NIS2 SC10 und SC30: was bedeuten diese Klassifizierungen für Lieferanten?

SC10, SC20, SC30: ein privates Gütesiegel, keine gesetzliche Klassifizierung

Wer nach „NIS2 SC10" oder „NIS2 SC30" sucht, stößt auf ein dreistufiges System, das in den Niederlanden unter dem Namen „NIS2 Supply Chain" entstanden ist: SC10 (Basic), SC20 (Substantial) und SC30 (High). Wichtig vorab: Dies ist keine Klassifizierung aus der NIS2-Richtlinie selbst und keine von der EU oder einer nationalen Aufsichtsbehörde offiziell anerkannte rechtliche Einteilung. Es handelt sich um ein privates Gütesiegel, angeboten von mehreren akkreditierten Auditpartnern, das einer Pflicht konkrete Gestalt gibt, die die Richtlinie zwar nennt, aber nicht näher spezifiziert.

Diese zugrunde liegende Pflicht steht in Art. 21 Abs. 2 lit. d von NIS2 (Richtlinie (EU) 2022/2555): wesentliche und wichtige Einrichtungen müssen die Cybersicherheit ihrer Lieferkette bewerten und vertraglich absichern. Die Richtlinie schreibt nicht vor, wie — kein festes Zertifikat, kein fester Fragebogen. Genau in diese Lücke passt das SC10/SC20/SC30-Siegel: Es gibt einem Lieferanten eine konkrete, auditierbare Stufe zum Nachweis, und einem Einkäufer einen festen Bezugspunkt, danach zu fragen.

Verwechseln Sie das Gütesiegel nicht mit einer gesetzlichen Pflicht. Sie sind nicht verpflichtet, SC10, SC20 oder SC30 zu erlangen, um NIS2-konform zu sein — eine eigene, gut dokumentierte Cybersicherheitsbewertung (siehe unten) ist für die meisten Lieferantenbeziehungen ein ebenso gültiger Nachweis. Da es sich um ein niederländisches Marktinstrument handelt, begegnet es Ihnen vor allem, wenn Sie an niederländische Kunden liefern oder selbst niederländische Lieferanten haben.

Die drei Stufen im Detail

SC10 (Basic) ist die Einstiegsstufe für kleinere Lieferanten mit begrenztem Risikoprofil, die direkt an einen NIS2-pflichtigen Kunden liefern — etwa ohne Zugriff auf kritische Systeme oder sensible Daten. Das Paket umfasst rund 17 konkrete Maßnahmen aus den Bereichen Organisation, Mensch, physische Sicherheit und Technik, weitgehend abgeleitet aus Annex A der ISO/IEC 27001.

SC20 (Substantial) ist die mittlere Stufe für Lieferanten mit erhöhtem Risikoprofil: mehr Zugriff auf Systeme oder Daten des Kunden, oder größere Auswirkungen bei einem Ausfall. Die Anforderungen gehen über SC10 hinaus, mit stärkerem Fokus auf nachweisbare Umsetzung statt reiner Richtlinien auf Papier.

SC30 (High) ist die anspruchsvollste Stufe, für kritische Kettenglieder — Lieferanten, deren Ausfall beim Kunden erhebliche Folgen hätte. Diese Stufe orientiert sich eng an einer vollständigen ISO/IEC-27001-Zertifizierung, mit explizitem Fokus auf Governance, technische Kontrollen, Monitoring und unabhängige Prüfung.

Welche Stufe ein Kunde von Ihnen erwartet, hängt von drei Faktoren ab: Ihre Rolle in der Kette (direkter Lieferant oder Unterauftragnehmer eines Unterauftragnehmers), Ihr Zugriff auf Systeme oder Daten des Kunden, und die mögliche Auswirkung einer Störung bei Ihnen auf die Dienstleistung des Kunden.

Praktischer Leitfaden: welche Stufe gilt für Sie?

Schritt 1 — Fragen Sie Ihren Kunden. Der schnellste und zuverlässigste Weg: Ein NIS2-pflichtiger Kunde hat meist bereits festgelegt, welche Stufe er von Lieferanten erwartet, oft im Liefervertrag oder in Ausschreibungsbedingungen dokumentiert.

Schritt 2 — Schätzen Sie selbst ein, wenn Ihr Kunde keine Stufe nennt. Fragen Sie sich: Haben Sie direkten Zugriff auf IT-Systeme oder sensible Daten des Kunden? Könnte ein Cybervorfall bei Ihnen die Dienstleistung des Kunden stören? Liefern Sie kritische Komponenten oder Dienstleistungen ohne schnelle Alternative? Je mehr dieser Fragen Sie mit „Ja" beantworten, desto höher die vermutlich erwartete Stufe (SC20 oder SC30).

Schritt 3 — Beginnen Sie mit einer GAP-Analyse gegen die zehn CY-Bereiche einer regulären NIS2-Bewertung (siehe unseren NIS2 Supply Chain Assessment Leitfaden): Risikomanagement, Incident Management, Business Continuity, Supply Chain Security, Secure Development, Vulnerability Management, Cyberhygiene, Kryptografie, Zugriffsverwaltung und Zertifizierungen. Das ist dieselbe Grundlage, auf der sowohl SC10/SC20/SC30 als auch ein eigener Kundenfragebogen aufbauen.

Schritt 4 — Entscheiden Sie erst danach, ob eine formelle SC-Zertifizierung sich lohnt. Für einen Lieferanten mit ein oder zwei NIS2-pflichtigen Kunden reicht eine eigene, gut dokumentierte Bewertung oft aus. Beliefern Sie Dutzende NIS2-pflichtige Kunden, erspart Ihnen ein einziges unabhängiges Zertifikat das wiederholte Beantworten immer neuer Fragebögen.

Wie der Zertifizierungsprozess abläuft

Die Zertifizierung auf jeder Stufe folgt einem festen Muster: eine GAP-Analyse gegen die Anforderungen der gewählten Stufe, das Schließen der Lücken (Richtlinien erstellen, technische Kontrollen einrichten, Verfahren dokumentieren) und schließlich ein unabhängiges Audit durch einen akkreditierten Anbieter. Eine Selbsterklärung genügt bei keiner der drei Stufen — genau das unterscheidet das Gütesiegel von einem selbst ausgefüllten Fragebogen.

Für SC10 und SC20 führen manche Auditpartner das Audit direkt selbst durch; die SC30-Zertifizierung läuft in der Regel über eine externe, unabhängige Zertifizierungsstelle, ähnlich einem ISO-27001-Verfahren.

Rechnen Sie mit einem strukturierten Prozess von einigen Wochen bis wenigen Monaten, je nachdem, wie viele der zugrunde liegenden Maßnahmen Sie bereits umgesetzt haben — genau deshalb sollte die GAP-Analyse aus Schritt 3 der Ausgangspunkt sein, nicht das Audit selbst.

Wie verified.supply dabei hilft

verified.supply zertifiziert selbst kein SC10-, SC20- oder SC30-Siegel — das bleibt Aufgabe der akkreditierten Auditpartner. Was verified.supply leistet: Ihre NIS2-Cybersicherheitsbewertung entlang derselben zehn CY-Bereiche strukturieren, sodass Sie die dokumentierte Grundlage haben, die sowohl ein Kundenfragebogen als auch ein formelles SC-Audit von Ihnen verlangen — eine Risikorichtlinie, eine Incident-Prozedur, Zugriffsverwaltung und der Rest, übersichtlich an einem Ort statt verstreut über einzelne Dokumente.

Haben Sie ein SC10-, SC20- oder SC30-Zertifikat erlangt, tragen Sie es als Zertifikat in Ihrem verified.supply-Profil ein (unter Zertifikate & Versicherungen), inklusive Ablaufdatum — sichtbar für die Kunden, die danach fragen, mit derselben automatischen Ablaufüberwachung wie Ihre übrigen Zertifizierungen.

So decken Sie mit einem Profil sowohl den Weg über einen eigenen Kundenfragebogen als auch die Vorbereitung auf eine unabhängige SC-Zertifizierung ab — ohne denselben Nachweis zweimal aufzubauen.