Im Übersichtsartikel ging es um die Frage, ob NIS2 Sie überhaupt betrifft — direkt meist nicht, über die Lieferkette aber sehr wohl. Dieser Beitrag ist der praktische Teil: Was genau verlangt ein regulierter Kunde von seinem Zulieferer, und wie stellen Sie sich so auf, dass es kein Feuerwehreinsatz wird?

Warum Ihr Kunde Sie überhaupt fragt

Ihr Kunde handelt nicht aus Schikane, sondern aus Eigeninteresse: Er haftet für die Sicherheit seiner eigenen Systeme, und ein unsicherer Zulieferer ist eine offene Flanke — der Angriff über den Dienstleister ist ein gängiges Muster. NIS2 macht diese Verantwortung ausdrücklich. Für Sie heißt das: Der Fragebogen ist kein Papierkram, sondern die Bedingung, unter der die Geschäftsbeziehung weiterläuft. Wer nicht antworten kann, wird austauschbar.

Was in einem Sicherheitsfragebogen typischerweise steht

Die Fragebögen unterscheiden sich im Umfang, aber die Kernthemen wiederholen sich. Rechnen Sie mit Fragen zu:

• Zugängen: Nutzen Sie Mehrfaktor-Anmeldung, besonders für E-Mail und Fernzugriff? Wie regeln Sie Passwörter?
• Datensicherung: Gibt es getrennte Backups, und wird das Zurückspielen getestet?
• Updates: Nach welchem Vorgehen schließen Sie Sicherheitslücken?
• Notfall: Haben Sie einen Plan für den Ernstfall, und wüssten Sie, wen Sie wann informieren müssen?
• Zugriffsrechten: Wer darf auf was, und wie entziehen Sie Rechte, wenn jemand geht?
• Subunternehmern: Geben Sie Daten oder Zugänge an Dritte weiter, und wie sichern die sich ab?
• Nachweisen: Gibt es Richtlinien, Protokolle oder Zertifikate (etwa ISO 27001), die das belegen?

Wie Sie sich vorbereiten, bevor der Fragebogen kommt

Die klügste Vorbereitung ist, die Antworten fertig zu haben, bevor gefragt wird. Legen Sie ein kurzes, wiederverwendbares Sicherheits-Infoblatt an, das die Standardfragen abdeckt — dann füllen Sie jeden neuen Fragebogen in einer halben Stunde statt in zwei Tagen aus.

• Die Basis umsetzen: Mehrfaktor-Anmeldung, getestete Backups, geregeltes Patchen, ein einfacher Notfallplan, saubere Zugriffsrechte.
• Das Ganze knapp dokumentieren: eine Seite je Thema genügt, mit aktuellem Stand und Datum.
• Einen Ansprechpartner benennen, der die Fragen fachlich beantworten kann.
• Prüfen, ob ein Kunde oder Ihre Branche eine bestimmte Zertifizierung erwartet — und erst dann darüber nachdenken.

Was Sie nicht tun sollten

Drei Fehler sehen wir immer wieder. Erstens: den Fragebogen ignorieren oder verschleppen — das gefährdet den Auftrag direkter als jede ehrliche Lücke. Zweitens: Dinge behaupten, die nicht stimmen — spätestens beim Audit fällt das auf. Drittens: aus Panik eine teure Zertifizierung kaufen, die niemand verlangt hat. Für die meisten Zulieferer ist die dokumentierte Grundsicherung der richtige, verhältnismäßige Schritt — nicht mehr und nicht weniger.

Sonderfall Software- und Produkt-Zulieferer: NIS2 trifft den Cyber Resilience Act

Wer Software oder vernetzte Produkte liefert, bekommt es zusätzlich mit dem Cyber Resilience Act (CRA) zu tun — dem EU-Regelwerk für die Sicherheit digitaler Produkte. Für Zulieferer heißt das über den NIS2-Fragebogen hinaus: ein geregelter Umgang mit Schwachstellen (Meldung, Updates über den Produktlebenszyklus) und leicht auffindbare Sicherheitskontakte, etwa eine security.txt auf der Website. Kunden fragen beides zunehmend zusammen ab. Wer hier vorbereitet ist, spart sich später zwei getrennte Kraftakte.

Unterm Strich ist die Lieferketten-Anforderung weniger Bedrohung als Chance: Wer die Basis hat und belegen kann, hebt sich von Wettbewerbern ab, die beim Fragebogen ins Schwimmen kommen. Die Vorbereitung zahlt dreifach — auf den nächsten Auftrag, den Versicherungsschutz und die eigene Widerstandsfähigkeit.