Cybersecurity Act 2: Hochrisiko-Lieferanten und die neue ICT-Lieferkettensicherheit

Seit Januar 2026 liegt ein Gesetzesvorschlag auf dem Tisch, der die Lieferkette der IT neu ordnen soll: der Cybersecurity Act 2. Die Schlagzeilen drehen sich um das Verbot von Komponenten sogenannter Hochrisiko-Lieferanten, und je nach Quelle klingt das nach Umbruch oder nach Randthema. Dieser Artikel sortiert, was im Vorschlag tatsächlich steht, wo das Verfahren im Oktober 2026 steht und was du als IT-Leiter oder Geschäftsführer im Mittelstand damit anfängst.

Was ist der Cybersecurity Act 2 und wo steht der Vorschlag?

Der Cybersecurity Act (CSA) von 2019, die Verordnung (EU) 2019/881, regelt bisher zwei Dinge: das Mandat der EU-Agentur für Cybersicherheit ENISA und einen europäischen Rahmen für die Zertifizierung von IT-Produkten, -Diensten und -Prozessen. Am 20. Januar 2026 hat die Europäische Kommission einen Vorschlag veröffentlicht, der diese Verordnung ersetzen soll (COM(2026) 11). Er heißt offiziell "Verordnung über die ENISA, den europäischen Rahmen für die Cybersicherheitszertifizierung und die Sicherheit der ICT-Lieferkette". Im Sprachgebrauch hat sich "Cybersecurity Act 2" oder "CSA2" durchgesetzt. Im selben Paket liegt ein Vorschlag für gezielte Änderungen an der NIS2-Richtlinie.

Neu an dem Entwurf sind drei Dinge. Er stärkt die ENISA, er baut den Zertifizierungsrahmen um und er schafft ein horizontales Regelwerk für die Sicherheit der ICT-Lieferkette (ICT steht für Information and Communication Technology, also IT und Telekommunikation zusammen). Der dritte Teil ist der, über den am meisten gesprochen wird.

Fakt: Der Stand im Oktober 2026

Es ist ein Vorschlag, kein Gesetz. Nach dem gewöhnlichen Gesetzgebungsverfahren müssen Europäisches Parlament und Rat zustimmen. Nach dem Stand, den ich im Oktober 2026 prüfen konnte:

• Parlament: Federführend ist der Ausschuss für Industrie, Forschung und Energie (ITRE), Berichterstatterin ist Markéta Gregorová (Grüne/EFA). Das Legislative Observatory des Parlaments führt einen Berichtsentwurf vom 18. September 2026. Ein Ausschussbeschluss oder ein Plenarvotum liegt nicht vor. Der Binnenmarktausschuss IMCO arbeitet am Text mit und hat sich am 28. September 2026 damit befasst.
• Rat: Der Fortschrittsbericht der zyprischen Ratspräsidentschaft vom 22. Mai 2026 hält fest, dass Mitgliedstaaten mehr Klarheit bei Methodik und Verfahren zur Bestimmung von Schlüssel-ICT-Assets und Hochrisiko-Lieferanten verlangen und ihre eigene Rolle stärken wollen. Einzelne Staaten stellen nach Berichten von Kanzleien sogar die Zuständigkeit der EU für diesen Bereich infrage, weil nationale Sicherheit Sache der Mitgliedstaaten bleibt. Seit dem 1. Juli 2026 führt Irland den Vorsitz.
• Zeitplan: Ein Datum für das Inkrafttreten steht im Vorschlag nicht, dort stehen noch Platzhalter. Kanzleien rechnen mit einer Verabschiedung frühestens 2027.

Erwartung: Der Text wird sich noch ändern

Alles, was du in diesem Artikel über Verbote und Fristen liest, beschreibt den Entwurf der Kommission. Parlament und Rat verhandeln gerade genau darüber, wer entscheidet (Kommission oder Mitgliedstaaten), wie die Listen entstehen und für wen welche Frist gilt. Plane deshalb nicht gegen Einzelheiten, sondern gegen die Richtung. Das ist keine Rechtsberatung, klär Zweifelsfälle mit deiner Rechtsabteilung oder Kanzlei.

Wie funktioniert die neue ICT-Lieferkettensicherheit?

Der Vorschlag baut keinen Katalog verbotener Produkte, sondern ein Verfahren in mehreren Stufen. Das ist wichtig, weil du daran siehst, wie viel erst noch entschieden werden muss.

1. Risikobewertung. Die Kommission oder mindestens drei Mitgliedstaaten können eine koordinierte Sicherheitsrisikobewertung für eine ICT-Lieferkette anstoßen. Sie soll innerhalb von sechs Monaten fertig sein.
2. Einstufung von Drittländern. Zeigt sich, dass ein Drittland ein ernstes und strukturelles nichttechnisches Risiko darstellt, kann die Kommission es per Durchführungsrechtsakt benennen (Artikel 100). Maßstab sind etwa Gesetze, die Unternehmen zwingen, Schwachstellen vor ihrer Ausnutzung an Behörden zu melden, fehlender Rechtsschutz und dokumentierte Cyberkampagnen aus dem Land.
3. Schlüssel-ICT-Assets. Die Kommission legt fest, welche ICT-Komponenten für Unternehmen der NIS2-Sektoren so wichtig sind, dass ihr Ausfall oder Missbrauch ernste Folgen hätte (Artikel 102). Kriterien sind unter anderem, ob das Asset eine wesentliche und sensible Funktion hat, ob Vorfälle zu Datenabfluss oder Störungen im Binnenmarkt führen können und ob es nur wenige Anbieter gibt.
4. Minderungsmaßnahmen. Für bestimmte Unternehmenstypen kann die Kommission dann Pflichten anordnen (Artikel 103). Das reicht vom Verbot, Komponenten von Hochrisiko-Lieferanten in Schlüssel-ICT-Assets einzusetzen, bis zu milderen Mitteln wie Transparenzpflichten gegenüber der Behörde, Beschränkungen für Datenübermittlung in Drittländer und Fernverarbeitung, Prüfung technischer Maßnahmen durch Dritte, Vorgaben für Outsourcing an Managed Service Provider, Sicherheitsüberprüfung von Personal oder die Diversifizierung der Lieferanten.
5. Liste der Hochrisiko-Lieferanten. Die Kommission erstellt die Listen per Durchführungsrechtsakt (Artikel 104), nachdem sie Sitz, Eigentümer- und Kontrollstruktur der Anbieter geprüft und diese angehört hat.

Entscheidend ist Schritt 4. Für die allermeisten Unternehmen entsteht eine Pflicht nicht durch die Verordnung selbst, sondern erst durch einen Durchführungsrechtsakt der Kommission für einen bestimmten Typ von Unternehmen. Der Vorschlag erlaubt dabei ausdrücklich, Maßnahmen auf Unternehmen einer bestimmten Größe zu beschränken. Welche Mittelständler am Ende erfasst werden, ist also offen.

Was sind Hochrisiko-Lieferanten?

Der Vorschlag meint nicht schlechte Anbieter im Sinne von unsicheren Produkten. Es geht um nichttechnische Risiken: Ein Anbieter ist riskant, weil er in einem Drittland sitzt oder von dort aus kontrolliert wird, das nach Artikel 100 als Risiko eingestuft wurde. Die Kommission prüft laut Entwurf "Niederlassung sowie Eigentümer- und Kontrollstruktur". Liefert ein Anbieter die verlangten Informationen nicht, darf sie annehmen, dass er in dem Drittland angesiedelt oder von dort kontrolliert ist. Anbieter können eine Ausnahme beantragen und müssen dafür nachweisen, dass wirksame Gegenmaßnahmen bestehen.

Namen nennt der Vorschlagstext nicht. Die Presse hat Huawei und ZTE als naheliegende Beispiele genannt, die Liste selbst soll aber erst die Kommission erstellen, und die Entscheidung liegt nicht beim Hersteller, sondern beim Land und der Kontrollstruktur. Für dich zählt deshalb die Frage, wer deine Anbieter tatsächlich kontrolliert, nicht ein bestimmter Markenname.

Gelistete Hochrisiko-Lieferanten verlieren nach dem Entwurf außerdem Zugangsrechte, die weit über dein Unternehmen hinausgehen: Sie dürfen nicht an europäischer Normung im Cyberbereich mitwirken, keine europäischen Cybersicherheitszertifikate halten oder ausstellen und sich nicht an öffentlichen Vergaben oder EU-Förderprogrammen für ICT-Komponenten in Schlüsselassets beteiligen. Bereits erteilte Zertifikate sollen die Behörden zurückziehen.

Wer ist direkt betroffen und wer indirekt?

Der Vorschlag unterscheidet zwei Wege. Beide lohnen eine genaue Betrachtung, weil die Schlagzeile "Verbot" sonst zu schnell auf alle Unternehmen übertragen wird.

Direkt: Betreiber von Telekommunikationsnetzen

Für Mobilfunk-, Festnetz- und Satellitennetze enthält der Vorschlag ein eigenes Kapitel (Artikel 110 und 111). Die Schlüssel-ICT-Assets stehen bereits in Anhang II der Verordnung. Betreiber dürfen Komponenten von Hochrisiko-Lieferanten in diesen Assets nicht verwenden, installieren oder einbinden. Für Mobilfunknetze soll die Auslaufphase höchstens 36 Monate dauern, für Festnetz und Satellit legt die Kommission die Fristen per Durchführungsrechtsakt fest.

Hier gibt es einen Punkt, den du bei der Lektüre von Quellen beachten solltest. Die Begründung des Vorschlags spricht von 36 Monaten "ab Inkrafttreten der Verordnung", der verbindliche Artikel 110 Absatz 3 dagegen von 36 Monaten ab Veröffentlichung der Liste der Hochrisiko-Lieferanten. Beides taucht in Kanzleipapieren auf. Maßgeblich wäre am Ende der Gesetzestext, und der ändert sich noch.

Für Unternehmen, die selbst keine Netze betreiben, ist das trotzdem relevant. Es zeigt den Pfad: Was bei Mobilfunk bereits im Gesetz steht, könnte für andere Bereiche über Durchführungsrechtsakte folgen. Die Presse nannte als mögliche Felder etwa Bahn- und Energiesysteme, auch Wechselrichter in Solaranlagen. Das ist eine Einordnung aus der Berichterstattung und keine Aussage des Vorschlagstextes.

Direkt, aber erst nach einem Rechtsakt: Unternehmen in NIS2-Sektoren

Der zweite Weg betrifft Unternehmen der Anhänge I und II der NIS2-Richtlinie, also die 18 Sektoren, in denen auch du betroffen sein kannst: Energie, Verkehr, Gesundheit, Digitale Infrastruktur, Herstellung, Lebensmittel und weitere. Anders als bei NIS2 gibt es im Vorschlag keine Schwellenwerte für Mitarbeitende oder Umsatz in der Verordnung selbst. Ob eine Pflicht für kleinere Unternehmen gilt, würde sich aus dem jeweiligen Durchführungsrechtsakt ergeben. Ob dein Unternehmen als wichtige oder besonders wichtige Einrichtung unter NIS2 fällt, klärst du deshalb als Erstes.

Indirekt: Mittelstand und Lieferanten

Indirekt trifft es drei Gruppen, ohne dass dich der Gesetzestext adressiert:

• Dein Kunde unterliegt einer Pflicht. Ein Energieversorger oder Netzbetreiber, der Komponenten austauschen muss, wird seine Lieferanten fragen, woher Hardware, Firmware und Fernwartung stammen und wer sie kontrolliert. Solche Fragen landen auch bei dir als Zulieferer.
• Dein Dienstleister ist betroffen. Wenn dein Managed Service Provider, dein Telekommunikationsanbieter oder dein Rechenzentrumsbetreiber Komponenten tauschen muss, ändern sich Leistungen, Termine und Preise. Der Aspekt "Outsourcing an Managed Service Provider" steht als mögliche Minderungsmaßnahme ausdrücklich im Entwurf.
• Dein Lieferant verliert den Marktzugang. Wer als Hochrisiko-Lieferant gelistet wird, fällt aus Vergaben und Zertifizierungen heraus. Falls dein Lieferant einer ist, steht dein Produkt oder dein Betrieb plötzlich ohne Plan B da.

Beispiel: Ein Hersteller mit 100 Mitarbeitenden

Ein Hersteller von Anlagenkomponenten mit rund 100 Mitarbeitenden fällt nach NIS2 vermutlich in den Sektor "Herstellung" und ist damit potenziell wichtige Einrichtung. Seine ICT-Lieferkette besteht aus einem Managed Service Provider, einem Cloud-ERP, einem Mobilfunk- und Festnetzanbieter, Fernwartungszugängen zu Maschinen und ein paar Dutzend SaaS-Diensten. Direkt betroffen vom Telekommunikationskapitel ist er nicht, er ist kein Netzbetreiber. Ob er unter einen späteren Durchführungsrechtsakt fällt, hängt davon ab, ob die Kommission seine Branche überhaupt adressiert. Indirekt hängt er aber an drei Fragen, die er heute beantworten kann: Wer liefert die Fernwartungshardware, wer betreibt die Cloud-Dienste und was passiert, wenn einer dieser Anbieter in zwei Jahren nicht mehr einsetzbar ist?

Vorschlag, Status, Relevanz für dich: Die Übersicht

Die Tabelle trennt, was im Kommissionsvorschlag steht, in welchem Zustand es heute ist und was es für dich bedeutet. Alle Angaben beziehen sich auf den Stand Oktober 2026.

Was ändert sich bei Zertifizierung und ENISA?

Neben der Lieferkette ist der Rest des Vorschlags für Mittelständler in zwei Punkten greifbar.

Zertifizierung: Schneller und als Nachweis nutzbar

Der europäische Zertifizierungsrahmen ECCF (European Cybersecurity Certification Framework) existiert seit 2019, kam aber nur langsam voran. Der Vorschlag setzt der ENISA nach einem Auftrag der Kommission in der Regel eine Frist von zwölf Monaten für den Entwurf eines Schemas. Zertifizierung soll künftig nicht nur für Produkte, Dienste und Prozesse gelten, sondern auch für Managed Security Services und für den Cybersicherheitsstand von Organisationen (Cyber Posture). Die Kommission nennt in ihren Erläuterungen als aktuell in Arbeit Schemata für EUDI-Wallets und für Managed Security Services.

Der praktische Hebel steckt in der "Konformitätsvermutung": Ein europäisches Zertifikat soll dazu dienen, Anforderungen aus anderen EU-Rechtsakten zu belegen. Das senkt im Idealfall den Aufwand, weil ein Prüfergebnis für mehrere Zwecke reicht. Auch der Digitalverband Bitkom hat das in seiner Stellungnahme zum Vorschlag positiv hervorgehoben. Für heute heißt das nur: Zertifikate werden wichtiger, und du solltest sie lesen können (dazu mehr im Abschnitt zu den Schritten ohne Gesetzespflicht).

ENISA: Mehr Aufgaben, mehr Budget

Die Agentur soll nach dem Entwurf mehr operative Aufgaben bekommen: Lagebilder, Frühwarnungen, eine EU-Cybersecurity-Reserve zur Unterstützung bei Ransomware-Vorfällen, ein gemeinsamer Dienst für Schwachstellenmanagement und die zentrale Meldeplattform, die schon der Cyber Resilience Act vorsieht. Die Kommission beziffert die Budgeterhöhung auf mehr als 75 Prozent. Wer Hersteller von Produkten mit digitalen Elementen beliefert oder selbst welche baut, kennt die Meldeplattform bereits aus dem Cyber Resilience Act.

Welche Sanktionen sieht der Vorschlag vor?

Der Vorschlag überlässt die Sanktionen den Mitgliedstaaten, setzt aber Obergrenzen. Sie beziehen sich auf den weltweiten Jahresumsatz des Unternehmens, zu dem die betroffene Einrichtung gehört:

• Bis zu 1 Prozent bei Verstößen gegen Transparenzpflichten gegenüber der Behörde.
• Bis zu 2 Prozent bei Verstößen gegen die übrigen Minderungsmaßnahmen, etwa Beschränkungen bei Datenübermittlung, Outsourcing oder Diversifizierung.
• Bis zu 7 Prozent beim Einsatz verbotener Komponenten, also bei Verstößen gegen das Verbot für Schlüssel-ICT-Assets und die Telekommunikationsverbote.

Diese Zahlen gelten nur für Pflichten, die es erst nach einem Durchführungsrechtsakt gibt. Dass Kanzleipapiere die "2 Prozent" teilweise als Obergrenze für alle übrigen Verstöße zusammenfassen, ist eine Vereinfachung. Der Gesetzestext trennt zwischen den Transparenzpflichten und den anderen Maßnahmen.

Was du ohne Gesetzespflicht schon jetzt sinnvoll tust

Es gibt keinen Grund, auf das Ende des Gesetzgebungsverfahrens zu warten, denn die vier folgenden Schritte brauchst du auch ohne CSA2. NIS2 verlangt schon heute, die Sicherheit der Lieferkette zu managen, und jeder Ausfall bei einem Dienstleister trifft dich unabhängig von der Rechtslage.

1. Lieferantenabhängigkeiten inventarisieren

Ein typischer Befund in Audits: Die Liste der kritischen Lieferanten stimmt nicht mit der Realität überein. Der MSP steht drin, der Anbieter der Fernwartung nicht, der Zulieferer der Firmware auch nicht. Eine brauchbare Inventur beantwortet pro Dienstleister fünf Fragen:

• Welche Leistung bezieht dein Unternehmen, und welcher Geschäftsprozess hängt daran?
• Welche Komponenten, Systeme oder Dienste setzt der Lieferant dafür ein (soweit er sie nennt), und wer sind seine Unterauftragnehmer?
• Wo sitzt der Anbieter, wer besitzt oder kontrolliert ihn, und in welchem Rechtsraum werden Daten verarbeitet?
• Hat der Anbieter Fernzugriff auf deine Systeme oder Daten?
• Wie lange dauert ein Ersatz, und wie hoch ist der Aufwand?

Für ein Unternehmen mit 100 Mitarbeitenden sind das meist zehn bis zwanzig Lieferanten, die wirklich zählen. Fang dort an und ergänze den Rest später. Die Methodik der Lieferantenbewertung mit Sicherheitsfragebogen liefert dafür das Raster. Wer im Finanzsektor tätig ist, kennt das Prinzip schon aus dem Informationsregister nach DORA.

In ISMS Lite legst du Dienstleister mit Kritikalität, Dienstleistung, Verträgen und Kündigungsfristen an und verknüpfst sie mit den Assets, die sie betreffen. So siehst du auf einen Blick, welche Geschäftsprozesse an einem Anbieter hängen.

2. Geopolitische und Konzentrationsrisiken in die Bewertung aufnehmen

Klassische Sicherheitsfragebögen fragen nach Verschlüsselung, Zertifikaten und Patchprozessen. Der CSA2-Vorschlag zeigt, welche Fragen darüber hinaus an Gewicht gewinnen. Ergänze deinen Fragebogen und die Risikoanalyse um nichttechnische Kriterien:

Das Konzentrationsrisiko übersehen viele am längsten. Ein Beispiel: Dein MSP, dein ERP und dein Backup laufen beim selben Hyperscaler. Jeder Anbieter einzeln wirkt solide, aber eine Störung oder eine regulatorische Entscheidung bei diesem einen Anbieter trifft drei Prozesse gleichzeitig. Trag solche Häufungen als eigenes Risiko in deine Risikobewertung ein. Wie viel Abhängigkeit du dir leisten willst, ist im Kern eine Frage der digitalen Souveränität deines Unternehmens.

3. Exit-Optionen klären

Ein Exit ist kein Kündigungsschreiben, sondern ein getesteter Plan: Daten exportieren, Alternative anbinden, Betrieb übergeben. Prüf für jeden kritischen Lieferanten:

• Welche Frist gilt für die Kündigung, und wann endet der Vertrag?
• In welchem Format und mit welchem Umfang bekommst du deine Daten zurück?
• Welche Alternative hast du identifiziert, und wie lange würde die Migration realistisch dauern?
• Wer übernimmt im Notfall den Betrieb der Schnittstellen und Fernzugänge?

Bei Cloud-Diensten stärkt der EU Data Act deine Position, weil er Wechsel und Datenzugang regelt. Für Hardware und Netzdienste musst du den Wechsel selbst planen: Welche Geräte würdest du ersetzen, wenn ein Hersteller ausfällt, und wer liefert die Alternative?

Halte Ergebnisse als Maßnahme fest und verknüpfe sie mit dem Risiko. In ISMS Lite kannst du Kündigungsfristen, Vertragsende und Wiederbewertungstermine des Dienstleisters führen und Maßnahmen mit Risiken verknüpfen. Eine Wiederbewertung einmal im Jahr genügt bei den meisten Lieferanten, bei kritischen Anbietern lohnt sich ein kürzerer Rhythmus.

4. Zertifizierungen richtig lesen

Zertifikate gewinnen mit dem CSA2 an Gewicht, und du bekommst sie von Lieferanten ohnehin vorgelegt. Ein Zertifikat ist aber nur so viel wert wie die Antwort auf vier Fragen:

• Was ist zertifiziert? Ein ISO-27001-Zertifikat gilt für einen definierten Geltungsbereich. Steht dort nur das Rechenzentrum in Frankfurt und nicht das Produkt, das du nutzt, hilft es dir nichts.
• Wer hat zertifiziert? Prüfe, ob die Stelle akkreditiert ist.
• Wie aktuell ist es? Zertifikate laufen aus. Das Datum und der Stand des letzten Überwachungsaudits gehören in deine Bewertung.
• Welche Art Nachweis ist es? Ein Zertifikat, ein Testat nach einem Kriterienkatalog wie BSI C5 und eine Selbsterklärung haben unterschiedliche Aussagekraft.

Sobald europäische Schemata nach dem CSA2 vorliegen, kommen neue Nachweise dazu. Dann kannst du sie in dieselbe Bewertung einordnen.

Welche Rolle spielen Supply-Chain-Angriffe?

Der CSA2-Vorschlag adressiert vor allem nichttechnische Risiken, also Eigentümer, Kontrolle und Rechtsraum. Die technischen Risiken der Lieferkette bleiben davon unberührt, also Supply-Chain-Angriffe über kompromittierte Updates, abgegriffene Zugänge von Dienstleistern oder manipulierte Bibliotheken. Beide Sichten ergänzen sich: Die eine fragt, wem du vertraust, die andere, wie du dich absicherst, wenn dieses Vertrauen enttäuscht wird.

Checkliste: Lieferkette auf den CSA2 vorbereiten

Inventar

• Alle Lieferanten mit Zugriff auf Systeme, Daten oder kritische Prozesse erfasst
• Pro Lieferant Geschäftsprozess, Vertrag und Eigentümer der Beziehung dokumentiert
• Unterauftragnehmer der kritischen Lieferanten abgefragt
• Fernwartungs- und Remote-Zugänge von Dritten aufgelistet
• Kritikalität pro Lieferant festgelegt (zum Beispiel hoch, mittel, niedrig)

Bewertung

• Fragebogen um Sitz, Eigentümer, Kontrolle und Rechtsraum erweitert
• Standort der Datenverarbeitung und Zugriff aus Drittländern geklärt
• Konzentrationen erkannt (mehrere Prozesse bei einem Anbieter)
• Ergebnis als Risiko erfasst und einem Verantwortlichen zugewiesen
• Wiederbewertungstermin pro Lieferant gesetzt

Exit

• Kündigungsfristen und Vertragsende der kritischen Lieferanten bekannt
• Datenexport getestet oder zumindest Format und Umfang schriftlich zugesichert
• Alternative pro kritischem Lieferanten benannt
• Zeit- und Kostenrahmen für einen Wechsel grob geschätzt
• Notfallplan für den Ausfall eines Lieferanten im Notfallhandbuch hinterlegt

Nachweise

• Zertifikate nach Geltungsbereich, Aussteller und Gültigkeit geprüft
• Ablaufdaten in einer Frist-Übersicht hinterlegt
• Vertragsklauseln zu Transparenz, Unterauftragnehmern und Informationspflichten ergänzt
• Gesetzgebungsverfahren (Parlament und Rat) im Quartalsrhythmus beobachtet
• Verantwortliche Person für das Monitoring benannt

Häufige Fehler bei der Vorbereitung auf den CSA2

Den Vorschlag wie geltendes Recht behandeln. Wer heute Anbieter aus Panik austauscht, handelt auf der Grundlage eines Textes, der sich noch ändert. Bereite Entscheidungen vor und triff sie, wenn die Lage klar ist. Das spart Geld und verhindert Fehlentscheidungen.

Auf Markennamen statt auf Kontrolle schauen. Der Entwurf stuft nicht Produkte ein, sondern Anbieter nach Sitz und Kontrollstruktur. Ein Unternehmen mit europäischem Namen kann von einem Drittland aus kontrolliert werden. Frag nach den Eigentümern, nicht nach dem Logo.

Nur die ersten Lieferanten betrachten. Dein MSP ist bewertet, aber von welchen Unterauftragnehmern, Komponenten oder Rechenzentren er abhängt, weißt du nicht. Das Risiko sitzt häufig eine Stufe tiefer.

Konzentrationsrisiken ignorieren. Mehrere gute Anbieter, die alle auf demselben Fundament laufen, sind ein einziges Risiko. Ohne Blick auf Häufungen siehst du das erst im Ausfall.

Exit nur auf dem Papier haben. Eine Alternative, die noch nie jemand getestet hat, bleibt eine Behauptung. Probier mindestens den Datenexport aus und miss die Dauer.

Fazit: Vorbereiten statt Abwarten

Der Cybersecurity Act 2 ist ein Vorschlag, und für Mittelständler außerhalb der Telekommunikation entsteht heute keine neue Pflicht daraus. Er zeigt aber, wohin die Fragen wandern: von "Ist der Anbieter sicher?" zu "Wem gehört er, und wie schnell kommst du da raus?". Der nächste Schritt ist klein und ohne Gesetz sinnvoll: Nimm deine zehn wichtigsten Lieferanten, ergänze Sitz, Kontrolle und Exit-Aufwand und trag das Ergebnis als Risiko in dein ISMS ein.

Weiterführende Artikel

• Lieferanten-Sicherheitsrichtlinie: Anforderungen an Dritte formulieren
• Szenario Lieferanten-Hack: Dein IT-Dienstleister wurde kompromittiert
• IT-Sicherheitsklauseln in Verträgen: Was du von Dienstleistern fordern solltest
• Vendor Lock-in bei Compliance-Software: Wie du die Kontrolle über dein ISMS behältst
• IT-Asset-Management für das ISMS: Inventar, Kritikalität und Klassifizierung