Leveranciers-onboarding onder NIS2: wat vereist § 30 BSIG voor de toeleveringsketen?

De BSI-wet zoals gewijzigd door de wet tot omzetting van de NIS2-richtlijn (Duits federaal publicatieblad, BGBl. 2025 I nr. 301) onderscheidt essentiële en belangrijke entiteiten (§ 28 BSIG). Bepalend zijn het type entiteit volgens de bijlagen 1 en 2 – bijvoorbeeld energie, vervoer, financiën, post- en koeriersdiensten of de verwerkende industrie – en de omvang.

Een entiteit uit bijlage 1 is essentieel vanaf 250 werknemers, of vanaf een jaaromzet van meer dan € 50 miljoen in combinatie met een balanstotaal van meer dan € 43 miljoen. Een entiteit uit bijlage 1 of 2 is belangrijk vanaf 50 werknemers, of vanaf een omzet en een balanstotaal van elk meer dan € 10 miljoen. Sommige entiteiten, zoals exploitanten van kritieke installaties, vallen er ongeacht hun omvang onder.

Leveranciers hoeven niet zelf onder de wet te vallen om de gevolgen te merken: hun klanten moeten de beveiliging van de leveringsrelatie aantonen en geven de eisen daarom aan hen door.

§ 30, lid 2, somt tien maatregelen op die het risicobeheer ten minste moet omvatten. Nummer 4 noemt de beveiliging van de toeleveringsketen, met inbegrip van de beveiligingsgerelateerde aspecten van de relaties met rechtstreekse leveranciers of dienstverleners. Nummer 5 voegt daar beveiliging bij het verwerven, ontwikkelen en onderhouden aan toe, met inbegrip van de behandeling en bekendmaking van kwetsbaarheden.

Richtlijn (EU) 2022/2555 is op dit punt concreter: volgens artikel 21, lid 3, houden de entiteiten rekening met de specifieke kwetsbaarheden van elke rechtstreekse leverancier en met de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van hun leveranciers. Dit lid is niet letterlijk in de Duitse wettekst opgenomen; de memorie van toelichting (Bundestag-Drucksache 21/1501) verwijst ernaar bij § 30.

De wet schrijft geen vaste vragenlijst voor. Vier stappen hebben zich in de praktijk bewezen: leveranciers indelen naar kriticiteit (met welke gegevens, systemen en processen komen ze in aanraking?), minimumeisen per klasse vaststellen, de naleving aan de hand van bewijsstukken controleren en het resultaat zo archiveren dat het bij een audit kan worden overgelegd.

Typische eisen betreffen toegangsbeveiliging zoals multifactorauthenticatie, versleuteling, kwetsbaarheden- en patchbeheer, voorbereiding op noodsituaties, meldkanalen voor beveiligingsincidenten en certificeringen zoals ISO/IEC 27001. Verwerkt de leverancier in opdracht persoonsgegevens, dan komt daar de overeenkomst op grond van artikel 28 AVG bij.

De controle is geen eenmalige aangelegenheid: certificaten verlopen, onderaannemers wisselen, eisen veranderen. Terugkerende controles maken daarom deel uit van het risicobeheer.

Betrokken entiteiten moeten zich op grond van § 33 BSIG uiterlijk drie maanden nadat zij voor het eerst als entiteit gelden, bij het BSI registreren. Voor entiteiten die al bij de inwerkingtreding onder de wet vielen, is deze termijn volgens het BSI verstreken; zij moeten zich onverwijld alsnog registreren.

De bedrijfsleiding moet de risicobeheersmaatregelen uitvoeren en toezicht houden op de uitvoering ervan (§ 38, lid 1, BSIG) en regelmatig aan trainingen deelnemen (§ 38, lid 3, BSIG).

Overtredingen van § 30 kunnen op grond van § 65 BSIG worden bestraft met boetes tot € 10 miljoen voor essentiële en tot € 7 miljoen voor belangrijke entiteiten. Bij een wereldwijde jaaromzet van meer dan € 500 miljoen ligt het maximum op 2% respectievelijk 1,4% van die omzet.

Vendo4u vertaalt de eisen niet in een vragenlijst per klant, maar in een gedeelde catalogus: leveranciers leggen hun gegevens over informatiebeveiliging, gegevensbescherming en bedrijfscontinuïteit eenmalig vast en onderbouwen ze met documenten bij het betreffende criterium. Inkopers filteren op hun minimumeisen, vergelijken leveranciers en exporteren het profiel inclusief bewijsstukken voor hun eigen documentatie.

De plicht tot beoordeling blijft bij de entiteit. Vendo4u levert daarvoor de uniforme, navolgbare basis.