Rechtsfrage

Sicherheit in der Lieferkette

§ 30 Abs. 2 Nr. 4 BSIG erfasst die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern und reicht nicht weiter in die Kette. Weitergegeben wird die Anforderung deshalb durch Vertrag und nicht durch Gesetz. Für eine Einrichtung, die selbst nicht erfasst ist, ist die Grundlage damit der Vertrag. Eine als Allgemeine Geschäftsbedingung gestellte Klausel unterliegt der Inhaltskontrolle des § 307 BGB.

Der Fragebogen kommt vom Kunden, nicht von der Aufsicht

Ein Kunde schickt einen Sicherheitsfragebogen und eine Anlage, die auf das BSIG verweist. Der Vertrag steht zur Verlängerung, das Anschreiben nennt eine Frist. Ob das eigene Unternehmen selbst erfasst ist, kommt darin nicht vor.

Die Pflicht endet beim unmittelbaren Anbieter

Wie weit die Anforderung in die Kette reicht, ist die erste Frage. Die Vorschrift beantwortet sie eng. § 30 Abs. 2 Nr. 4 BSIG erfasst die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Ein Unterlieferant des Anbieters ist davon nicht erfasst. Eine Klausel, die den ganzen Katalog nach unten durchreicht, hat im Gesetz keine Grundlage.

Was inhaltlich zu berücksichtigen ist, sagt Art. 21 Abs. 3 der NIS-2-Richtlinie und nicht § 30 Abs. 2 Nr. 4 BSIG. Genannt sind dort die spezifischen Schwachstellen des einzelnen Anbieters, die Gesamtqualität seiner Erzeugnisse und seiner Cybersicherheitspraxis sowie die Sicherheit seiner Entwicklungsprozesse. Das Umsetzungsgesetz wiederholt diesen Absatz nicht.

Woran sich die Kritikalität eines Anbieters bemisst

Zugriff auf Systeme, die der erfasste Dienst benötigt
Möglichkeit, den Dienst durch einen eigenen Ausfall zu unterbrechen
Zugang zu Daten, deren Verlust den Dienst beeinträchtigt
Ersetzbarkeit innerhalb einer Frist, die der Dienst verträgt
Erkennungsfähigkeit, denn ohne sie erfährt der Kunde von einem Vorfall zu spät

Die Reihung folgt § 30 Abs. 1 S. 2 BSIG, der die Verhältnismäßigkeit an die Risikoexposition und an die Folgen bindet. Eine Liste nach Rechnungsbetrag ordnet nach einer anderen Größe. Der Anbieter einer Fernwartungssoftware steht darin unten.

Zwei Ketten, von denen nur eine von Gesetzes wegen weiterläuft

Ob sich der datenschutzrechtliche Weg auf den sicherheitsbezogenen übertragen lässt, ist die Annahme hinter den meisten Durchreichklauseln. Sie hält nicht.

Dieselbe Kette, zwei Reichweiten

Art. 28 DSGVO	Merkmal	§ 30 Abs. 2 Nr. 4 BSIG
Bis zum weiteren AuftragsverarbeiterArt. 28 Abs. 4 S. 1 DSGVO legt ihm dieselben Datenschutzpflichten auf, und zwar von Gesetzes wegen.	Reichweite	Bis zum unmittelbaren AnbieterWeiter reicht die Vorschrift nicht. Alles darüber hinaus entsteht durch Vertrag.
Gesetzlich geregeltNach Art. 28 Abs. 4 S. 2 DSGVO haftet der erste Auftragsverarbeiter dem Verantwortlichen für die Einhaltung durch den weiteren.	Haftung in der Kette	Nach dem VertragDas BSIG enthält keine Haftungsregelung für die Kette.
GenehmigungsbedürftigNach Art. 28 Abs. 2 DSGVO nur mit Genehmigung, bei allgemeiner Genehmigung mit Widerspruchsmöglichkeit.	Wechsel eines Anbieters	Frei, soweit nichts vereinbart ist
Gesetzlich vorgesehenArt. 28 Abs. 3 Buchst. h DSGVO verlangt, Überprüfungen einschließlich Inspektionen zu ermöglichen.	Prüfrecht	Nur wenn vereinbart

Ein Rechenzentrum liegt regelmäßig in beiden Ketten, ein Anbieter von Steuerungssoftware ohne Personenbezug nur in der rechten. Wer beide Ketten in einem Fragebogen abfragt, verlangt vom zweiten Anbieter Angaben ohne Rechtsgrund.

Wer selbst nicht erfasst ist, schuldet aus Vertrag und nicht aus Gesetz

Woraus die Anforderung an einen nicht erfassten Anbieter folgt, entscheidet über ihre Verhandelbarkeit. Das BSIG verpflichtet ihn nicht. Der Kunde gibt weiter, was er selbst der Aufsicht schuldet. Grundlage ist damit allein der Vertrag.

Drei Klauseln und ihr Maßstab

Die Durchreichklausel auf alle Unterlieferanten

Als Allgemeine Geschäftsbedingung ist sie an § 307 Abs. 1 BGB zu messen, der nach § 310 Abs. 1 S. 2 BGB auch gegenüber einem Unternehmer anzuwenden ist. Eine Pflicht, den ganzen Katalog ohne Rücksicht auf die Leistung nach unten weiterzugeben, dürfte nach § 307 Abs. 2 Nr. 2 BGB im Zweifel unangemessen sein.

Die Meldefrist von 24 Stunden

Der Kunde braucht sie, weil § 32 Abs. 1 Nr. 1 BSIG ihn selbst binnen 24 Stunden bindet. Zumutbar ist sie, soweit die eigene Erkennung sie hergibt. Wo sie das nicht hergibt, ist die Zusage eine Zusicherung ohne Grundlage. Der Kunde gewinnt damit nichts.

Das uneingeschränkte Prüfrecht

In der datenschutzrechtlichen Kette ist es nach Art. 28 Abs. 3 Buchst. h DSGVO ohnehin geschuldet. Darüber hinaus ist es Verhandlungssache. Eine Begrenzung auf Anlass, Vorankündigung und die Systeme des Auftrags ist üblich.

Individuell vereinbart entfällt die Inhaltskontrolle, denn § 307 BGB betrifft Allgemeine Geschäftsbedingungen. Eine Verhandlung über die Klausel verbessert deshalb nicht nur ihren Inhalt, sondern verändert auch ihren Maßstab.

So unterstützen wir Sie in der Lieferkette

Für die eigene Rolle als Anbieter lohnt eine Aufstellung der Maßnahmen, die mehrere Fragebögen mit einer Unterlage beantwortet. Sie nennt die Maßnahmen, die Unterlieferanten mit Zugriff und die Erkennungs- und Meldewege. Fortgeschrieben wird sie einmal im Jahr. Für die eigene Kette genügt eine Einteilung nach der Kritikalität oben, gestuft von der Selbstauskunft bis zum Nachweis mit Prüfrecht.

Häufige Fragen

Wir sind nicht erfasst. Warum fragt der Kunde trotzdem?

Weil er nach § 30 Abs. 2 Nr. 4 BSIG die sicherheitsbezogenen Aspekte der Beziehung zu seinen unmittelbaren Anbietern zu berücksichtigen hat. Diese Berücksichtigung schuldet er der Aufsicht. Deshalb verlangt er die Angaben von Ihnen. Ihre Grundlage ist der Vertrag. Damit ist die Anforderung verhandelbar.

Müssen wir Anforderungen an unsere eigenen Lieferanten weitergeben?

Aus dem BSIG folgt das nicht, denn die Vorschrift reicht bis zum unmittelbaren Anbieter. Aus dem Vertrag kann es folgen. Dann ist die Klausel zu prüfen. In der datenschutzrechtlichen Kette gilt das Gegenteil, denn Art. 28 Abs. 4 S. 1 DSGVO verlangt die Weitergabe derselben Pflichten an den weiteren Auftragsverarbeiter.

Genügt eine Selbstauskunft?

Für unkritische Leistungen häufig. Der Maßstab folgt aus § 30 Abs. 1 S. 2 BSIG, der die Verhältnismäßigkeit an die Risikoexposition und die Folgen bindet, nicht aber an den Rechnungsbetrag. Wo ein Anbieter Zugriff auf die Systeme des erfassten Dienstes hat, dürfte mehr erforderlich sein.

Ist eine Meldefrist von 24 Stunden für uns zumutbar?

Das hängt an der eigenen Erkennungsfähigkeit. Der Kunde braucht sie, weil § 32 Abs. 1 Nr. 1 BSIG ihn selbst binnen 24 Stunden bindet. Eine Klausel, die eine kürzere Frist ohne Rücksicht auf die Leistung vorschreibt, wäre als Allgemeine Geschäftsbedingung an § 307 Abs. 2 Nr. 2 BGB zu messen. Individuell vereinbart entfällt diese Kontrolle.

Hilft eine Zertifizierung als Antwort?

In der datenschutzrechtlichen Kette ausdrücklich, denn Art. 28 Abs. 5 DSGVO nennt ein genehmigtes Zertifizierungsverfahren als Faktor für den Nachweis hinreichender Garantien. In der sicherheitsbezogenen Kette entscheidet der Kunde, was er als Nachweis annimmt, weil die Anforderung aus seinem Vertrag stammt.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.