Lieferketten-Souveränität für KRITIS: Resiliente Lieferketten für Betreiber

© Jiraporn

Was bedeutet Lieferketten-Souveränität für KRITIS konkret?

Lieferketten-Souveränität für KRITIS bedeutet, Abhängigkeiten von einzelnen Zulieferern, Cloud-Anbietern und Wartungsdienstleistern so zu steuern, dass ein einzelner Ausfall nicht automatisch den eigenen Betrieb lahmlegt. Sie verlangt Transparenz über die gesamte Kette, von der Hardware bis zur eingesetzten Software. Wie verwundbar diese Ketten tatsächlich sind, zeigt eine Bitkom-Studie aus dem Frühjahr 2025: 28 Prozent der befragten Unternehmen erlebten einen Cyberangriff über einen Zulieferer. Bei 41 Prozent der Betroffenen wirkte sich das direkt auf den eigenen Geschäftsbetrieb aus. Cyberangriffe auf Lieferanten treffen damit selten nur den unmittelbar betroffenen Zulieferer selbst.

Kein Wunder, dass Aufsichtsbehörden genauer hinsehen. Der Gedanke einer souveränen Lieferkette ist eine Zuspitzung der digitalen Souveränität auf eine einzige Frage: Wer entscheidet über Beschaffung, Wartung und Ersatz kritischer IT-Komponenten? Während digitale Souveränität allgemein auf Datenhoheit und Wahlfreiheit zielt, kommen bei der Lieferkette physische und organisatorische Abhängigkeiten hinzu, etwa bei Ersatzteilen, Rechenzentren und Wartungspersonal.

Abgrenzung zu Vendor Lock-in und souveräner Cloud

Eine saubere Trennung erleichtert die Priorisierung eigener Maßnahmen. Die Vermeidung von Vendor Lock-in betrifft vor allem den Wechsel zwischen Softwareanbietern und Lizenzmodellen. Ein Betrieb kann vertraglich frei von einem einzelnen Hersteller sein und trotzdem an einem einzigen Zulieferer für Hardware oder Wartung hängen. Erst die Kombination aus beidem ergibt echte Unabhängigkeit. Souveräne Cloud-Lösungen klären zusätzlich, wo Daten liegen und welcher Rechtsordnung ein Betrieb unterliegt. Lieferketten-Souveränität für KRITIS bündelt beide Fragen zusätzlich mit der physischen Versorgungssicherheit: Ersatzteile, Wartungspersonal und Betriebsmittel müssen ebenso verfügbar bleiben wie Lizenzen und Serverkapazität.

Lieferketten-Souveränität für KRITIS in der Praxis

Lieferketten-Souveränität für KRITIS wird erst durch strukturierte Analyse und klare Zuständigkeiten greifbar. Zwei Werkzeuge haben sich dabei bewährt: die Kritikalitätsanalyse der Lieferkette und eine belastbare vertragliche Absicherung gegenüber IT-Lieferanten. Beide senken Lieferkettenrisiken bei KRITIS-Betreibern und stärken das KRITIS-Risikomanagement spürbar.

Wie gelingt die Kritikalitätsanalyse der Lieferkette?

Eine Kritikalitätsanalyse für IT-Lieferketten beginnt mit einem vollständigen Inventar aller eingesetzten Komponenten, Dienste und Ansprechpartner, der Grundlage jedes belastbaren Lieferantenrisikomanagements. Anschließend wird bewertet, wie stark der Ausfall eines einzelnen Elements die Kernprozesse eines Betriebs beeinträchtigen würde. Diese Bewertung entscheidet darüber, welche Abhängigkeiten zuerst diversifiziert werden müssen und wo ein Restrisiko vertretbar bleibt. Die Software-Kritikalitätsanalyse, die im Beitrag zur Kritikalitätsanalyse von Software beschrieben wird, ergänzt diesen Blick auf die Lieferkette um die interne Perspektive einzelner Anwendungen und deren Schutzbedarf.

Die Analyse läuft in wiederkehrenden Schritten ab:

• Bestandsaufnahme aller Lieferanten, Zulieferer und Dienstleister erstellen
• Abhängigkeiten nach Tier-Stufe und Kritikalität einordnen
• Auswirkungen eines Ausfalls auf Kernprozesse simulieren
• Schutzbedarf je Komponente ableiten und dokumentieren
• Ergebnisse jährlich oder nach größeren Vertragsänderungen aktualisieren

Tier-1-, Tier-2- und Tier-3-Zulieferer einordnen

Tier-1-Lieferanten stehen in direktem Vertragsverhältnis zum Betrieb, Tier-2- und Tier-3-Zulieferer liefern Komponenten oder Dienste an diese Tier-1-Partner weiter, oft unbemerkt vom eigentlichen Betrieb. Gerade in dieser zweiten und dritten Ebene verstecken sich die größten blinden Flecken, weil vertragliche Kontrolle dort meist endet. Eine belastbare Kritikalitätsanalyse bezieht deshalb auch die Unterlieferanten der eigenen Partner mit ein, soweit sich diese Informationen vertraglich einfordern lassen.

Resiliente Lieferketten durch Dual-Sourcing

Resiliente Lieferketten entstehen, wenn Betreiber eine Dual-Sourcing-Strategie für kritische IT-Komponenten verfolgen. Ergänzend nutzen sie eine Multi-Sourcing-Strategie, statt sich auf einen einzigen Anbieter für Hardware oder Software zu verlassen. Diese Streuung kostet zunächst mehr Aufwand in Beschaffung und Pflege. Sie reduziert im Ernstfall aber genau das Risiko, das Aufsichtsbehörden mit der neuen Gesetzeslage adressieren. Ein dauerhaft gepflegter Wartungs- und Support-Service hält kritische Software auch dann am Laufen, wenn ein Lieferant das Geschäft aufgibt oder Updates einstellt.

Neben der reinen Versorgungssicherheit rücken bei vielen KRITIS-Betreibern mit Bürgerkontakt andere gesetzliche Pflichten in den Fokus. Diese Pflichten gehen über die Versorgungssicherheit der Lieferkette hinaus. Energie-, Wasser- oder Gesundheitsversorger betreiben oft Kundenportale, für die inzwischen auch Vorgaben zur digitalen Barrierefreiheit greifen, wie sie der Beitrag zur digitalen Barrierefreiheit beschreibt. Beide Themenfelder verlangen von IT-Dienstleistern, regulatorische Anforderungen nicht isoliert, sondern als gemeinsames Anforderungsprofil zu behandeln.

Welche vertraglichen Anforderungen sollten Betreiber an IT-Lieferanten stellen?

Verträge mit IT-Lieferanten sollten Sicherheitsstandards, Auditrechte und Meldefristen konkret benennen, statt sich auf allgemeine Sorgfaltsklauseln zu verlassen. Nur so lässt sich die Einhaltung im Ernstfall auch tatsächlich nachweisen. Wichtige Bausteine sind Melde- und Reaktionsfristen sowie ein vertraglich verankertes Auditrecht, klare Regeln zur Weitergabe von Unteraufträgen sowie Exit-Klauseln für den Fall eines Lieferantenwechsels. Ergänzend sollte offenliegen, welche Komponenten quelloffen sind, denn eine durchdachte Open-Source-Strategie erleichtert später den Wechsel zwischen mehreren Anbietern erheblich.

Resiliente Lieferketten ohne Single Point of Failure

Resiliente Lieferketten ohne Single Point of Failure entstehen erst, wenn Datenhaltung, Softwarepflege und physische Versorgung gemeinsam betrachtet werden. Ein Anbieter, der zugleich Software liefert, betreibt und wartet, wird schnell selbst zum Single Point of Failure, wenn Verträge keine Alternativen vorsehen. Wie sich Unternehmensdaten unabhängig von einem einzelnen Anbieter halten lassen, vertieft der Beitrag zur Datensouveränität und Datenportabilität, mit Exportpflichten und offenen Schnittstellen als Gegenmittel.

Konkrete Resilienzmaßnahmen lassen sich schrittweise umsetzen:

• Vorqualifizierte Alternativlieferanten für kritische Komponenten benennen
• Pufferbestände für besonders lange Wiederbeschaffungszeiten einplanen
• Wartungsverträge zeitlich versetzt statt gebündelt bei einem Anbieter abschließen
• Regelmäßige Krisenübungen für den Ausfall eines zentralen Zulieferers durchführen
• Vertragliche Exit-Szenarien bereits bei Projektstart festlegen

Lieferkettensicherheit für kritische Infrastrukturen

Lieferkettensicherheit für kritische Infrastrukturen ist seit Dezember 2025 gesetzlich verankert und betrifft längst auch IT-Souveränität im Mittelstand bei der Wahl von Lieferketten. Die NIS-2-Anforderungen an Lieferanten und Dienstleister verpflichten Betreiber, deren Sicherheitsstandards zu prüfen, vertraglich abzusichern und im Ernstfall nachzuweisen. Das seit dem 17. März 2026 geltende KRITIS-Dachgesetz ergänzt diese IT-Perspektive um die physische Resilienz: Betreiber kritischer Anlagen müssen alternative Lieferketten und Ersatzbeschaffung nachweisen können, nicht nur Cyberschutzmaßnahmen. Die gemeinsame Registrierungsplattform von BBK und BSI öffnet am 17. Juli 2026, ab diesem Tag greift die Registrierungspflicht. Betreiber müssen sich spätestens drei Monate nach Einstufung ihrer Anlage als kritisch registrieren. Wer die Frist versäumt, riskiert nach § 24 KRITIS-DachG ein Bußgeld von bis zu 100.000 Euro, bei Verstößen gegen das BSIG kommen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes hinzu.

Daraus ergeben sich klare Aufgaben für den laufenden Betrieb:

• Vollständige Transparenz über eingesetzte Soft- und Hardwareprodukte herstellen
• Tier-1-, Tier-2- und Tier-3-Zulieferer systematisch erfassen
• Sicherheitsanforderungen vertraglich mit Auditrechten hinterlegen
• Meldefristen von 24 Stunden für die Erstmeldung und 72 Stunden für den Bericht einhalten
• Alternative Bezugsquellen für kritische Komponenten vorhalten
• Registrierung bei BBK und BSI innerhalb von drei Monaten nach Einstufung vornehmen
• Notfall- und Wiederanlaufpläne für Lieferausfälle dokumentieren

Nachweispflicht und Audit-Bereitschaft in der Lieferkette

Nachweispflicht und Audit-Bereitschaft entscheiden am Ende darüber, ob Lieferketten-Souveränität für KRITIS einer behördlichen Prüfung standhält. Dokumentation, die nur im Kopf einzelner Fachkräfte existiert, zählt bei einer Prüfung durch das BSI nicht.

Von der SBOM zum lückenlosen Nachweis

Eine SBOM für Software-Lieferketten in KRITIS-Unternehmen listet alle Komponenten einer Anwendung einschließlich verwendeter Open-Source-Bibliotheken auf. Damit werden Schwachstellen sichtbar, die international unter dem Begriff Supply Chain Security zusammengefasst werden. Mit dem Cyber Resilience Act wird eine solche Aufstellung ab Dezember 2027 für digitale Produkte in der gesamten EU verbindlich vorgeschrieben. Betriebe, die bereits jetzt eine SBOM pflegen, verschaffen sich einen Vorsprung, weil Nachweise dann nicht unter Zeitdruck entstehen müssen.

Für eine Prüfung bewährt sich eine feste Sammlung an Nachweisen:

• Aktuelle SBOM je eingesetzter Anwendung
• Lieferantenverträge mit dokumentierten Sicherheitsklauseln
• Protokolle vergangener Sicherheitsvorfälle und deren Behebung
• Nachweise durchgeführter Audits bei kritischen Zulieferern
• Ergebnisse der jährlichen Kritikalitätsanalyse

Wer diese Unterlagen fortlaufend pflegt statt sie einmalig für eine Prüfung zusammenzustellen, spart im Ernstfall wertvolle Zeit und reduziert das Risiko formaler Beanstandungen erheblich.