Leverandør-onboarding efter NIS2: Hvad kræver § 30 i BSIG af forsyningskæden?

BSI-loven i den affattelse, der følger af loven om gennemførelse af NIS2-direktivet (den tyske lovtidende BGBl. 2025 I nr. 301), skelner mellem væsentlige og vigtige enheder (§ 28 i BSIG). Afgørende er enhedens type efter bilag 1 og 2 – f.eks. energi, transport, finans, post- og kurertjenester eller fremstillingsvirksomhed – og dens størrelse.

En enhed i bilag 1 er væsentlig fra 250 ansatte eller ved en årsomsætning på over 50 mio. euro og samtidig en samlet balance på over 43 mio. euro. En enhed i bilag 1 eller 2 er vigtig fra 50 ansatte eller ved en omsætning og en samlet balance på hver over 10 mio. euro. Visse enheder, f.eks. operatører af kritiske anlæg, er omfattet uanset deres størrelse.

Leverandører behøver ikke selv at være omfattet af loven for at mærke følgerne: Deres kunder skal kunne dokumentere sikkerheden i leverandørforholdet og sender derfor kravene videre til dem.

§ 30, stk. 2, opregner ti foranstaltninger, som risikostyringen som minimum skal omfatte. Nr. 4 nævner forsyningskædesikkerhed, herunder de sikkerhedsrelaterede aspekter af forbindelserne til direkte leverandører eller tjenesteudbydere. Nr. 5 tilføjer sikkerhed i forbindelse med erhvervelse, udvikling og vedligeholdelse, herunder håndtering og offentliggørelse af sårbarheder.

Direktiv (EU) 2022/2555 er mere konkret på dette punkt: Efter artikel 21, stk. 3, tager enhederne hensyn til de sårbarheder, der er specifikke for hver direkte leverandør, samt til den overordnede kvalitet af deres leverandørers produkter og cybersikkerhedspraksis. Dette stykke er ikke gengivet ordret i den tyske lovtekst; lovforslagets bemærkninger (Forbundsdagens tryksag BT-Drucksache 21/1501) tager det op i bemærkningerne til § 30.

Loven foreskriver ikke et fast spørgeskema. Fire trin har vist sig nyttige: Inddel leverandører efter kritikalitet (hvilke data, systemer og processer berører de?), fastlæg minimumskrav for hver klasse, kontrollér opfyldelsen på grundlag af dokumentation, og arkivér resultatet, så det kan fremlægges ved en audit.

Typiske krav omfatter adgangsbeskyttelse som multifaktorautentificering, kryptering, sårbarheds- og patchstyring, beredskab, rapporteringsveje ved sikkerhedshændelser og certificeringer som ISO/IEC 27001. Behandler leverandøren personoplysninger på jeres vegne, kommer aftalen efter artikel 28 i GDPR til.

Kontrollen er ikke en engangsforeteelse: Certifikater udløber, underleverandører skifter, krav ændrer sig. Tilbagevendende kontroller er derfor en del af risikostyringen.

Berørte enheder skal efter § 33 i BSIG registrere sig hos det tyske forbundskontor for informationssikkerhed (BSI) senest tre måneder efter, at de første gang anses for at være en enhed. For enheder, der allerede var omfattet ved lovens ikrafttræden, er denne frist ifølge BSI udløbet; de skal registrere sig uden ophold.

Ledelsen skal gennemføre risikostyringsforanstaltningerne og føre tilsyn med gennemførelsen (§ 38, stk. 1, i BSIG) og regelmæssigt deltage i uddannelse (§ 38, stk. 3, i BSIG).

Overtrædelser af § 30 kan efter § 65 i BSIG sanktioneres med bøder på op til 10 mio. euro for væsentlige og op til 7 mio. euro for vigtige enheder. Ved en global årsomsætning på over 500 mio. euro er loftet 2 % henholdsvis 1,4 % af denne omsætning.

Vendo4u afspejler ikke kravene som ét spørgeskema pr. kunde, men som et fælles kriteriekatalog: Leverandører lægger deres oplysninger om informationssikkerhed, databeskyttelse og driftskontinuitet ind én gang og underbygger dem med dokumenter ved det enkelte kriterium. Indkøbere filtrerer efter deres minimumskrav, sammenligner leverandører og eksporterer profilen med al dokumentation til egne optegnelser.

Pligten til at foretage vurderingen ligger fortsat hos enheden. Vendo4u leverer det ensartede, sporbare grundlag for den.