### Minimale und erweiterte Kontrollen in der Lieferkette

Die Mindestkontrollen in der Lieferkette sollten Folgendes umfassen

NCCS Artikel 33 Absatz 1:

a) Empfehlungen für die Beschaffung von IKT-Produkten, IKT-Dienstleistungen und IKT-Prozessen unter Bezugnahme auf Cybersicherheitsspezifikationen, die mindestens Folgendes umfassen:

(i) die Hintergrundüberprüfungen der Mitarbeiter des Lieferanten, die an der Lieferkette beteiligt sind und mit sensiblen Informationen umgehen oder Zugang zu den Vermögenswerten des Unternehmens mit erheblicher oder kritischer Ausnwirkung haben. Die Hintergrundüberprüfung kann eine Überprüfung der Identität und des Hintergrunds von Mitarbeitern oder Auftragnehmern einer Organisation gemäß den nationalen Rechtsvorschriften und Verfahren sowie den einschlägigen und anwendbaren Rechtsvorschriften der Union, einschließlich VERORDNUNG (EU) 2016/679 und Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates Artikel 18 umfassen. Hintergrundüberprüfungen müssen verhältnismäßig sein und sich streng auf das Notwendige beschränken. Sie dürfen ausschließlich zum Zweck der Bewertung eines potenziellen Sicherheitsrisikos für die betreffende Organisation durchgeführt werden. Sie müssen in einem angemessenen Verhältnis zu den geschäftlichen Anforderungen, der Einstufung der Informationen, auf die zugegriffen werden soll, und den wahrgenommenen Risiken stehen und können von der Organisation selbst, von einer externen Organisation, das eine Überprüfung durchführt, oder durch eine staatliche Sicherheitsüberprüfung durchgeführt werden.

(ii) die Verfahren für die sichere und kontrollierte Gestaltung, Entwicklung und Produktion von IKT-Produkten, IKT-Diensten und IKT-Prozessen, wobei die Gestaltung und Entwicklung von IKT-Produkten, IKT-Diensten und IKT-Prozessen gefördert wird, die geeignete technische Maßnahmen zur Gewährleistung der Cybersicherheit enthalten;

(iii) Gestaltung von Netz- und Informationssystemen, bei denen Geräten auch dann nicht vertraut wird, wenn sie sich innerhalb eines sicheren Perimeters befinden, bei denen alle eingehenden Anfragen überprüft werden müssen und das Prinzip der geringsten Privilegien angewendet wird;

(iv) der Zugang des Lieferanten zu den Vermögenswerten der Organisation;

(v) die vertraglichen Verpflichtungen des Lieferanten zum Schutz und zur Beschränkung des Zugriffs auf sensible Informationen der Organisation;

(vi) die zugrunde liegenden Cybersicherheits-Beschaffungsvorgaben für die Unterauftragnehmer des Lieferanten;

(vii) die Rückverfolgbarkeit der Anwendung der Cybersicherheitsspezifikationen von der Entwicklung über die Produktion bis zur Lieferung von IKT-Produkten, IKT-Dienstleistungen oder IKT-Prozessen;

(viii) die Unterstützung für Sicherheitsupdates während der gesamten Lebensdauer von IKT-Produkten, IKT-Dienstleistungen oder IKT-Prozessen;

(ix) das Recht, die Cybersicherheit in den Design-, Entwicklungs- und Produktionsprozessen des Lieferanten zu überprüfen; und

(x) die Bewertung des Risikoprofils des Lieferanten;

b) diese Einrichtungen verpflichten, bei Vertragsabschlüssen mit Lieferanten, Kooperationspartnern und sonstigen Akteuren in der Lieferkette die in Buchstabe a genannten Beschaffungsempfehlungen zu berücksichtigen – und zwar sowohl bei gewöhnlichen Lieferungen von IKT-Produkten, IKT-Diensten und IKT-Prozessen als auch in Fällen ungeplanter Ereignisse und Umstände wie der Beendigung und dem Übergang von Verträgen im Falle einer Pflichtverletzung des Vertragspartners;

c) Es wird verlangt, dass diese Stellen die Ergebnisse der gemäß Artikel 22 Absatz 1 der (Richtlinie 2014/65/EU 2022/2555 DES EUROPÄISCHEN PARLAMENTS UND DES RATES) durchgeführten koordinierten Sicherheitsrisikobewertungen kritischer Lieferketten berücksichtigen.;

d) Kriterien für die Auswahl und Beauftragung von Lieferanten enthalten, die die in Absatz (a) genannten Cybersicherheitsspezifikationen erfüllen und über ein Maß an Cybersicherheit verfügen, das den Cybersicherheitsrisiken der vom Lieferanten bereitgestellten IKT-Produkte, IKT-Dienstleistungen oder IKT-Prozesse angemessen ist;

e) Kriterien zur Diversifizierung der Bezugsquellen für IKT-Produkte, IKT-Dienstleistungen und IKT-Prozesse und zur Verringerung des Risikos einer Anbieterabhängigkeit aufnehmen;

f) Kriterien zur regelmäßigen Überwachung, Überprüfung oder Auditierung der Cybersicherheitsspezifikationen für die internen Betriebsprozesse der Lieferanten während des gesamten Lebenszyklus jedes IKT-Produkts, IKT-Dienstes und IKT-Prozesses enthalten.

Die erweiterten Kontrollen der Lieferkette umfassen Folgendes:

Die erweiterten Kontrollen der Lieferkette umfassen Folgendes, wie in NCCS Artikel 33 Absatz 4 dargelegt:

Bei der Beschaffung umfassen die erweiterten Cybersicherheitskontrollen in der Lieferkette diejenigen Kontrollen, die für Organisationen mit kritischer Ausnwirkung gelten, um sicherzustellen, dass IKT-Produkte, IKT-Dienstleistungen und IKT-Prozesse, die als Vermögenswerte mit kritischer Ausnwirkung verwendet werden, den Cybersicherheitsanforderungen entsprechen. Das IKT-Produkt, der IKT-Dienst oder der IKT-Prozess muss durch das in Artikel 36 des IKT-Sicherheitsgesetzes (NCCS Artikel 36) genannte europäische Cybersicherheitszertifizierungssystem zertifiziert oder durch ein von der Organisation ausgewähltes und durchgeführtes Auditverfahren überprüft werden.

Der Detaillierungsgrad und der Umfang der Verifizierungsmaßnahmen gewährleisten, dass das IKT-Produkt, die IKT-Dienstleistung oder der IKT-Prozess zur Minderung der in der Risikobewertung der Organisation identifizierten Risiken eingesetzt werden kann. Die Organisation mit kritischer Auswirkung dokumentiert die Maßnahmen, die zur Minderung der identifizierten Risiken ergriffen wurden.