Die Mail kommt an einem Donnerstag. Im Anhang eine Excel-Datei, 68 Zeilen, Rückmeldung binnen 14 Tagen. Sie haben elf Mitarbeiter und schon vor drei Monaten für einen anderen Kunden fast dasselbe ausgefüllt — nur in einer anderen Reihenfolge, mit anderen Spaltenüberschriften.
Das ist der Alltag von Zulieferern seit dem NIS2-Umsetzungsgesetz. Und der erste Schritt zu weniger Aufwand ist eine unbequeme Erkenntnis: Der Fragebogen steht nirgends im Gesetz.
In fast jeder Anschreiben-Zeile steht derselbe Verweis: § 30 Abs. 2 Nr. 4 BSIG. Das ist die Vorschrift, mit der Deutschland die NIS2-Richtlinie umgesetzt hat. Ihr vollständiger Wortlaut lautet:
„Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.”
Das ist alles. Ein Halbsatz in einer Aufzählung von Risikomanagementmaßnahmen. Er nennt keinen Fragebogen, kein Audit, keine Frequenz, keine Mindestzahl an Fragen und keine Zertifizierung. Dazu kommt § 30 Abs. 1 BSIG, der sämtliche Maßnahmen ausdrücklich unter den Vorbehalt der Verhältnismäßigkeit stellt — sie müssen zum Risiko, zur Größe und zur Bedeutung der Einrichtung passen.
Die inhaltlich schärfere Formulierung steht eine Ebene höher: Art. 21 Abs. 3 der Richtlinie (EU) 2022/2555 verlangt, dass Einrichtungen die Schwachstellen jedes einzelnen unmittelbaren Anbieters sowie die Gesamtqualität von Produkten und Cybersicherheitspraxis ihrer Anbieter berücksichtigen. Auch dort steht „berücksichtigen”, nicht „prüfen” oder „auditieren” — und diese Passage hat im BSIG keine eigene Entsprechung bekommen.
Ihr Auftraggeber muss belegen können, dass er die Cybersicherheit seiner unmittelbaren Anbieter berücksichtigt hat. Ein ausgefüllter Fragebogen mit Datum und Unterschrift ist der einfachste Beleg, den eine Einkaufsabteilung erzeugen kann. Der Bogen dient also in erster Linie seiner Dokumentation.
Wie viele Unternehmen so etwas versenden, lässt sich beziffern. Der Regierungsentwurf zum NIS2-Umsetzungsgesetz (BT-Drs. 20/13184) rechnet mit diesen Zahlen:
Jede dieser Einrichtungen hat Lieferanten. Deshalb trifft der Verwaltungsaufwand vor allem Betriebe, die selbst gar nicht unter das Gesetz fallen.
Bei den Formaten gibt es zwei Welten. Es existieren lizenzpflichtige Standardkataloge, die große Konzerne einkaufen und deren Nutzungsbedingungen die Weitergabe an Dritte einschränken. Im Mittelstand landet aber meistens etwas anderes im Postfach: das Excel des Auftraggebers, selbst gebaut, in der dritten Generation gewachsen, mit Fragen, die sich zweimal wiederholen.
Viele Bögen mischen Cybersicherheit und Datenschutz. Auch hier lohnt der Blick in den Wortlaut. Art. 28 Abs. 1 DSGVO sagt, der Verantwortliche
„arbeitet nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt…”
Weder „prüfen” noch „Fragebogen” kommen darin vor. Wie die Garantien nachgewiesen werden, ist offen. Belastbar wird es erst über die EDSA-Leitlinien 07/2020 zu den Begriffen „Verantwortlicher” und „Auftragsverarbeiter” (endgültige Fassung vom 07.07.2021), Randnummern 94 bis 99:
Dieselbe Linie zieht das DSK-Kurzpapier Nr. 13 zur Auftragsverarbeitung (Stand 17.12.2018). Wer den Zusammenhang zwischen Vertrag und Nachweis genauer nachlesen will, findet ihn in unserem Beitrag zum Auftragsverarbeitungsvertrag in der Praxis.
Wenn ein Bogen eine anerkannte Zertifizierung als einzigen zulässigen Nachweis vorgibt, ist der Verweis auf Randnummer 96 der EDSA-Leitlinien ein sachliches Gegenargument. Die Leitlinien führen Zertifizierungen als ein Beispiel unter mehreren auf, nicht als Voraussetzung.
Über Kunden und Branchen hinweg wiederholen sich dieselben acht Blöcke. Die Formulierungen wechseln, die Substanz nicht.
| Frageblock | Was der Auftraggeber wissen will | Der Nachweis, den Sie bereithalten |
|---|---|---|
| Verantwortlichkeiten | Wer ist Ansprechpartner für Sicherheit und Datenschutz | Benannte Rolle mit Kontaktweg |
| Richtlinien | Gibt es schriftliche Vorgaben | Sicherheitsleitlinie, Passwort- und Nutzungsregeln |
| Zugriffe | Wer darf was, wie wird abgesichert | Rollenkonzept, Mehr-Faktor-Anmeldung |
| Technik | Patchstand, Verschlüsselung, Trennung | Kurzbeschreibung der Maßnahmen (TOMs) |
| Notfall | Was passiert bei einem Vorfall | Notfallplan mit Meldeweg und Fristen |
| Menschen | Werden Mitarbeitende geschult | Schulungsnachweis mit Datum |
| Unterauftragnehmer | Wer arbeitet noch an den Daten | Liste der eingesetzten Dienstleister |
| Nachweise | Gibt es Prüfungen oder Zertifikate | Auditbericht, Zertifikat oder begründete Fehlanzeige |
Wer diese acht Blöcke einmal sauber beantwortet, hat rund 80 Prozent jedes weiteren Bogens bereits im Haus. Die restlichen 20 Prozent sind kundenspezifisch — Standortfragen, Branchenauflagen, einzelne Vertragsklauseln.
Es trifft auch die kleineren Unternehmen, die nicht direkt unter NIS2 fallen – aber aufgrund der Lieferkette ein wichtiger Bestandteil sind.
Nils OehmichenDatenschutzberater bei frag.hugo
Wir sehen bei Mandanten regelmäßig denselben Ablauf: Der erste Bogen kostet zwei Arbeitstage, weil niemand weiß, wo die Richtlinie liegt und ob der Schulungsnachweis noch aktuell ist. Der zweite Bogen von einem anderen Kunden kostet wieder anderthalb Tage — weil beim ersten Mal nichts an einer Stelle abgelegt wurde. Genau dort liegt die Ersparnis, nicht in schnellerem Ausfüllen.
Nicht jede Forderung im Bogen ist durchsetzbar. Drei Punkte, an denen ein sachlicher Einwand üblich ist: Erstens der Umfang — § 30 Abs. 1 BSIG stellt die Maßnahmen unter Verhältnismäßigkeit, ein 200-Fragen-Katalog für einen Lieferanten ohne Systemzugang ist erklärungsbedürftig. Zweitens Betriebs- und Geschäftsgeheimnisse: Netzpläne und Konfigurationen gehören nicht in eine Excel-Datei, die per Mail wandert. Drittens Fristen — 14 Tage sind Wunsch, kein Gesetz.
Wichtig ist der Ton. Sie widersprechen nicht der Pflicht Ihres Kunden, sondern seiner Umsetzung. Wer stattdessen unvollständig ausfüllt oder gar nicht antwortet, verliert nicht die Diskussion, sondern den Auftrag.
Bevor der nächste Bogen kommt: Legen Sie die acht Blöcke aus der Tabelle einmal an, mit Belegen und Datum. Der Aufwand liegt bei ein bis zwei Tagen. Ab dem zweiten Kunden zahlt er sich aus.
Einmal antworten statt jedes Mal von vorn
Das Sicherheitsprofil in Hugo Shield hält Ihre Antworten samt Nachweisen an einer Stelle. Die Fragebogen-Funktion ordnet die Fragen aus der Datei Ihres Auftraggebers Ihren vorhandenen Antworten zu und markiert, was noch fehlt. Maschinell formulierte Antworten sind im Export sichtbar gekennzeichnet.
Sicherheitsprofil ansehen →Wer zuerst wissen will, ob NIS2 überhaupt auf ihn zutrifft, findet die Einordnung im NIS2-Lieferketten-Selbsttest. Wie ein Lieferantenaudit im Detail abläuft, steht im Beitrag zum NIS2-Lieferantenaudit für Zulieferer — und was Auftraggeber typischerweise verlangen und warum, klärt der Beitrag Was Auftraggeber nach NIS2 von Lieferanten verlangen.
Nein. § 30 Abs. 2 Nr. 4 BSIG nennt als Maßnahme die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern” — mehr steht dort nicht. Weder Fragebogen noch Audit noch Zertifikat werden erwähnt, und § 30 Abs. 1 BSIG stellt alle Maßnahmen unter den Vorbehalt der Verhältnismäßigkeit. Der Fragebogen ist Marktpraxis, keine gesetzliche Vorgabe.
Aus dem BSIG folgt für Sie als Zulieferer keine Antwortpflicht. Verbindlich wird die Anforderung erst über den Vertrag mit Ihrem Auftraggeber. Praktisch heißt das: Wer nicht antwortet, riskiert den Auftrag — nicht ein Bußgeld.
Der Regierungsentwurf zum NIS2-Umsetzungsgesetz (BT-Drs. 20/13184) rechnet mit rund 20.850 Einrichtungen: etwa 2.950 besonders wichtige und 17.900 wichtige Einrichtungen. Häufig kursierende höhere Zahlen sind nicht aus dieser Quelle belegbar.
Nein. Art. 28 Abs. 1 DSGVO verlangt, dass der Verantwortliche nur mit Auftragsverarbeitern arbeitet, die hinreichend Garantien bieten. Die Form ist frei. Die EDSA-Leitlinien 07/2020 (endgültige Fassung vom 07.07.2021) nennen in Rn. 95 als Beispiele den Austausch von Unterlagen wie Verarbeitungsverzeichnis, Informationssicherheitskonzept, externe Auditberichte oder anerkannte Zertifizierungen — Rn. 96 stellt ausdrücklich klar, dass diese Liste nicht abschließend ist.
Aus dem Gesetz folgt das nicht. Eine anerkannte Zertifizierung ist einer von mehreren möglichen Nachweisen — die EDSA-Leitlinien führen sie neben Unterlagen und Auditberichten als Beispiel auf. Viele Auftraggeber akzeptieren dokumentierte Maßnahmen, wenn diese vollständig und aktuell sind.
Rn. 99 der EDSA-Leitlinien 07/2020 macht aus der Prüfung eine fortlaufende Aufgabe des Verantwortlichen — er soll die Garantien in angemessenen Abständen erneut bewerten. In der Praxis fragen Auftraggeber deshalb jährlich nach. Ein Stand mit Datum, den Sie einmal im Jahr durchgehen, deckt das ab.
Inhaltsverzeichnis
Zertifikat, Vor-Ort-Audit, 14 Tage Frist: Nicht jede Forderung im Lieferantenfragebogen hat eine gesetzliche Grundlage. Die Forderungen im Abgleich mit dem Wortlaut.
Weiterlesen: Was Auftraggeber nach NIS2 von Lieferanten verlangen — und was davon gedeckt ist
Eine öffentliche Sicherheitsseite beantwortet Kundenfragen, bevor sie gestellt werden. Was hineingehört, was nicht — und ab welcher Betriebsgröße Kennzahlen problematisch werden.
Weiterlesen: Trust Center für KMU: Was auf ein öffentliches Sicherheitsprofil gehört
NIS2 gilt ab 50 MA — aber Hamburger Speditionen mit 15–49 Mitarbeitern trifft es fast immer indirekt über HHLA, Reedereien und Energieversorger. So bereiten Sie sich vor.
Weiterlesen: NIS2 und Hamburger Spedition: Warum 30-Mann-Betriebe indirekt betroffen sindÜber den Autor
Datenschutzberater & Geschäftsführer
Nils ist TÜV-zertifizierter Datenschutzbeauftragter. Seit über 13 Jahren betreut er Mittelständler bei DSGVO, NIS2 und dem EU AI Act. Geschäftsführer der frag.hugo Informationssicherheit GmbH und der datuno GmbH, leitet außerdem die BVMID-Geschäftsstelle Hamburg Süd/Ost.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
