Sie sind hier: Home » Markt » Hintergrund

Absichern entlang der Lieferkette


Herausforderung Lieferkettensorgfaltspflichtengesetz – Aber für wen eigentlich?
Für die IT-Security ergeben sich zusätzlich zu diesem Zugzwang weitere Herausforderungen



Von Udo Schneider, IoT Security Evangelist Europe bei Trend Micro

Das Lieferkettensorgfaltspflichtengesetz (LkSG) sieht für die betroffenen Unternehmen vor, "menschenrechtliche und umweltbezogene Sorgfaltspflichten in angemessener Weise zu beachten" (§ 3 Abs. 1 Satz 1 LkSG). Vom Gesetzestext selbst könnten sich viele Unternehmen jedoch erst einmal unbeeindruckt fühlen. Denn entweder gibt es keine Überschneidungen mit den im Gesetz genannten "menschenrechtlichen und umweltbezogenen" Risiken oder sie selbst gehören nicht zu genannten Unternehmen mit mindestens 3.000 Mitarbeitenden.

Bei der Umsetzung des Lieferkettensorgfaltspflichtengesetzes in Deutschland handelt es sich in den meisten Fällen jedoch nicht um rechtliche, sondern vielmehr vertragliche Verpflichtungen für Zulieferer. Diese Verpflichtungen geben größere Unternehmen vor, um die nötigen Standards gewährleisten zu können, wodurch kleinere Zulieferer gezwungen sind, sich ebenfalls an die Sorgfaltspflichten zu halten. Rechtlich sind diese Zulieferer also nicht verpflichtet, sollten sie die Vorgaben aber nicht einhalten, können sie auf lange Sicht im Wettbewerb nicht bestehen. Zu diesen Sorgfaltspflichten zählt unter anderem ein proaktives Risikomanagement, das entsprechende Risiken entlang der Lieferkette analysiert. Dazu kommen die regelmäßige Durchführung von Risikoanalysen und das Ergreifen von Abhilfemaßnahmen.

Entscheidend bei der Lieferantenauswahl für Unternehmen ist, die Verlässlichkeit der Zulieferer vorab zu prüfen und konstant zu evaluieren. Denn ein unverlässlicher Lieferant ist im schlimmsten Fall geschäfts- und rufschädigend. Um weiterhin im Wettbewerb bestehen zu können, müssen kleinere Unternehmen und Zulieferer also ihr IT-Security-Niveau ausbauen und ökonomische Nachhaltigkeit nachweisen können.

Für die IT-Security ergeben sich zusätzlich zu diesem Zugzwang weitere Herausforderungen. So sind die Regelungen für den IT- und Security-Sektor nicht konkret festgelegt und auch für die Art und Weise des Nachweises gibt es keine echten Vorgaben. Dementsprechend müssen sich entweder die Hersteller in Deutschland innerhalb der nächsten Jahre auf ein einheitliches Format einigen oder große Unternehmen eigene Vorlagen zum Nachweis definieren und isoliert in der eigenen Lieferkette umsetzen. Für kleine Zulieferer bedeutet das einen erheblichen Mehraufwand, da sie für jeden Kunden ein eigenes Nachweis-Mapping anlegen müssen, was den jeweiligen Compliance-Ansprüchen der Vertragspartner entspricht.

Und wie steht es um die digitalen Menschenrechte?
Die digitalen Menschenrechte stellen eine Besonderheit des Rechtssystems in der EU dar. Am stärksten spürbar sind diese derzeit in der Datenschutz-Grundverordnung (DSGVO), die oft im deutlichen Kontrast zu den Regelungen der Nicht-EU-Ländern steht. Für EU-Bürger fällt demnach der Schutz der eigenen Daten unter Menschenrechte. Ob eine Verbindung von LkSG und DSGVO durchgesetzt wird, ist bisher nicht klar. Denn die digitale Welt wird in den aktuellen LkSG-Fassungen nicht explizit genannt. Zählt die DSGVO jedoch zu den Menschenrechten im Sinne des LkSG, bedeutet das, dass diese in der Lieferkette samt Risikomanagement und Abwehr- und Beschwerdemaßnahmen durchgesetzt werden muss. Also sollten Regelungen, wie Datenhoheit über die eigenen Daten und das Recht auf Vergessen, entlang der gesamten Lieferkette nachvollziehbar und dokumentierbar sein. Demnach werden im Optimalfall in jedem Teil der Lieferkette die folgenden Fragen beachtet: Werden personenbezogenen Daten gesammelt und ist das notwendig? Wie werden diese Daten archiviert?

Fazit
Deutschland ist mit dem LkSG im europäischen Vergleich vorangeprescht. Aber auch auf EU-Seite gibt es entsprechende Überlegungen, wie die Diskussion um das "EU supply chain law initiative", was dem LkSG in der Anwendung ähnlich ist, zeigt. Dieses wird in den Mitgliedsstaaten zwar zunächst kein sofort bindendes Gesetz sein. Jedoch sollen die Vorgaben in angemessener Zeit in nationales Recht umgesetzt bzw., wie in Deutschland, bestehendes Recht angepasst oder erweitert werden. Es bleibt zu hoffen, dass eine einheitliche gesetzliche Vorgabe in den nächsten Jahren in Kraft tritt, damit der Nachweis über die Einhaltung des Lieferkettengesetz ressourcenschonend ablaufen kann. Die Teams kleinerer Unternehmen stehen sonst vor einer enorm zeitaufwändigen und unpräzisen Aufgabe. (Trend Micro: ra)

eingetragen: 19.09.23
Newsletterlauf: 07.11.23

Trend Micro: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hintergrund

  • KI für modernes Vertragsmanagement

    Laut des neuen "Digital Maturity Report" von DocuSign sind 78 Prozent der europäischen Führungskräfte von ihren aktuellen digitalen Prozessen frustriert. KI-gestützte Tools könnten Abhilfe schaffen und die Produktivität steigern. Anlässlich des "Artificial Intelligence Appreciation Day" stellte DocuSign fünf Trends vor, wie KI den Vertragsprozess revolutioniert:

  • Erhöhung der Cybersicherheit in Europa

    Das verarbeitende Gewerbe ist ein entscheidender Teil der europäischen Wirtschaft und umfasst viele Bereiche von der kleinen Produktion bis hin zu groß angelegten industriellen Prozessen. Mit zunehmender Digitalisierung und Vernetzung ist der Sektor mit immer größeren Cybersicherheitsrisiken konfrontiert, die schwerwiegende Folgen für die öffentliche Gesundheit und Sicherheit haben könnten.

  • Zugriffsmöglichkeiten durch US-Behörden

    Die deutschen Datenschutzaufsichtsbehörden haben sich Ende Januar mit der rechtlichen Bewertung von Zugriffsmöglichkeiten öffentlicher Stellen von Drittländern auf personenbezogene Daten von EU-Bürgern auseinandergesetzt. Die IT-Sicherheitsexperten der PSW Group erläutern den Beschluss der Datenschutzkonferenz (DSK), der insbesondere für internationale Unternehmensgruppen und Cloud-Anbieter eine hohe Praxisrelevanz hat.

  • Vertragsmanagement: "Stiefkind" in Unternehmen?

    Verträge bilden die juristische Grundlage jedes Geschäftsmodells: Kauf-, Miet- und Leasingverträge, Liefer- und Lieferantenverträge, Lizenz- und Nutzungsvereinbarungen sowie Versicherungen, Abonnements oder Energieversorgung (und viele andere mehr): Verträge bilden den rechtlichen Rahmen, den jedes Unternehmen braucht, um langfristig und verlässlich planen und wirtschaften zu können.

  • Effektiver Hinweisgeberschutz ist überfällig

    Bayern hat am 10. Februar 2023 im Bundesrat dem von der Ampel beschlossenen neuen Hinweisgeberschutzgesetz nicht zugestimmt. Unter anderem verpflichtet das Gesetz Unternehmen ab 50 Beschäftigten dazu, interne Meldestellen für Meldungen über im Gesetz genannte Verstöße einzurichten.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen