Nicht selbst betroffen, aber der Kunde verlangt NIS2

Gemeint sind Unternehmen, die selbst nicht unter NIS2 fallen, aber von Kunden Fragebögen, Vertragsklauseln oder Nachweisforderungen mit NIS2-Bezug erhalten. Die Gegenseite, also wie eine betroffene Einrichtung ihre Lieferanten bewertet und welchen Fragebogen sie verschickt, steht auf der Seite Sicherheit der Lieferkette.

Sind Sie wirklich nicht betroffen?

Klären Sie das zuerst, bevor Sie einen Fragebogen als „Zulieferer“ beantworten. Betroffen sein kann, wer eine Tätigkeit aus Anlage 1 oder 2 des BSIG ausübt und mindestens 50 Mitarbeitende hat oder bei Umsatz und Bilanzsumme jeweils über 10 Mio. € liegt; Zahlen verbundener Unternehmen zählen mit. Zulieferer aus dem verarbeitenden Gewerbe können selbst unter Anlage 2 fallen, etwa im Maschinenbau, bei elektrischen Ausrüstungen oder Kraftwagenteilen. IT-Dienstleister, die Systeme ihrer Kunden installieren, verwalten, betreiben oder warten, können Managed Service Provider nach Anlage 1 sein. Den Prüfweg zeigt die Seite NIS2-Betroffenheit, die Lage der IT-Dienstleister die Seite IT-Dienstleister und MSP.

Wer betroffen ist, hat eigene Pflichten aus dem BSIG, unabhängig davon, was Kunden verlangen. Der Rest dieser Seite gilt für Unternehmen, die ihre Betroffenheit geprüft und verneint haben.

Warum fragt Ihr Kunde nach NIS2?

Besonders wichtige und wichtige Einrichtungen müssen nach § 30 Abs. 2 Satz 2 Nr. 4 BSIG Maßnahmen zur „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ treffen. Die Gesetzesbegründung, die das BSI zitiert, nennt als Beispiele vertragliche Vereinbarungen mit Zulieferern und Dienstleistern zu Risikomanagementmaßnahmen, zur Bewältigung von Cybersicherheitsvorfällen und zum Patchmanagement sowie die Beachtung von Prinzipien wie Security by Design und Security by Default. Die Einrichtung soll dabei die Schwachstellen ihrer unmittelbaren Anbieter und die Qualität ihrer Cybersicherheitspraxis berücksichtigen, einschließlich der Sicherheit ihrer Entwicklungsprozesse (so auch Art. 21 Abs. 3 der NIS‑2-Richtlinie).

Das BSI stellt klar: Das BSIG verpflichtet nicht alle Zulieferer und Dienstleister. Die Einrichtungen müssen aber, um ihre eigenen Pflichten zu erfüllen, ihre Zulieferer zur Einhaltung entsprechender Sicherheitsanforderungen verpflichten. Für Ihren Kunden kann es deshalb eine wirtschaftliche Entscheidung werden, ob er mit einem Zulieferer weiterarbeitet, der keine belastbaren Antworten gibt.

Für einige digitale Einrichtungsarten, etwa Cloud-Anbieter, Rechenzentrumsbetreiber und Managed Service Provider, wird es konkreter: Die Durchführungsverordnung (EU) 2024/2690 verlangt von ihnen ein Konzept für die Sicherheit der Lieferkette und nennt Vertragsinhalte, unter anderem die Pflicht des Anbieters, Sicherheitsvorfälle, die ein Risiko für die Systeme des Kunden darstellen, unverzüglich zu melden. Liefern Sie an solche Unternehmen, sind Fragen nach Vorfallmeldung besonders wahrscheinlich.

Was kann der Kunde vertraglich verlangen?

Was Sie schulden, ergibt sich aus Ihrem Vertrag, nicht aus dem BSIG. Der Kunde kann deshalb im Rahmen der Vertragsverhandlung fast alles verlangen; Sie entscheiden, was Sie zusagen. Die folgende Tabelle trennt, woher eine Anforderung stammt:

Die rechte Spalte ist unsere fachliche Einordnung. Haftung, Vertragsstrafen, Kündigungsrechte und Freistellungen beurteilen wir nicht; lassen Sie solche Klauseln anwaltlich prüfen.

Wie beantworten Sie einen Lieferantenfragebogen?

Gut beantwortet ist ein Fragebogen, wenn jede Antwort zur erbrachten Leistung passt, den tatsächlichen Stand beschreibt und ein Nachweis dahinter steht. So gehen wir vor:

1. Umfang festlegen: Welche Leistung erbringen Sie für diesen Kunden, welche Ihrer Systeme, Daten und Personen berühren ihn? Ein Teilefertiger mit Zeichnungsaustausch beantwortet andere Fragen als ein Dienstleister mit Fernzugriff.
2. Eigene Einordnung voranstellen: Geben Sie an, dass Sie Ihre Betroffenheit nach § 28 BSIG geprüft haben und mit welchem Ergebnis. Das erspart Rückfragen.
3. Maßstab wählen: Das BSI empfiehlt nicht betroffenen Zulieferern, die eigene Einhaltung der Maßnahmen aus § 30 Abs. 2 BSIG für Vereinbarungen mit Auftraggebern zu prüfen. Die zehn Bereiche aus § 30 Abs. 2 eignen sich deshalb als Gliederung Ihrer Stammantworten; eine Übersicht steht auf der Seite § 30 BSIG.
4. Stand ehrlich angeben: umgesetzt, teilweise umgesetzt oder geplant mit Termin. Eine Antwort „geplant bis März 2027“ ist für den Kunden verwertbarer als ein „ja“, das bei Nachfrage nicht hält.
5. Nachweis zuordnen: Zu jeder Antwort ein Dokument, eine Auswertung oder ein Protokoll, das Sie auf Anfrage vorlegen oder zur Einsicht bereitstellen.
6. Freigeben und pflegen: Die Geschäftsleitung gibt die Antworten frei. Pflegen Sie eine Stammfassung und passen Sie sie je Kunde an, statt jeden Fragebogen neu zu schreiben.

Einen einheitlichen Fragenkatalog gibt es nicht. Das BSI begrüßt Bestrebungen der Wirtschaft, einen zu erarbeiten, und verweist zur Orientierung auf die Best-Practice-Empfehlungen des UP KRITIS für Anforderungen an Lieferanten. Einen Fragebogen aus Sicht der Einrichtung zum Herunterladen finden Sie auf der Seite Sicherheit der Lieferkette.

Welcher Nachweis ist angemessen?

Ein „NIS2-Zertifikat“ gibt es nicht, auch wenn der Begriff in Anfragen auftaucht. Das BSI sagt ausdrücklich, dass es kein allgemeines Zertifikat für die Lieferkettenanforderung gibt. Angemessen ist ein Nachweis, der zur Leistung und zum Risiko für den Kunden passt. Geeignete Nachweisbeispiele, von schlank bis aufwendig:

Unsere Empfehlung: Bieten Sie Einsicht in vertrauliche Unterlagen an, statt sie zu versenden, etwa in einer Videokonferenz oder bei einem Termin. Netzpläne, Schwachstellenberichte und Notfallpläne gehören nicht in einen Fragebogenanhang.

Überzogene Anforderungen und wie Sie antworten können

Manche Anforderungen gehen über das hinaus, was ein kleiner Zulieferer leisten oder überhaupt zusagen kann. Die folgenden Antwortvorschläge sind unsere fachliche Einordnung, keine Rechtsberatung:

Beispiel: Antwort eines Teilefertigers auf einen Lieferantenfragebogen

Fiktives Beispiel, kein Kunde. Ein Lohnfertiger für Frästeile hat 34 Mitarbeitende, 4,8 Mio. € Umsatz und gehört zu keinem Konzern. Ein Maschinenbauer, der sich als wichtige Einrichtung eingestuft hat, schickt ihm einen Lieferantenfragebogen. Der Lohnfertiger erhält Zeichnungen über das Lieferantenportal des Kunden, schickt Rückfragen per E-Mail und hat keinen Zugang zum Netz des Kunden. Seine IT betreut ein externer Dienstleister. So sieht seine Antwort aus (alle Werte fiktiv):

Dazu gehört ein kurzer Begleittext, den der Lohnfertiger für alle Kunden verwendet:

„Wir haben unsere Betroffenheit nach § 28 BSIG geprüft und sind keine besonders wichtige oder wichtige Einrichtung. Wir wissen, dass Sie als Einrichtung die Sicherheit Ihrer Lieferkette gewährleisten müssen, und beantworten Ihren Fragebogen bezogen auf unsere Leistung für Sie. Wo eine Maßnahme noch nicht vollständig umgesetzt ist, nennen wir den Termin. Die angegebenen Nachweise zeigen wir Ihnen gern in einem gemeinsamen Termin.“

Die Antwort sagt nur zu, was der Betrieb belegen kann, und macht Lücken mit Termin sichtbar. Zusagen zu Haftung oder Vertragsstrafen enthält sie bewusst nicht; die gehören in die Vertragsverhandlung.

Drei typische Lücken auf der Zuliefererseite

Wie wir helfen

Wir unterstützen Zulieferer dabei, eine belastbare Stammantwort aufzubauen, die passenden Nachweise zu erstellen und technische und organisatorische Anforderungen von Kunden fachlich einzuordnen. Vertragsklauseln selbst lassen Sie anwaltlich prüfen. Stellt sich bei der Prüfung heraus, dass Sie selbst betroffen sind, zeigt die NIS2-Gap-Analyse, wo Sie stehen.