Immer mehr Unternehmen bekommen Post von ihren Großkunden: einen Fragebogen zur Informationssicherheit mit der Bitte um einen NIS2-Nachweis. Der Grund: NIS2 verpflichtet regulierte Unternehmen, die Sicherheit ihrer Lieferkette zu prüfen – und damit trifft die Richtlinie auch Betriebe, die selbst gar nicht unter NIS2 fallen. Wer den Fragebogen nicht überzeugend beantworten kann, riskiert im schlimmsten Fall den Auftrag.
Warum verlangt mein Kunde plötzlich einen NIS2-Nachweis?
NIS2-regulierte Unternehmen müssen nachweisen, dass sie Risiken in ihrer Lieferkette managen. Das heißt konkret: Sie müssen ihre Dienstleister und Zulieferer nach deren IT-Sicherheitsniveau fragen – und dürfen Partner, die keine Antworten liefern, schlechter bewerten oder aussortieren. Der Fragebogen ist also keine Schikane, sondern eine Pflicht Ihres Kunden. Für Sie als Zulieferer wird IT-Sicherheit damit zum Wettbewerbsfaktor: Wer schnell und belastbar antworten kann, hat einen Vorteil gegenüber Mitbewerbern, die erst anfangen müssen.
Was wird typischerweise abgefragt?
Die Fragebogen ähneln sich stark. Fast immer geht es um: geregelte Zugriffsrechte und Mehrfaktor-Anmeldung (MFA), aktuelle Systeme mit Sicherheitsupdates, ein getestetes Backup-Konzept, einen definierten Prozess für Sicherheitsvorfälle, Schulung der Mitarbeitenden und dokumentierte technische und organisatorische Maßnahmen (TOMs). Nichts davon ist Raketentechnik – aber alles muss nachweisbar sein, nicht nur behauptet.
Reicht es, den Fragebogen einfach auszufüllen?
Kurzfristig ja – aber nur, wenn die Antworten stimmen. Wer Maßnahmen ankreuzt, die es im Betrieb nicht gibt, riskiert bei einem späteren Vorfall Haftungsfragen gegenüber dem Kunden. Der ehrliche Weg: erst den Ist-Zustand prüfen, offensichtliche Lücken schließen (MFA, Backup-Test, Update-Stand), dann antworten. Viele Lücken lassen sich in wenigen Wochen schließen – und die Dokumentation, die dabei entsteht, beantwortet auch den nächsten Fragebogen.
Wie fangen wir am besten an?
Mit einer nüchternen Bestandsaufnahme: Welche Systeme laufen, wer hat worauf Zugriff, wie alt sind die Updates, wann wurde das Backup zuletzt getestet? Genau dafür machen wir einen IT-Sicherheitscheck mit klarer Maßnahmenliste. Die Umsetzung rechnen wir nach Aufwand ab; die dauerhafte Absicherung übernehmen wir im Rahmen unserer Managed-IT-Betreuung zu planbaren Monatspauschalen. Wichtig zur Einordnung: Ein Nachweis für Ihren Kunden ist keine NIS2-Zertifizierung – eine solche gibt es für Zulieferer nicht. Es geht um belastbare, dokumentierte Grundsicherheit.
Häufige Fragen
Fallen wir als kleiner Zulieferer selbst unter NIS2?
Meist nicht direkt – NIS2 gilt ab bestimmten Größen- und Sektorgrenzen. Über die Lieferkettenpflichten Ihrer Kunden erreichen die Anforderungen aber auch kleinere Betriebe: Der Kunde muss Ihre IT-Sicherheit bewerten.
Was passiert, wenn wir den Fragebogen nicht beantworten?
Ihr Kunde muss Sie dann als Risiko einstufen. Das kann von Nachfragen über Vertragsauflagen bis zum Verlust des Auftrags reichen – gerade bei Neuvergaben werden Lieferanten mit Nachweis bevorzugt.
Wie schnell lässt sich ein belastbarer Nachweis aufbauen?
Die Basis – MFA, geprüftes Backup, aktueller Update-Stand, dokumentierte Maßnahmen – ist in vielen KMU innerhalb weniger Wochen erreichbar. Der Aufwand hängt vom Ausgangszustand ab, den ein Sicherheitscheck zuverlässig zeigt.
NIS2-Fragebogen auf dem Tisch?
Wir prüfen Ihre IT, schließen die Lücken und liefern die Dokumentation für Ihren Kunden – pragmatisch und ohne Bürokratie-Theater.
