Koordinierte Risikobewertungen nach Artikel 22 NIS 2
Artikel 22 ist das Werkzeug der EU für strategische Lieferketten-Risiken bei Themen wie 5G, Cloud und Managed Service Providern. Die Kooperationsgruppe führt die Bewertung durch. ENISA und Kommission unterstützen. Einrichtungen müssen die Ergebnisse berücksichtigen, wenn sie Lieferanten nach Artikel 21(2)(d) auswählen.
Die Kurzfassung
Artikel 22 NIS 2 gibt der Kooperationsgruppe gemeinsam mit der Kommission und der ENISA die Befugnis, koordinierte Risikobewertungen zur Sicherheit der Lieferketten bestimmter kritischer IKT-Dienste, -Systeme oder -Produkte durchzuführen. Die 5G-Toolbox von 2020 war das erste durchgespielte Beispiel. Cloud, Managed Service Provider, Identitätsdienste und andere können nach demselben Verfahren bewertet werden.
Diese Bewertungen liegen auf EU-Ebene und sind strategisch. Sie decken technische Risikofaktoren ab und, wo erforderlich, auch nichttechnische. Nichttechnisch bedeutet Geopolitik, regulatorisches Umfeld, Eigentümer und Kontrolle der Lieferanten. Die 5G-Toolbox hat das Risiko von Hochrisiko-Anbietern aus Drittstaaten genau unter dieser Überschrift behandelt.
Artikel 22 bindet Einrichtungen nicht direkt. Artikel 21(3) tut das. Einrichtungen im Anwendungsbereich müssen die Ergebnisse koordinierter Bewertungen berücksichtigen, wenn sie ihre Lieferantensicherheit nach Artikel 21(2)(d) gestalten. Das ist die Brücke von der EU-Strategie zur Einkaufsentscheidung in der Einrichtung.
Artikel 22(1) und (2) NIS-2-Richtlinie (2022/2555)
(1) Die Kooperationsgruppe kann in Zusammenarbeit mit der Kommission und der ENISA koordinierte Risikobewertungen in Bezug auf die Sicherheit der Lieferketten bestimmter kritischer IKT-Dienste, -Systeme oder -Produkte unter Berücksichtigung technischer und erforderlichenfalls nichttechnischer Risikofaktoren durchführen. (2) Die Kommission legt nach Konsultation der Kooperationsgruppe und der ENISA sowie gegebenenfalls einschlägiger Interessenträger fest, welche spezifischen kritischen IKT-Dienste, -Systeme oder -Produkte der koordinierten Risikobewertung in Bezug auf die Sicherheit nach Absatz 1 unterzogen werden können.
Artikel 22 schafft den Mechanismus. Die Kooperationsgruppe führt die Bewertung durch. Die Kommission entscheidet, welche IKT-Produkte, -Systeme und -Dienste bewertet werden. ENISA unterstützt beide. Die Bewertungen sind EU-weit und strategisch, nicht einrichtungsbezogen.
Artikel 21(3) NIS 2 + DVO (EU) 2024/2690 §5
Artikel 21(3): Die Mitgliedstaaten stellen sicher, dass die Einrichtungen bei der Erwägung geeigneter Maßnahmen nach jedem Buchstaben die Ergebnisse der gemäß Artikel 22 Absatz 2 durchgeführten koordinierten Risikobewertungen in Bezug auf die Sicherheit kritischer Lieferketten berücksichtigen müssen.
Artikel 21(3) ist die Wirkung auf Einrichtungsebene. Wenn Sie im Anwendungsbereich sind und Lieferanten nach Artikel 21(2)(d) auswählen, müssen Sie die Ergebnisse aus Artikel 22 berücksichtigen. DVO §5 setzt dann das operative Detail der Lieferantensicherheit, und die Tiefe der Beschaffungsnachweise richtet sich nach der Verhältnismäßigkeitsklausel in Artikel 21(1).
§30(2)(4) BSIG und Mitwirkung in der Kooperationsgruppe (Deutschland)
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Informationstechnik, einschließlich Management und Offenlegung von Schwachstellen.
Deutschland überträgt die Lieferantensicherheits-Pflicht in §30(2)(4) BSIG. BMI und BSI vertreten Deutschland in der Kooperationsgruppe, sodass Artikel-22-Ergebnisse in die nationale Anleitung einfließen. Das BSI veröffentlicht Zusammenfassungen in den Infopaketen und in Sektor-Leitfäden. Es gibt kein eigenes deutsches Gesetz für Artikel 22 selbst: der Mechanismus läuft über die Kooperationsgruppe, und die Wirkung auf Einrichtungsebene läuft bereits über §30 BSIG.
Wer führt es durch
Die Kooperationsgruppe gemeinsam mit der Kommission und der ENISA. Die Kooperationsgruppe ist das ständige Forum der Mitgliedstaatsbehörden nach Artikel 14 NIS 2. ENISA bringt die technische Unterstützung und schreibt einen großen Teil der zugrunde liegenden Analyse. Die Kommission ruft zusammen und steuert.
Was es abdeckt
Die Kommission wählt die konkreten kritischen IKT-Produkte, -Systeme und -Dienste aus, die bewertet werden. Nach Anhörung der Kooperationsgruppe, der ENISA und gegebenenfalls weiterer Interessenträger. 5G war der erste Fall. Cloud, Identitätsdienste, Managed Service Provider und weitere können folgen. Nichts im Text begrenzt das auf eine Technologie.
Wie es in der Einrichtung landet
Einrichtungen im Anwendungsbereich müssen die Bewertungsergebnisse berücksichtigen, wenn sie Lieferanten nach Artikel 21(2)(d) auswählen. Das ist der operative Hebel. Nicht 'Artikel 22 einhalten'. Sondern 'Artikel-22-Ergebnisse bei Auswahl und Steuerung Ihrer Lieferanten berücksichtigen'.
Strategisch auf EU-Ebene, operativ in der Einrichtung
Artikel 22 liegt auf der strategischen EU-Ebene. Kooperationsgruppe, Kommission und ENISA führen ihn durch. Das Ergebnis ist eine koordinierte Lesart einer bestimmten Lieferkette. Einrichtungen setzen diese Lesart dann über Artikel 21(2)(d) und DVO §5 operativ um, skaliert durch die Verhältnismäßigkeitsklausel in Artikel 21(1). Beide Ebenen fallen nicht in eine zusammen.
Technische und nichttechnische Risikofaktoren
Artikel 22(1) benennt beides ausdrücklich. Technische Faktoren sind die übliche Cybersicherheitsfläche: bekannte Schwachstellen, sichere Entwicklungspraxis, Patch-Verhalten. Nichttechnische Faktoren sind Geopolitik, regulatorische Lage, Eigentümer und Kontrolle des Lieferanten. Die 5G-Toolbox hat Profile von Hochrisiko-Anbietern aus Drittstaaten genau unter dieser Überschrift behandelt. Artikel 22 ist der einzige NIS-2-Artikel, in dem nichttechnisches Risiko im Text benannt wird.
BMI und BSI über die Kooperationsgruppe
BMI und BSI vertreten Deutschland in der Kooperationsgruppe. Wenn eine koordinierte Bewertung veröffentlicht wird, übernimmt das BSI die Substanz in seine Infopakete und Sektor-Leitfäden. §30(2)(4) BSIG trägt die Lieferantensicherheits-Pflicht auf Einrichtungsebene. Das Artikel-22-Ergebnis ist eine der Eingangsgrößen dafür, wie ein deutscher Prüfer 'geeignet' im Sinne von §30 liest.
Technische Unterstützung durch ENISA
ENISA wird in Artikel 22(1) als technischer Partner genannt. Sie leistet einen großen Teil der analytischen Arbeit für koordinierte Bewertungen und speist sie in die Kooperationsgruppe ein. ENISA pflegt außerdem die Technical Implementation Guidance zur DVO, die Einrichtungen dann nutzen, um die Lieferantensicherheits-Pflichten aus Artikel 21(2)(d) operativ umzusetzen.
Nationale Umsetzungen von Artikel 21(3)
Jeder Mitgliedstaat setzt Artikel 21(3) in sein eigenes NIS-2-Gesetz um (Niederlande: Cyberbeveiligingswet, Österreich: NISG, Belgien: NIS2-Wet). Die Pflicht, koordinierte Bewertungsergebnisse zu berücksichtigen, ist EU-weit gleich. Unterschiede gibt es darin, welche nationale Behörde Anleitung veröffentlicht und wie die Beschaffungsregeln die Ergebnisse aufnehmen.
Artikel 22 ist nur die 5G-Regel.
5G war das erste durchgespielte Beispiel, nicht das einzige. Artikel 22(2) gibt der Kommission eine offene Befugnis, kritische IKT-Produkte, -Systeme und -Dienste für Bewertungen auszuwählen. Cloud, Managed Service Provider, Identitätsdienste und weitere können alle darunterfallen. Wer Artikel 22 als reinen 5G-Artikel liest, unterschätzt den Anwendungsbereich erheblich.
Wir liegen unter der Größenschwelle, also gilt Artikel 22 für uns nicht.
Artikel 22 selbst gilt nicht direkt für Einrichtungen. Er gilt auf EU-Ebene. Was für Sie gilt, sobald Sie im Anwendungsbereich von NIS 2 sind, ist Artikel 21(3): Sie müssen die Ergebnisse koordinierter Bewertungen bei Ihren Lieferantenentscheidungen nach Artikel 21(2)(d) berücksichtigen. Ihre Größe ändert nichts an dieser Pflicht, sobald Sie im Anwendungsbereich sind.
Artikel 22 ist das EU-Werkzeug, um NIS 2 gegen Lieferanten durchzusetzen.
Artikel 22 ist ein Bewertungsmechanismus, kein Durchsetzungswerkzeug. Er legt Lieferanten keine Pflichten auf. Er liefert eine koordinierte EU-Lesart, die Einrichtungen dann nach Artikel 21(3) berücksichtigen müssen. Durchsetzung gegen Einrichtungen läuft über die nationalen Aufsichten nach Artikeln 31 bis 37. Durchsetzung gegen Lieferanten läuft mittelbar über Beschaffungsklauseln auf Einrichtungsebene nach Artikel 21(2)(d).
Beobachten Sie die Ergebnisse der Kooperationsgruppe. Das BSI fasst sie in den Infopaketen zusammen. ENISA referenziert sie in TIG-Aktualisierungen. Wenn eine koordinierte Bewertung eine Technologie betrifft, von der Sie abhängen (5G, Cloud, Managed Service Provider), aktualisieren Sie Ihre Lieferantensicherheits-Policy und Ihr Lieferantenregister entsprechend. Verweisen Sie auf die Bewertung im Datensatz, damit ein Prüfer den Bezug sieht.
Die 5G-Toolbox ist das durchgespielte Beispiel. Bestimmte Beschränkungen für Hochrisiko-Anbieter sind in nationale Beschaffungsregeln eingeflossen und von dort in Lieferantenentscheidungen auf Einrichtungsebene. Erwarten Sie dasselbe Muster bei neuen Bewertungen. Sie müssen das vollständige Dokument der Kooperationsgruppe nicht lesen. Die BSI-Zusammenfassung plus ein Eintrag im Lieferantenregister für die betroffenen Lieferanten reicht, um die Berücksichtigung zu belegen.
Das Lieferantenregister verknüpft jeden Lieferanten mit den einschlägigen Artikel-22-Ergebnissen, wo zutreffend. Wenn eine koordinierte Bewertung einen Anbieter oder eine Anbieterkategorie einstuft, taggen Sie den Lieferanten mit dieser Einstufung. Ihr Prüfer sieht den Bewertungsbezug und Ihre Behandlungsentscheidung an einer Stelle.
Das Risikoregister nutzt dieselben Tags. Ein Lieferant unter koordinierter Bewertung erscheint als Risikoeintrag mit der Bewertung als Quelle. Behandlung, Freigabe und laufende Überprüfung laufen über den üblichen DVO-§2-Ablauf. Kein gesonderter Workflow für Artikel-22-Eingänge. Gleiche Struktur wie jedes andere Lieferantenrisiko, nur mit stärkerer externer Quelle.
- Richtlinie (EU) 2022/2555 (NIS 2), Artikel 21 und 22: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Durchführungsverordnung (EU) 2024/2690 (DVO), Anhang §5: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- EU-Toolbox für 5G-Cybersicherheit (2020): digital-strategy.ec.europa.eu
- BSI-Gesetz (BSIG), §30(2)(4) in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes
- ENISA Technical Implementation Guidance zur DVO (EU) 2024/2690 (Stand Mai 2026)