NIS2 für Zulieferer und Dienstleister: Wenn das Gesetz über den Kunden kommt
Viele Unternehmen fallen nicht unter die Schwellen des BSIG und bekommen trotzdem NIS2-Fragebögen, Sicherheitsanhänge zu Verträgen und Auditanfragen. Der Grund steht in § 30: Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette absichern. Diese Seite erklärt, was auf Sie zukommt und wie Sie effizient antworten.
- § 30 BSIG: Sicherheit der Lieferkette als Pflicht des Kunden
- rund 29.500 Einrichtungen, die ihre Lieferanten bewerten müssen
- Vertrag statt Gesetz: der Weg, auf dem NIS2 Sie erreicht
- 1 Antwortpaket statt zwanzig einzelner Fragebögen
Warum Ihre Kunden Sie nach NIS2 fragen
Die Pflicht trifft den Kunden. Erfüllen kann er sie nur, wenn seine Lieferanten mitziehen. Deshalb wandert die Anforderung entlang der Lieferkette nach unten.
- § 30 BSIG
Lieferkette ist ein Maßnahmenbereich
„Sicherheit der Lieferkette“ ist einer der zehn Maßnahmenbereiche, die betroffene Einrichtungen umsetzen müssen. Dazu gehört, die Sicherheit der direkten Anbieter und Dienstleister zu bewerten und vertraglich abzusichern.
- Nachweis
Der Kunde muss es belegen können
Das BSI kann Nachweise über die Umsetzung verlangen. Ein Kunde, der seine Lieferanten nicht bewertet hat, hat eine Lücke in der Prüfung. Also dokumentiert er: Fragebogen, Bewertung, Vertragsklausel, Wiedervorlage.
- Folge
Sie werden zur Evidenz Ihres Kunden
Ihre Antworten landen in seinem Nachweisordner. Das erklärt, warum die Fragen präzise, schriftlich und mit Frist kommen. Und warum eine gute Antwort Sie als Lieferant stärkt, statt nur Aufwand zu sein.
Erst prüfen: direkt oder nur indirekt betroffen?
Bevor Sie Fragebögen beantworten, klären Sie Ihre eigene Position. Die Antwort verändert, was Sie dem Kunden schulden und was dem BSI.
-
Sektor prüfen
Fällt Ihre Tätigkeit unter Anlage 1 oder Anlage 2 des BSIG? Für Dienstleister besonders relevant: „IKT-Dienstleistungsmanagement (B2B)“ in Anlage 1 erfasst Managed Service Provider und Managed Security Service Provider; das verarbeitende Gewerbe in Anlage 2 erfasst unter anderem Elektronik, Maschinenbau und Fahrzeugbau.
-
Größe prüfen
Wichtige Einrichtungen ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme; besonders wichtige ab 250 Mitarbeitenden oder mehr als 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme. Wer beide Kriterien unterschreitet, ist in der Regel nicht direkt betroffen. Sonderfälle unabhängig von der Größe gibt es, etwa für Betreiber kritischer Anlagen.
-
Ergebnis schriftlich festhalten
Eine begründete Einordnung, ob und in welcher Kategorie Sie betroffen sind, auch wenn das Ergebnis „nicht betroffen“ lautet. Genau dieses Dokument fragen Kunden als Erstes an, und es schützt Ihre Geschäftsleitung.
-
Bei direkter Betroffenheit: eigene Pflichten zuerst
Dann gelten Registrierung, Meldepflicht und § 30 für Sie selbst, und die Lieferkettenanforderungen Ihrer Kunden kommen obendrauf. Wie die Registrierung abläuft, lesen Sie auf der Seite zur Registrierung beim BSI.
Was in Lieferanten-Fragebögen abgefragt wird
Die Fragebögen unterscheiden sich in Form, nicht in Substanz. Fast alle folgen den zehn Maßnahmenbereichen aus § 30 BSIG und einem gängigen Standard wie ISO 27001.
| Bereich | Typische Frage des Kunden | Was Sie vorlegen sollten |
|---|---|---|
| Organisation und Risikoanalyse | Gibt es einen Verantwortlichen für Informationssicherheit und eine dokumentierte Risikoanalyse? | Benennung des Verantwortlichen, Leitlinie zur Informationssicherheit, Datum der letzten Risikoanalyse |
| Vorfallbewältigung | Wie schnell informieren Sie uns über einen Sicherheitsvorfall, der unsere Leistung betrifft? | Incident-Response-Prozess, definierte Kontaktstelle, zugesagte Informationszeit in Stunden |
| Betrieb und Wiederherstellung | Wie sind Backups geschützt und wann wurde die Wiederherstellung zuletzt getestet? | Backup-Konzept, Testprotokoll der letzten Wiederherstellung, Notfallplan |
| Zugriff und Authentifizierung | Ist Multi-Faktor-Authentifizierung für Fernzugriff und Administratoren aktiv? | Zugriffsrichtlinie, MFA-Abdeckung, Prozess für Ein- und Austritte |
| Entwicklung und Schwachstellen | Wie schnell schließen Sie kritische Schwachstellen, wie behandeln Sie Meldungen von außen? | Patch-Richtlinie mit Fristen, Kontaktstelle für Schwachstellenmeldungen |
| Personal und Schulung | Werden Mitarbeitende regelmäßig geschult, gibt es Vertraulichkeitsverpflichtungen? | Schulungsplan, Teilnahmequoten, Vertragsmuster |
| Eigene Lieferkette | Welche Subunternehmer setzen Sie ein und wie bewerten Sie diese? | Liste kritischer Subunternehmer, Bewertungsverfahren, weitergegebene Klauseln |
Welche Klauseln auf Sie zukommen
Der Fragebogen ist der Anfang. Danach folgen Vertragsanhänge, die Anforderungen dauerhaft festschreiben. Sechs Klauseltypen kehren fast immer wieder.
-
Informationspflicht bei Vorfällen
Ihr Kunde muss einen erheblichen Vorfall binnen 24 Stunden an das BSI melden. Deshalb verlangt er von Ihnen eine Information in wenigen Stunden, oft mit festgelegten Inhalten und einer Erreichbarkeit außerhalb der Bürozeiten.
-
Mindestanforderungen
Ein Sicherheitsanhang mit konkreten Vorgaben: MFA, Verschlüsselung, Patch-Fristen, Backup, Protokollierung. Prüfen Sie jede Anforderung darauf, ob Sie sie heute erfüllen, mit vertretbarem Aufwand erreichen oder verhandeln müssen.
-
Nachweis- und Auditrechte
Jährliche Selbstauskunft, Vorlage von Zertifikaten oder Prüfberichten, im Ernstfall ein Audit vor Ort. Achten Sie auf Ankündigungsfristen, Kostenverteilung und den Schutz Ihrer eigenen Betriebsgeheimnisse.
-
Subunternehmerbindung
Sie sollen die Anforderungen an Ihre eigenen Dienstleister weitergeben und deren Einsatz anzeigen oder genehmigen lassen. Das ist der Punkt, an dem NIS2 die Lieferkette Stufe für Stufe erfasst.
-
Mitwirkung bei Vorfällen und Prüfungen
Unterstützung bei der Aufklärung, Bereitstellung von Protokollen, Mitwirkung an der Meldung Ihres Kunden. Regeln Sie Umfang und Vergütung, bevor der Ernstfall eintritt.
-
Folgen bei Nichterfüllung
Nachbesserungsfristen, Sonderkündigungsrechte, teilweise Vertragsstrafen. Verhandeln Sie eine Abhilfefrist vor jeder Sanktion und begrenzen Sie die Haftung auf das, was Sie beeinflussen können.
So antworten Sie einmal statt zwanzigmal
Wer jeden Fragebogen einzeln beantwortet, verliert Wochen und produziert widersprüchliche Aussagen. Ein Antwortpaket löst beides.
-
Antwortpaket aufbauen
Ein Dokument entlang der zehn Maßnahmenbereiche aus § 30 BSIG mit Ihrem Stand, Ihren Nachweisen und Ihren Kontaktstellen. Daraus beantworten Sie jeden Fragebogen in Stunden statt Tagen, und alle Kunden erhalten dieselben Aussagen.
-
An einem Standard ausrichten
ISO 27001, BSI IT-Grundschutz oder für Automobilzulieferer TISAX geben die Struktur vor, die Kunden wiedererkennen. Ein Zertifikat ist nicht Pflicht, aber der Nachweis mit der größten Wirkung pro Aufwand.
-
Lücken benennen, Plan beilegen
Was Sie nicht erfüllen, benennen Sie mit Termin und Verantwortlichem. Das ist glaubwürdiger als geschönte Antworten und wird in Bewertungen regelmäßig besser eingestuft als Schweigen.
-
Klauseln prüfen, bevor Sie unterschreiben
Informationsfristen, Auditumfang, Subunternehmerpflichten und Haftung sind verhandelbar. Legen Sie fest, was Sie allen Kunden einheitlich zusagen können, und halten Sie diesen Standard.
-
Jährlich aktualisieren
Kunden fragen wieder. Ein festes Datum für die Aktualisierung des Antwortpakets, verbunden mit der eigenen Betroffenheitsprüfung, hält den Aufwand klein.
Direkt betroffen und unsicher? Der NIS2-Check auf jamorie.eu gibt in wenigen Minuten eine erste Einordnung nach Sektor und Größe.
Fragen von Zulieferern und Dienstleistern
Wir haben 30 Mitarbeitende und beliefern einen Energieversorger. Sind wir betroffen?
Direkt in der Regel nicht: Die Schwelle für wichtige Einrichtungen liegt ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Indirekt sehr wahrscheinlich ja. Ihr Kunde ist eine besonders wichtige Einrichtung und muss nach § 30 BSIG die Sicherheit seiner Lieferkette absichern. Das tut er über Fragebögen, Mindestanforderungen und Vertragsklauseln, die bei Ihnen ankommen.
Muss ich mich als Zulieferer beim BSI registrieren?
Nur, wenn Sie selbst eine besonders wichtige oder wichtige Einrichtung sind. Die Rolle als Zulieferer eines betroffenen Unternehmens begründet für sich keine Registrierungspflicht. Prüfen Sie aber sauber, ob Sie nicht doch direkt unter das Gesetz fallen, etwa als IT-Dienstleister im Sektor IKT-Dienstleistungsmanagement.
Darf mein Kunde ein Audit bei uns verlangen?
Das Gesetz verpflichtet ihn, die Sicherheit seiner Lieferkette zu bewerten. Ob daraus ein Auditrecht bei Ihnen folgt, regelt der Vertrag. Üblich sind gestufte Modelle: Selbstauskunft, Nachweise wie Zertifikate oder Berichte, und ein Vor-Ort-Audit nur bei kritischen Leistungen oder konkretem Anlass. Verhandeln Sie den Umfang, statt ihn pauschal zu akzeptieren.
Reicht unsere ISO-27001-Zertifizierung als Nachweis?
In den meisten Fragebögen ist sie der stärkste Einzelnachweis und beantwortet einen Großteil der Fragen. Ergänzen sollten Sie den Geltungsbereich des Zertifikats, den aktuellen Auditbericht in Auszügen und konkrete Aussagen zu Informationswegen bei Vorfällen, weil der Kunde daraus seine eigene Meldefrist ableitet.
Was, wenn wir die Anforderungen nicht alle erfüllen?
Benennen Sie die Lücke offen und legen Sie einen Plan mit Termin vor. Kunden verlieren Lieferanten selten wegen einer offen benannten Lücke, aber häufig wegen unklarer oder geschönter Antworten, die im Audit nicht halten. Eine dokumentierte Roadmap ist selbst ein Nachweis für Risikomanagement.
Vertiefung zur NIS2-Umsetzung
-
Registrierung beim BSI
Was nach § 33 BSIG erfasst wird, welche Frist gilt und wie Sie nachregistrieren, wenn die Bestandsfrist verstrichen ist.
-
Aufwand und Dauer
Wie lange Gap-Analyse und Umsetzung je Reifegrad dauern und was Ihr Unternehmen intern leisten muss.
-
NIS2-Beratung im Überblick
Betroffenheit, Pflichten, Vorgehen in vier Schritten und die häufigsten Fragen auf der Startseite.
Marcel Rieger
Fragebogen auf dem Tisch? Sprechen wir darüber
Im kostenlosen Erstgespräch klären wir Ihre eigene Betroffenheit, sichten die Anforderungen Ihres Kunden und skizzieren, wie ein Antwortpaket für alle Anfragen aussieht.
- Direkt oder indirekt betroffen: schriftliche Einordnung
- Bewertung von Fragebogen und Vertragsklauseln
- Struktur für Ihr Antwortpaket
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen