{
  "bam_id": "NIS2-021d-LIEFERKETTE",
  "regulation": "NIS-2",
  "article": "Art. 21 §2d",
  "status": "ausstehend",
  "tags": [
    "lieferkette",
    "drittpartei",
    "supply-chain"
  ],
  "cross_refs": [
    "DORA Art. 28",
    "CRA Kap. III",
    "ISO 27001 A.15.1"
  ],
  "requirement": {
    "text": "Sicherheit der Lieferkette – einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen jedem Unternehmen und seinen direkten Anbietern oder Diensteanbietern.",
    "source": "NIS-2 Art. 21 §2d",
    "priority": "hoch"
  },
  "gap_check": {
    "question": "Sind alle kritischen IT-Dienstleister identifiziert und mit dokumentierten Mindestanforderungen an Cybersicherheit versehen?",
    "if_yes": "Sicherstellen dass Anforderungen vertraglich verankert und regelmäßig überprüft werden.",
    "if_no": "Lieferkettenrisiken nicht erfasst – häufige Angriffsquelle. Sofort Inventar erstellen.",
    "if_partial": "Einige Lieferanten erfasst, aber keine systematische Bewertung aller kritischen Anbieter."
  },
  "remediation": {
    "summary": "Systematisches Supply-Chain-Risikomanagement aufbauen",
    "steps": [
      "Alle IT-Dienstleister und kritischen Lieferanten inventarisieren",
      "Kritikalität je Lieferant bewerten (hoch/mittel/niedrig)",
      "Mindestanforderungen Cybersicherheit in Vertragsklauseln verankern",
      "Jährliche Lieferantenbewertung einführen"
    ],
    "effort": "hoch",
    "deadline": "mittelfristig",
    "tools": [
      "Lieferantenregister",
      "Bewertungsmatrix",
      "Vertragsklauseln"
    ],
    "book_reference": {
      "book": "NIS-2 Survival Kit",
      "chapter": "Kap. 7 – Lieferkettensicherheit"
    },
    "cost_estimate": {
      "pt_min": 8,
      "pt_max": 15,
      "note": "Lieferanten-Inventar + Vertragsanalyse"
    }
  },
  "risk": {
    "likelihood": 3,
    "impact": 4,
    "score": 7,
    "description": "Supply-Chain-Angriffe nehmen zu. Lieferanten sind häufige Einfallstore.",
    "regulatory_fine": {
      "max_eur": 10000000,
      "max_pct": "2% Jahresumsatz",
      "basis": "NIS-2 Art. 34 – je nachdem was höher ist"
    }
  },
  "control": {
    "measure": "Lieferantenregister mit Kritikalitätsbewertung und vertraglichen Cybersicherheitsanforderungen",
    "priority": "hoch",
    "type": "organisatorisch"
  },
  "evidence": {
    "type": "Lieferantenregister + Vertragsanlage",
    "template": "Lieferanten-Sicherheitsbewertung",
    "audit_ready": true
  },
  "iso27001_mapping": {
    "controls": [
      "A.15.1.1",
      "A.15.1.2",
      "A.15.2.1"
    ],
    "coverage": "vollständig"
  },
  "iso27001_2022_controls": [
    "5.19",
    "5.20",
    "5.22",
    "5.23",
    "6.6",
    "8.30"
  ],
  "_bam_uri": "https://bam.brain-media.de/id/NIS2-021d-LIEFERKETTE",
  "_model_version": "2.0",
  "_service": "Compliance Trace",
  "_license": "CC BY-SA 4.0 (see LICENSE-DATA)",
  "_attribution": "Brain-Media Audit Model (BAM), Dr. Holger Reibold, brain-media.de"
}