller weltweit hat, ist der Lieferfähigkeit dieses Herstellers und der politisch-geografischen Stabilität seines Standorts ausgesetzt. Verfügbarkeitsrisiken in der Lieferkette sind in diesem Fall Verfügbarkeitsrisiken der eigenen Anlage.
Methodische Anforderungen an den Betreiber
Aus den regulatorischen Vorgaben und der praktischen Erfahrung lassen sich vier methodische Anforderungen ableiten, die in der Resilienz-Methodik eines Betreibers verankert sein sollten.
Lieferantenkartierung ist der methodische Ausgangspunkt. Sie erfasst alle Lieferanten und externen Dienstleister, die eine der drei Kritikalitätsdimensionen erfüllen – funktionale Kritikalität, eingeschränkte Substituierbarkeit, Zugang. Die Kartierung sollte die Subunternehmer-Ebene einschließen, soweit das vertraglich beauskunftet werden kann.
Risikobewertung pro Lieferant schließt sich an. Sie bewertet jeden wesentlichen Lieferanten entlang derselben Bedrohungsdimensionen, die in der eigenen Schutzbedarfsanalyse herangezogen wurden: natürliche, technische, hybride, terroristische und vom Menschen verursachte Bedrohungen. Methodisch ist die Bewertung dadurch einfacher; sie ist schwieriger, weil die Informationsbasis beim Lieferanten in der Regel schmaler ist als beim eigenen Betrieb.
Vertragliche Verankerung übersetzt die Risikobewertung in operative Anforderungen. Sicherheitsklauseln, Meldepflichten bei Vorfällen, Anforderungen an die Hintergrundprüfung von Personal mit Zugang, Audit-Rechte und Subunternehmer-Genehmigungsvorbehalte gehören in den Standardkatalog. Der Einkauf braucht dafür eine fachliche Vorlage, die nicht nur juristisch korrekt, sondern auch sicherheitstechnisch belastbar ist.
Alternativbezugswege und Notfallbeziehungen sind das vierte Element. Für jeden wesentlichen Lieferanten sollte beantwortet sein: Welcher Alternativbezugsweg ist in welcher Frist aktivierbar? Welche Notvereinbarungen mit Wettbewerbern oder Branchenpartnern bestehen? In welchen Fällen ist Bevorratung eine sinnvolle Antwort? Diese Antworten sind nicht in jedem Sektor identisch – Krankenhäuser bevorraten anders als Energieversorger, Wasserversorger anders als Lebensmittelhersteller.
Wiederkehrende Schwachstellen in der Praxis
Bei der Begleitung von Betreibern lassen sich Schwachstellen beobachten, die in unterschiedlichen Sektoren wiederkehren.
Die Subunternehmer-Ebene bleibt häufig unsichtbar. Vertraglich ist mit dem Primärlieferanten geregelt, dass er bestimmte Sicherheitsstandards einhält. Wer beim Subunternehmer tatsächlich für ihn arbeitet, welche Vorqualifikation diese Personen haben und ob sie an die Sicherheitsstandards weitergegeben wurden, wird in der Praxis selten beauskunftet und noch seltener geprüft.
Die Trennung von Lieferanten- und Integritätssicht ist eine zweite Schwäche. Lieferanten werden in der Risikoanalyse aus Verfügbarkeitssicht betrachtet – was passiert, wenn er nicht liefert. Sie werden in der Integritätssicht selten betrachtet – was passiert, wenn die gelieferte Komponente kompromittiert ist, wenn sein Servicetechniker zugleich Aufklärer ist, wenn seine IT-Zugänge missbraucht werden. Methodisch sind das zwei getrennte Analyseachsen, organisatorisch verlaufen sie in der Praxis häufig in einer.
Die Frist-Realität wird unterschätzt. Verträge in Standard-Beschaffungsprozessen werden in der Regel über mehrere Quartale verhandelt; eine Neuausrichtung bestehender Verträge auf KRITIS-Standards ist kein Quartalsthema, sondern eine über Monate angelegte Aufgabe. Wer mit der Lieferketten-Resilienz erst nach Abschluss der Schutzbedarfsanalyse beginnt, wird die Fristen des KRITIS-Dachgesetzes nur unter Druck einhalten.
Die sektorenübergreifenden Abhängigkeiten werden methodisch häufig nicht erfasst. Ein Krankenhaus ist nicht nur von medizinischen Zulieferern abhängig, sondern auch vom Energieversorger, vom Telekommunikationsdienstleister, vom Wasserversorger und vom Abfallentsorger. Diese sektorenübergreifenden Lieferketten sind Bestandteil des All-Gefahren-Ansatzes, fallen in der Praxis jedoch häufig zwischen die Zuständigkeiten.
Strukturiertes Vorgehen für die Praxis
Für Betreiber, die der Lieferkettensicherheit jetzt systematisch begegnen wollen, hat sich ein vierstufiges Vorgehen bewährt.
Im ersten Schritt erfolgt die Kartierung. Vorhandene Lieferantendaten aus dem Einkauf, aus dem Werkschutz, aus der Wartungsverwaltung und aus dem IT-Lieferantenmanagement werden zusammengeführt und um eine Kritikalitätsbewertung ergänzt. Das Ergebnis ist eine Liste wesentlicher Lieferanten, deren Umfang je nach Sektor und Anlagenkomplexität erheblich variiert.
Im zweiten Schritt erfolgt die Lückenanalyse. Welche Sicherheitsanforderungen sind in den bestehenden Verträgen bereits geregelt, welche fehlen? Diese Analyse ist Grundlage für die Priorisierung der Vertragsnachverhandlung.
Im dritten Schritt erfolgt die Verankerung in den Beschaffungsprozessen. Eine KRITIS-Sicherheitsanlage zum Standardvertrag, Mindestanforderungen an die Lieferantenprüfung und Eskalationspfade bei Vorfallmeldungen gehören in die Prozessdokumentation, nicht in die individuelle Vereinbarung. Alles, was künftig automatisch greifen soll, muss prozessual verankert sein.
Im vierten Schritt erfolgt die Übungs- und Prüfungsplanung. Die Lieferkette ist Bestandteil der Übungsformate, die das KRITIS-Dachgesetz verlangt. Ein Ausfall des Primärlieferanten ist ein realistisches Übungsszenario; eine Wiederbeschaffungsübung mit dokumentiertem Zeitverlauf gibt belastbare Aussagen über die tatsächliche Resilienz der Lieferantenstruktur.
Fazit
Lieferkettensicherheit ist nach KRITIS-Dachgesetz keine ergänzende Empfehlung, sondern Bestandteil der Resilienzpflicht. Die methodischen Konsequenzen reichen über das Einkaufswesen hinaus: in die Risikoanalyse, in das Vertragswesen, in die Integritätsprüfung und in die Übungsplanung. Wer die Lieferkette als Risikoperimeter mitdenkt, erfüllt nicht nur die regulatorischen Anforderungen, sondern schließt eine der wirkungsvollsten Lücken im realen Schutzkonzept.
Der Aufwand ist nicht trivial, der Zeitrahmen knapp. Eine systematische Bearbeitung ist gleichwohl möglich, wenn sie methodisch geordnet beginnt – mit einer belastbaren Kartierung wesentlicher Lieferanten und einer klaren Verbindung zur ohnehin anstehenden Schutzbedarfsanalyse.
Quellen und weiterführende Literatur
Gesetz zur Stärkung der Resilienz kritischer Anlagen (KRITIS-Dachgesetz), in der geltenden Fassung.