Supply-Chain-Angriffe sind nicht nur eine Gefahr für die Sicherheit, sondern auch ein Compliance-Risiko. Schließlich verlangen Richtlinien und Gesetze wie NIS 2, DORA oder die DSGVO, dass Unternehmen auch ihre Lieferkette schützen. Dieses Whitepaper zeigt Ihnen, welche konkreten Anforderungen Sie erfüllen müssen und wie Sie diese umsetzen.
Inhalt:
Supply-Chain-Angriffe haben sich zu einem Haupteinfallstor für Schadsoftware entwickelt. Laut dem „Verizon 2026 Data Breach Investigations Report“ waren im vergangenen Jahr an fast 50 Prozent aller Sicherheitsvorfälle Software oder Services von Dritten beteiligt – ein Anstieg von 60 Prozent im Vergleich zum Vorjahr. Auch die Europäische Sicherheitsagentur ENISA (European Network and Information Security Agency) verzeichnet steigende Bedrohungen durch Supply-Chain-Attacken.
Für Unternehmen bedeutet die Zunahme von Lieferkettenangriffen nicht nur ein erhöhtes Sicherheitsrisiko, sie vergrößert auch die Gefahr, gegen Richtlinien und Gesetze wie NIS 2 (Network and Information Security 2), die Datenschutzgrundverordnung (DSGVO), den Digital Operational Resilience Act (DORA) oder den Cyber Resilience Act (CRA) zu verstoßen.
Dieses Whitepaper, das in Zusammenarbeit mit dem Rechtsanwalt Andreas Daum erstellt wurde, gibt einen umfassenden Überblick über die aktuelle Lage.
Sie erfahren unter anderem:
Welche Anforderungen an die Lieferkettensicherheit deutsche Unternehmen erfüllen müssen.
Wie Sie in fünf Schritten Ihre Lieferkettensicherheit verbessern.
Was Sie aus den Erfahrungen anderer Unternehmen lernen können.
Originalauszug aus dem Dokument:
Im Kontext der Lieferkette haben die datenschutzrechtlichen Vorgaben zur Sicherheit der Verarbeitung besondere Bedeutung in Auftragsverarbeitungsverhältnissen, d.h. in Konstellationen, in denen ein Akteur personenbezogene Daten im Auftrag und auf Weisung eines anderen Akteurs verarbeitet. In vielen Fällen verarbeiten Dienstleister im Zuge der Erbringung ihrer Services personenbezogene Daten im Auftrag ihrer Kunden (Beispiel: Cloud-Provider). Hier ist einerseits der Dienstleister selbst und unmittelbar gemäß Art. 32 DS-GVO verpflichtet, geeignete technische und organisatorische Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung zu ergreifen. Andererseits verpflichtet die DS-GVO aber auch den Kunden des Dienstleisters, diesen im zwischen den Parteien geschlossenen Vertrag auf Maßnahmen der Datensicherheit zu verpflichten.³ Zudem kann eine angemessene „technische und organisatorische Maßnahme“, zu deren Ergreifung auch der Kunde selbst nach Art. 32 DS-GVO verpflichtet ist, in der Sicherstellung der IT-Sicherheit auch seiner Zulieferer zu sehen sein.
Die DS-GVO schafft daher – immer, wenn personenbezogenen Daten involviert sind – sektorübergreifende rechtliche Anforderungen an die Gewährleistung von Cybersecurity in der Lieferkette.
Bei Verstößen gegen Art. 32 DS-GVO drohen potenziell Geldbußen von bis zu EUR 10 Mio., im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist.