Cyber Essentials in Lieferkette und öffentlicher Beschaffung: PPN 014 und die Einordnung neben ISO 27001 und NIS-2

Problem in der Praxis

Deutsche Unternehmen erfahren oft erst in der Ausschreibung, dass Cyber Essentials verlangt ist, und haben dann zu wenig Zeit. Umgekehrt ruft das NCSC große Organisationen ausdrücklich dazu auf, die Verbreitung von Cyber Essentials in ihren Lieferketten zu verbessern; Lieferanten britischer Unternehmen müssen deshalb auch außerhalb der öffentlichen Beschaffung mit der Anforderung rechnen (Auslegung). Und in Gesprächen mit Kunden wird Cyber Essentials gern mit ISO 27001 verrechnet, obwohl beide unterschiedliche Fragen beantworten.

CISO-Einordnung

PPN 014 im Überblick:

• Geltung: zentrale Ministerien, ihre Agenturen, Non-Departmental Public Bodies und NHS-Stellen ("in-scope organisations"); andere öffentliche Stellen können sie anwenden. Zu beachten ab dem 24.02.2025; die Fassung ist an die Begriffe des Procurement Act 2023 angepasst, ohne die Politik zu ändern.
• Höheres Risiko: Verarbeitung personenbezogener Daten von Bürgerinnen und Bürgern oder von Regierungsbediensteten durch den Lieferanten, IKT-Systeme für Daten der Stufe OFFICIAL, Informationen zum Tagesgeschäft der Regierung.
• Nachweis: Cyber Essentials oder Cyber Essentials Plus als schnellstes Mittel. Wer kein Zertifikat hat, kann die Erfüllung der Cyber-Essentials-Anforderungen auf anderem Weg nachweisen; die erfassten Auftraggeber müssen solche Gleichwertigkeit nach dem Procurement Act 2023 anerkennen, wenn sie zufriedenstellend nachgewiesen ist, wobei die Verifikation normalerweise durch einen fachkundigen unabhängigen Dritten erfolgen soll und für das Plus-Niveau in jedem Fall erfolgen muss (PPN 014 Annex C Q10). Der Nachweis ist grundsätzlich vor Zuschlag zu erbringen; nur ausnahmsweise kann ein Auftraggeber risikobasiert einen Vertragsbeginn mit abgelaufenem, in Erneuerung befindlichem Zertifikat zulassen, dann muss der Nachweis spätestens bei der Datenübergabe an den Lieferanten vorliegen; Lieferanten müssen alle 12 Monate rezertifizieren (Annex C Q5, Q7; Nr. 14 und 16).
• Grenzen: keine Produkt- oder Dienstabsicherung, kein Schutz gegen gezielte Angriffe, kein pauschaler Einsatz, Verhältnismäßigkeit und Rücksicht auf kleine und mittlere Unternehmen; Cyber Essentials Plus soll bei höherem Risiko verwendet werden.
• G-Cloud: Lieferanten auf den G-Cloud-Rahmenverträgen müssen die Cloud Security Principles der Regierung erfüllen; Cyber Essentials ist dort keine Vertragsbedingung, Lieferanten werden aber ermutigt, eine Zertifizierung anzugeben.

Einordnung neben anderen Rahmenwerken (ohne Gleichwertigkeitsaussage):

• ISO/IEC 27001 (Track core-iso27001) ist ein Managementsystem mit Risikoanalyse, Maßnahmenauswahl und kontinuierlicher Verbesserung; Cyber Essentials prüft fünf technische Kontrollen ohne Managementsystem. Ein ISO-Zertifikat kann Cyber Essentials nur ersetzen, wenn der Auftraggeber es als gleichwertigen Nachweis anerkennt.
• NIS-2 (Track nis2) begründet in der EU gesetzliche Risikomanagement-, Melde- und Governance-Pflichten; Cyber Essentials ist ein britisches Schema und weder Umsetzung noch Nachweis dieser Pflichten. Die fünf Kontrollen können allerdings Teil der technischen Maßnahmen sein, die ein Unternehmen unter NIS-2 ohnehin trifft (Auslegung).
• Deutsche Basisangebote für kleine Unternehmen, etwa die DIN SPEC 27076 (Track cis), verfolgen einen ähnlichen Zweck, sind aber anders gebaut; ein Vergleich im Einzelnen gehört nicht hierher.

Umsetzungsperspektive

• Pipeline prüfen: UK-Ausschreibungen und Kundenverträge auf Cyber-Essentials-Anforderungen durchsehen, bevor ein Angebot ansteht.
• Nachweisstrategie festlegen: Zertifikat erwerben oder die Erfüllung der Anforderungen gleichwertig nachweisen, verifiziert durch einen fachkundigen unabhängigen Dritten, beim Plus-Niveau zwingend; Nachweis vor Zuschlag einplanen.
• Erneuerung an Verträge koppeln: jährliche Zertifizierung für die Laufzeit sicherstellen.
• Eigene Lieferkette: entscheiden, ob Cyber Essentials von Lieferanten verlangt wird, etwa für britische Tochtergesellschaften, und das verhältnismäßig tun.
• Kommunikation: Cyber Essentials gegenüber Kunden als technische Basis darstellen, nicht als ISMS-Ersatz oder NIS-2-Nachweis.

Typische Fehler

1. Die Anforderung wird erst in der Ausschreibung entdeckt.
2. Ein ISO-27001-Zertifikat wird ohne Rücksprache als gleichwertig angeboten.
3. Cyber Essentials wird als NIS-2-Nachweis verstanden.
4. Die jährliche Erneuerung während der Vertragslaufzeit wird versäumt.
5. Cyber Essentials wird von allen eigenen Lieferanten verlangt, ohne Bezug zum Risiko.

Risiken und Trade-offs

Eine frühe Zertifizierung schafft Angebotsfähigkeit, bindet aber Mittel, auch wenn kein Auftrag folgt; eine späte riskiert, eine Ausschreibung zu verpassen. Der gleichwertige Nachweis spart die Zertifizierung, braucht aber in der Regel eine unabhängige Verifikation und ist für den Auftraggeber schwerer vergleichbar. In der eigenen Lieferkette erhöht eine Cyber-Essentials-Anforderung die Basissicherheit, kann aber kleine Lieferanten belasten, worauf auch PPN 014 hinweist.

Entscheidungspunkte

• Welche UK-Aufträge und Kunden verlangen Cyber Essentials oder Plus?
• Zertifikat oder gleichwertige Kontrollen, und mit wem ist das abgestimmt?
• Wie wird die Erneuerung über die Vertragslaufzeit gesichert?
• Soll Cyber Essentials in der eigenen Lieferkette verlangt werden, und wo?
• Wie wird Cyber Essentials gegenüber ISO 27001 und NIS-2 kommuniziert?

Praktische Empfehlungen

1. Prüfen Sie UK-Ausschreibungen und Kundenverträge frühzeitig auf Cyber-Essentials-Anforderungen.
2. Stimmen Sie Nachweise mit dem Auftraggeber ab, wenn Sie ein anderes Zertifikat anbieten.
3. Koppeln Sie die jährliche Erneuerung an die Vertragslaufzeiten.
4. Verlangen Sie Cyber Essentials in der eigenen Lieferkette nur risikobezogen.
5. Positionieren Sie Cyber Essentials als technische Basis neben ISMS und gesetzlichen Pflichten.

Relevante Normreferenzen

• Cabinet Office, Procurement Policy Note 014: Cyber Essentials scheme (17.02.2025), Nr. 1 bis 27 und Anhänge; Open Government Licence v3.0.
• NCSC, Cyber Essentials: Requirements for IT Infrastructure v3.3; NCSC-Ressourcenseite zu Cyber Essentials in Lieferketten.
• ISO/IEC 27001 (Track core-iso27001), Richtlinie (EU) 2022/2555 (Track nis2), DIN SPEC 27076 (Track cis).