Ja – auch wenn Ihr eigenes Unternehmen die KRITIS-Schwellenwerte nicht erreicht, können Sie mittelbar in die Pflicht genommen werden, wenn Sie Leistungen für einen KRITIS-Betreiber erbringen. Das KRITIS-DachG verpflichtet Betreiber, die Resilienz ihrer gesamten Lieferkette zu bewerten und abzusichern – dazu gehören Zulieferer von Sicherheitsdienstleistungen, Wartung, IT-Services oder anderen betriebskritischen Leistungen. In der Praxis heißt das: Betreiber geben Sicherheitsanforderungen vertraglich an ihre Dienstleister weiter, etwa zu Personalüberprüfung, Zutrittsregelungen, Dokumentationspflichten oder Meldewegen bei Sicherheitsvorfällen.
Wer als Zulieferer eines KRITIS-Betreibers tätig ist oder werden will, sollte diese Anforderungen frühzeitig kennen, statt sie erst bei der Ausschreibung zu erfahren. CIBORIUS ist selbst als Sicherheitsdienstleister für KRITIS-Betreiber tätig und kennt die üblichen Vertrags- und Nachweispflichten aus erster Hand – sowohl als Betreiber-Partner als auch bei der Beratung eigener Zulieferer und Subunternehmer.