Wenn Ihr Kunde Sie NIS2-pflichtig macht
Die häufigste Frage in Beratungsgesprächen lautet: „Fallen wir überhaupt darunter?“ Für viele mittelständische Betriebe lautet die Antwort nein – und ist trotzdem irrelevant. Denn NIS2 verpflichtet betroffene Unternehmen ausdrücklich dazu, die Sicherheit ihrer Lieferkette zu steuern. Und das tun sie mit dem einzigen Werkzeug, das ihnen zur Verfügung steht: dem Vertrag.
Der Gesetzgeber reguliert 29.500 Unternehmen. Diese Unternehmen regulieren ihre Zulieferer. So entsteht aus einer Richtlinie eine Marktanforderung.
Der Mechanismus
Ein betroffenes Unternehmen muss Risiken aus Lieferantenbeziehungen bewerten und beherrschen. Es kann seine Zulieferer nicht auditieren wie ein Konzern – also verlagert es die Anforderung in die Verträge und in Fragebögen. Wer nicht antworten kann, fällt aus der Lieferantenliste. Nicht aus Böswilligkeit, sondern weil das beauftragende Unternehmen selbst nachweispflichtig ist.
| Rolle | Verpflichtung | Praktische Folge |
|---|---|---|
| Betroffene Einrichtung | Muss Lieferkettenrisiken bewerten und Maßnahmen ergreifen | Fordert Nachweise von Zulieferern und Dienstleistern |
| Zulieferer ohne eigene NIS2-Pflicht | Keine gesetzliche Pflicht | Vertragliche Pflicht – wirtschaftlich wirksamer als jedes Bußgeld |
| IT-Dienstleister / MSP | Meist selbst betroffen (Sektor digitale Dienste) | Doppelt gefordert: eigene Compliance und Nachweise gegenüber den Kunden |
Womit Sie rechnen müssen
Die Fragebögen ähneln sich stark, weil sie fast alle aus denselben Vorlagen entstehen. Diese acht Themen tauchen praktisch immer auf:
| Thema | Typische Frage | Was Sie vorbereiten sollten |
|---|---|---|
| Zugriffskontrolle | Wer aus Ihrem Haus hat Zugriff auf unsere Systeme, mit welchen Rechten? | Namentliche Liste, Rollenkonzept, dokumentiertes Off-Boarding |
| Authentifizierung | Sind alle Fernzugriffe mit MFA abgesichert? | Nachweis über die eingesetzten Verfahren, inklusive Ausnahmen |
| Vorfallsmeldung | In welcher Frist informieren Sie uns über einen Sicherheitsvorfall? | Verbindliche Frist im Vertrag, meist 24 Stunden, plus Eskalationskontakt |
| Patchmanagement | Wie stellen Sie sicher, dass kritische Updates zeitnah eingespielt werden? | Prozessbeschreibung, Fristen nach Schweregrad, Auswertung |
| Backup und Wiederherstellung | Wann wurde die Wiederherstellung zuletzt vollständig getestet? | Testprotokoll mit Datum und Ergebnis – nicht nur die Backup-Konfiguration |
| Unterauftragnehmer | Welche Dritten sind eingebunden, in welchen Ländern? | Aktuelle Liste, vertragliche Weitergabe der Pflichten |
| Zertifizierung | Sind Sie nach ISO 27001 zertifiziert oder arbeiten Sie nach BSI IT-Grundschutz? | Ehrliche Antwort plus Beschreibung des tatsächlichen Vorgehens |
| Schulung | Wie schulen Sie Ihre Beschäftigten zur Informationssicherheit? | Nachweis über Inhalte, Teilnahme und Turnus |
Vertragsklauseln, die künftig Standard werden
- Meldepflicht bei Sicherheitsvorfällen mit fester Frist, oft 24 Stunden ab Kenntnis – abgestimmt auf die eigene Frühwarnpflicht des Auftraggebers.
- Auskunfts- und Prüfrechte, von der Selbstauskunft bis zum Vor-Ort-Audit.
- Mindestanforderungen an technische Maßnahmen: MFA, Verschlüsselung, Patchfristen, Protokollierung.
- Weitergabepflicht an Unterauftragnehmer – Sie müssen dieselben Anforderungen nach unten durchreichen.
- Nachweispflichten in festem Turnus, meist jährlich.
- Kündigungsrecht bei nicht behobenen Sicherheitsmängeln.
Wichtig ist, diese Klauseln nicht ungeprüft zu unterschreiben. Eine Meldefrist von 24 Stunden ist umsetzbar, wenn ein Prozess existiert und eine Rufbereitschaft benannt ist. Ohne beides ist sie eine Vertragsverletzung mit Ansage.
Aus der Pflicht ein Argument machen
Der interessante Teil: Wer diese Fragen belastbar beantworten kann, gewinnt Aufträge. In Ausschreibungen, in denen drei Anbieter technisch vergleichbar sind, entscheidet zunehmend die Frage, welcher Anbieter den Sicherheitsfragebogen vollständig und ohne Nachforderungen ausfüllt. Eine gepflegte Selbstauskunft ist damit weniger ein Compliance-Dokument als ein Vertriebsdokument.
- Standard-Selbstauskunft einmal sauber erstellen – etwa entlang der zehn Maßnahmenbereiche des § 30 BSIG – und halbjährlich aktualisieren.
- Nachweise sammeln und ablegen: Testprotokolle, Schulungsnachweise, Berechtigungsübersichten, Patchberichte.
- Eigene Unterauftragnehmer erfassen und die Anforderungen vertraglich weitergeben.
- Meldeprozess für Sicherheitsvorfälle definieren, inklusive Erreichbarkeit außerhalb der Geschäftszeiten – und einmal proben.