Lieferkettensicherheit
supply chain security für die Pflicht, Risiken aus Zulieferern und Dienstleistern zu beherrschen; sie trifft die Einrichtung selbst und nicht den Zulieferer. Vertragliche Zusicherungen allein genügen nicht. Im Zweifel entscheidet, ob die Wirksamkeit der Maßnahmen überprüft wird.
Die Pflicht wirkt mittelbar auf Unternehmen, die selbst nicht erfasst sind: Wer einen erfassten Kunden beliefert, wird über dessen Anforderungen in die Pflicht genommen, ohne selbst Adressat des Gesetzes zu sein. Verantwortlich bleibt aber die erfasste Einrichtung; sie muss die Qualität der Sicherheitsmaßnahmen ihrer Anbieter berücksichtigen und darf sich nicht auf Zusicherungen verlassen. Zu bewerten sind auch die Entwicklungspraktiken des Anbieters.
Verantwortlich bleibt die erfasste Einrichtung, nicht der Zulieferer.
Nicht erfasste Zulieferer werden mittelbar über die Anforderungen ihrer Kunden gebunden.
Vertragliche Zusicherungen genügen nicht, die Wirksamkeit ist zu bewerten.
Auch die Entwicklungspraktiken des Anbieters sind einzubeziehen.
Bezieht ein Hersteller Software von einem Zulieferer, bleibt die Verantwortung bei ihm. Steht nur vendor management, wirkt die Pflicht wie ein Beschaffungsthema. Für eine Lieferantenliste nachrangig; bei einer Prüfung fehlt die Bewertung der Anbieter.
Lieferkettensicherheit gibt eine Maschine als supply chain security wieder, was zutrifft, aber die Zuordnung offenlässt. Weil der Begriff nach einer Eigenschaft der Kette klingt, wandert die Verantwortung gedanklich zum Zulieferer, während sie bei der erfassten Einrichtung liegt. Wo diese genannt ist, klärt es sich; in einer Beschaffungsrichtlinie wird die Pflicht weitergereicht.
Der Begriffsraum erklärt Sprache, nicht den Einzelfall. Er ersetzt keine Rechtsberatung. Bei rechtlich verbindlichen Dokumenten sollte die Übersetzung fachkundig geprüft werden.