Ihre Widerstandsfähigkeit ist von Lieferanten abhängig, die Sie nie geprüft haben.

Das Lieferantenmanagement regelt die Geschäftsbeziehung: Leistung, Servicelevel und Ausgaben. Die Lieferkettensicherheit steuert das damit verbundene Risiko: Was geschieht mit Ihrem Betrieb, wenn der Lieferant ausfällt, kompromittiert wird oder erpresst wird? Die erste Komponente ist die Beschaffung, die zweite die Resilienz – die jüngsten Störungen zeigen, welche Komponente fehlte.

Artikel 21 nennt die Sicherheit der Lieferkette, einschließlich der sicherheitsrelevanten Aspekte der Beziehungen zu direkten Lieferanten und Dienstleistern, als eine der obligatorischen Risikomanagementmaßnahmen. Unternehmen sind verpflichtet, die Schwachstellen ihrer Lieferanten und deren Gesamtqualität zu bewerten, und Aufsichtsbehörden fordern zunehmend entsprechende Nachweise an.

Als eine seiner fünf Säulen – ein Register von IKT-Drittanbietervereinbarungen, obligatorische Vertragsbestimmungen, Konzentrationsrisikobewertung, Überwachung und Ausstiegsstrategien, wobei kritische IKT-Anbieter der direkten europäischen Aufsicht unterliegen – schafft unser Arbeitsbereich für Drittanbieter genau diese Datengrundlage.

Der Anteil Ihres Betriebs, der von einem einzelnen Anbieter, einer Plattform oder einem Standort getragen wird. Genau das führte dazu, dass ein Ransomware-Angriff bei einem Anbieter gleichzeitig manuelle Eingriffe an vier großen Flughäfen erforderlich machte: viele Organisationen, eine Abhängigkeit, ein Ausfall. Die Konzentration wird gemessen und anschließend entweder reduziert oder durch einen einstudierten Ausweichplan abgesichert.

Das muss so sein. Ein Notfallplan, dessen kritische Schritte von einem Anbieter durchgeführt werden, der diese nie mit Ihnen geübt hat, ist ein Risiko. Wir entwickeln gemeinsam mit Ihren wichtigsten Anbietern Szenarien – von der Planspielübung bis zum praktischen Einsatz –, damit die Abläufe mit denjenigen getestet werden, die die Verantwortung auf der anderen Seite tragen.