Kurz gesagt: Dein Kunde verlangt einen NIS2-Nachweis, weil NIS2 regulierte Unternehmen verpflichtet, die Sicherheit ihrer Lieferkette zu prüfen. Damit trifft die Richtlinie auch Betriebe, die selbst gar nicht unter NIS2 fallen. Prüf erst den Ist-Zustand, schließ offensichtliche Lücken wie MFA, Backup-Test und Update-Stand, und beantworte den Fragebogen dann ehrlich und belegbar.
Stand: 03.11.2026
Warum verlangt mein Kunde plötzlich einen NIS2-Nachweis?
Immer mehr Unternehmen bekommen Post von ihren Großkunden: einen Fragebogen zur Informationssicherheit mit der Bitte um einen NIS2-Nachweis. NIS2-regulierte Unternehmen müssen nachweisen, dass sie Risiken in ihrer Lieferkette managen. Konkret heißt das: Diese Unternehmen müssen ihre Dienstleister und Zulieferer nach deren IT-Sicherheitsniveau fragen und dürfen Partner, die keine Antworten liefern, schlechter bewerten oder aussortieren. Der Fragebogen ist also keine Schikane, sondern eine Pflicht deines Kunden. In Deutschland gilt sie seit dem 6. Dezember 2025, als das NIS2-Umsetzungsgesetz in Kraft getreten ist (IHK Nord Westfalen). Deshalb kommen die Fragebogen gerade jetzt. Ob dein Unternehmen selbst betroffen ist, zeigt unser Beitrag NIS2-Pflicht für den Mittelstand. Für dich als Zulieferer wird IT-Sicherheit damit zum Wettbewerbsfaktor: Wer schnell und belastbar antworten kann, hat einen Vorteil gegenüber Mitbewerbern, die erst anfangen müssen. Wer den Fragebogen nicht überzeugend beantworten kann, riskiert im schlimmsten Fall den Auftrag.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Was wird typischerweise abgefragt?
Die Fragebogen ähneln sich stark. Fast immer geht es um: geregelte Zugriffsrechte und Mehrfaktor-Anmeldung (MFA), aktuelle Systeme mit Sicherheitsupdates, ein getestetes Backup-Konzept, einen definierten Prozess für Sicherheitsvorfälle, Schulung der Mitarbeitenden und dokumentierte technische und organisatorische Maßnahmen (TOMs). Nichts davon ist Raketentechnik, aber alles muss nachweisbar sein, nicht nur behauptet.
Reicht es, den Fragebogen einfach auszufüllen?
Kurzfristig ja, aber nur, wenn die Antworten stimmen. Kreuzt du Maßnahmen an, die es im Betrieb nicht gibt, riskierst du bei einem späteren Vorfall Haftungsfragen gegenüber dem Kunden. Der ehrliche Weg: Prüf erst den Ist-Zustand, schließ offensichtliche Lücken (MFA, Backup-Test, Update-Stand) und antworte dann. Viele Lücken lassen sich in wenigen Wochen schließen, und die Dokumentation, die dabei entsteht, beantwortet auch den nächsten Fragebogen.
Wie fängst du am besten an?
Mit einer nüchternen Bestandsaufnahme: Welche Systeme laufen, wer hat worauf Zugriff, wie alt sind die Updates, wann wurde das Backup zuletzt getestet? Genau dafür machen wir einen IT-Sicherheitscheck mit klarer Maßnahmenliste. Für Managed IT gibt es planbare Monatspauschalen, Projekte wie die Umsetzung der Maßnahmen rechnen wir nach Aufwand ab. Die dauerhafte Absicherung übernehmen wir im Rahmen unserer Managed-IT-Betreuung. Wichtig zur Einordnung: Ein Nachweis für deinen Kunden ist keine NIS2-Zertifizierung, eine solche gibt es für Zulieferer nicht. Es geht um belastbare, dokumentierte Grundsicherheit.
So unterstützen wir dich
Wir prüfen deine IT, schließen die Lücken und liefern die Dokumentation für deinen Kunden, pragmatisch und ohne Bürokratie-Theater. Was das konkret umfasst, liest du auf unserer Seite zur NIS2-Beratung. In Osnabrück und Umgebung kommen wir vor Ort, weiter entfernt arbeiten wir per Fernwartung.
Häufige Fragen
Fallen wir als kleiner Zulieferer selbst unter NIS2?
Meist nicht direkt, NIS2 gilt ab bestimmten Größen- und Sektorgrenzen. Über die Lieferkettenpflichten deiner Kunden erreichen die Anforderungen aber auch kleinere Betriebe: Der Kunde muss deine IT-Sicherheit bewerten.
Was passiert, wenn wir den Fragebogen nicht beantworten?
Dein Kunde muss dich dann als Risiko einstufen. Das kann von Nachfragen über Vertragsauflagen bis zum Verlust des Auftrags reichen, gerade bei Neuvergaben werden Lieferanten mit Nachweis bevorzugt.
Wie schnell lässt sich ein belastbarer Nachweis aufbauen?
Die Basis, also MFA, geprüftes Backup, aktueller Update-Stand und dokumentierte Maßnahmen, ist in vielen KMU innerhalb weniger Wochen erreichbar. Der Aufwand hängt vom Ausgangszustand ab, den ein Sicherheitscheck zuverlässig zeigt.
Quellen
- NIS-2-Richtlinie (IHK Nord Westfalen)
