Die Anfrage klingt selten nach Verhandlung. „Aufgrund unserer gesetzlichen Verpflichtung benötigen wir von Ihnen…”, darunter eine Liste. Und weil dort „gesetzliche Verpflichtung” steht, füllt der Zulieferer aus, was verlangt wird.
Ein Abgleich mit dem Wortlaut lohnt sich. Nicht um sich zu verweigern — sondern um zu wissen, wo Spielraum ist.
Die Vorschrift, auf die sich Einkaufsabteilungen berufen, ist § 30 Abs. 2 Nr. 4 BSIG. Sie lautet vollständig:
„Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.”
Zwei Details fallen auf. Erstens: unmittelbare Anbieter. Die häufige Formulierung „die gesamte Lieferkette prüfen” steht so nicht im Gesetz — gemeint sind die direkten Vertragspartner. Zweitens: Es folgt kein Verfahren. Keine Fragenzahl, kein Turnus, kein Format.
Die inhaltlich konkretere Vorgabe steht in Art. 21 Abs. 3 der Richtlinie (EU) 2022/2555: Einrichtungen sollen die Schwachstellen jedes unmittelbaren Anbieters und die Gesamtqualität der Produkte und Cybersicherheitspraxis ihrer Anbieter berücksichtigen. Diese Passage hat im BSIG keine eigene Entsprechung bekommen — und auch sie sagt „berücksichtigen”, nicht „prüfen”.
Die Zahl stammt aus dem Regierungsentwurf zum NIS2-Umsetzungsgesetz (BT-Drs. 20/13184): rund 2.950 besonders wichtige und 17.900 wichtige Einrichtungen. Jede davon versendet Anfragen. Dass Zulieferer den Aufwand tragen, ist eine Folge der Marktmacht, nicht der Vorschrift.
Sobald personenbezogene Daten im Spiel sind, kommt eine eigene Grundlage dazu. Art. 28 Abs. 1 DSGVO verlangt, dass der Verantwortliche „nur mit Auftragsverarbeitern arbeitet, die hinreichend Garantien dafür bieten”, dass geeignete technische und organisatorische Maßnahmen umgesetzt werden. Auch hier: keine Form, kein Fragebogen.
Womit sich diese Garantien belegen lassen, steht in den EDSA-Leitlinien 07/2020 (endgültige Fassung vom 07.07.2021), Rn. 94 bis 99. Rn. 95 nennt als Beispiele den Austausch von Unterlagen — Verzeichnis von Verarbeitungstätigkeiten, Informationssicherheitskonzept, Berichte über externe Datenschutzaudits, anerkannte internationale Zertifizierungen wie die ISO-27000-Reihe. Rn. 96 stellt klar, dass die Aufzählung nicht abschließend ist. Rn. 99 macht die Bewertung zu einer fortlaufenden Aufgabe. Dieselbe Linie zieht das DSK-Kurzpapier Nr. 13 (Stand 17.12.2018).
Praktisch heißt das: Wer ein gepflegtes Verarbeitungsverzeichnis, eine Beschreibung seiner Maßnahmen und einen Schulungsnachweis vorlegt, liefert genau die Art von Nachweis, die die Aufsichtsseite selbst als Beispiel benennt.
| Forderung im Fragebogen | Grundlage | Wie Sie sachlich antworten |
|---|---|---|
| Ausgefüllter Fragebogen binnen 14 Tagen | keine gesetzliche Frist | Gegentermin nennen, Teillieferung anbieten |
| ISO-27001-Zertifikat als Bedingung | vertraglich möglich, gesetzlich nicht gefordert | Maßnahmen dokumentiert vorlegen, Rn. 96 EDSA anführen |
| Vor-Ort-Audit | nur bei vertraglicher Zusage; Art. 28 Abs. 3 lit. h DSGVO im Rahmen des AVV | Umfang und Anlass klären, Fernprüfung anbieten |
| Netzplan und Systemversionen | keine | Ablehnen, Beschreibung der Schutzmaßnahmen anbieten |
| Liste aller Unterauftragnehmer | Art. 28 Abs. 2 DSGVO für die Auftragsverarbeitung | Liste führen und übergeben |
| Nachweis jährlicher Schulungen | ergibt sich aus Art. 32 DSGVO und § 30 BSIG als Maßnahme | Nachweis mit Datum |
| Meldung von Vorfällen binnen 24 Stunden an den Kunden | vertraglich; gesetzliche Fristen betreffen Behörden | Frist zusagen, die Sie halten können |
| Weitergabe Ihrer Antworten an dritte Kunden | keine | Zweckbindung vereinbaren |
| Haftungsübernahme für jeden Cybervorfall | keine | Auf übliche Haftungsgrenzen verweisen |
| Bestätigung, „NIS2-konform” zu sein | keine — es gibt keine Konformitätserklärung für Zulieferer | Beschreiben, welche Maßnahmen umgesetzt sind |
Der letzte Punkt taucht überraschend oft auf. Eine Erklärung „wir sind NIS2-konform” gibt es für nicht regulierte Zulieferer schlicht nicht — es fehlt der Adressat, das Verfahren und die Rechtsfolge. Wer sie trotzdem unterschreibt, sagt etwas zu, dessen Inhalt niemand definiert hat.
Antworten Sie auf pauschale Konformitätsfragen mit einer Liste umgesetzter Maßnahmen und einem Stand-Datum. Das ist prüfbar, während eine pauschale Bestätigung es nicht ist — und Einkaufsabteilungen akzeptieren es in der Regel, weil ihre eigene Dokumentation damit besser dasteht.
Fünf Tage vor der TÜV-Rezertifizierung ISO 9001 kam die E-Mail: Können Sie uns helfen? Zum Glück lag das Wochenende dazwischen. Der Auditor war am Ende begeistert.
Nils OehmichenDatenschutzberater bei frag.hugo
Das ist der Normalfall, und er ist vermeidbar. Die Unterlagen, die unter Zeitdruck zusammengesucht werden, sind fast immer dieselben, die auch im Lieferantenfragebogen abgefragt werden. Wer sie einmal ordnet, bedient beide Anlässe.
Wenn der nächste Bogen kommt, gehen Sie ihn zweimal durch: einmal für die Fragen, die Sie beantworten wollen, und einmal für die Forderungen, über die zu sprechen ist. Beides in derselben Mail — freundlich, mit Begründung. In der Mehrzahl der Fälle endet das mit einem kürzeren Bogen und einer längeren Frist.
Antworten, die Sie wiederverwenden können
Hugo Shield hält Ihre Sicherheitsangaben samt Nachweisen an einer Stelle und ordnet die Fragen aus dem Excel Ihres Auftraggebers Ihren vorhandenen Antworten zu. Offene Punkte bleiben als Aufgabe sichtbar, statt in der Datei zu verschwinden.
Fragebogen-Funktion ansehen →Den vollständigen Ablauf für Zulieferer beschreibt der Leitfaden zum Lieferantenfragebogen. Was auf eine öffentliche Sicherheitsseite gehört, steht im Beitrag zum Trust Center für KMU. Und wie ein Lieferantenaudit im Detail abläuft, lesen Sie im NIS2-Lieferantenaudit für Zulieferer.
Der Wortlaut des § 30 Abs. 2 Nr. 4 BSIG spricht von „sicherheitsbezogenen Aspekten der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern”. Gemeint sind also die direkten Vertragspartner, nicht jede Stufe dahinter. Auch Art. 21 Abs. 3 der Richtlinie (EU) 2022/2555 spricht von den unmittelbaren Anbietern und Diensteanbietern.
Vertraglich ja — er kann seine Anforderungen frei festlegen. Aus dem BSIG folgt eine solche Pflicht aber nicht. § 30 Abs. 1 BSIG stellt sämtliche Maßnahmen unter den Vorbehalt der Verhältnismäßigkeit, und die EDSA-Leitlinien 07/2020 führen Zertifizierungen in Rn. 95 als eines von mehreren Beispielen für Nachweise auf, ausdrücklich nicht abschließend (Rn. 96).
Nur wenn Sie es vertraglich zugesagt haben. Im Bereich der Auftragsverarbeitung sieht Art. 28 Abs. 3 lit. h DSGVO Überprüfungen einschließlich Inspektionen vor, allerdings im Rahmen des abgeschlossenen Vertrags. Außerhalb personenbezogener Verarbeitung gibt es keine gesetzliche Duldungspflicht gegenüber einem Geschäftspartner.
Eine begründete Fehlanzeige mit Umsetzungstermin ist eine verwertbare Antwort. Auftraggeber müssen den Sachverhalt bewerten, nicht bestätigt bekommen. Eine geschönte Antwort wird spätestens bei einem Vorfall zum Problem, weil dann der Widerspruch zwischen Zusage und Wirklichkeit dokumentiert vorliegt.
Der Regierungsentwurf zum NIS2-Umsetzungsgesetz (BT-Drs. 20/13184) rechnet mit rund 20.850 Einrichtungen — etwa 2.950 besonders wichtigen und 17.900 wichtigen. Zulieferer dieser Einrichtungen sind vom Gesetz selbst nicht erfasst, bekommen die Anforderungen aber über den Vertrag weitergereicht.
Das regelt kein Gesetz. Fristen im Fragebogen sind Wünsche der Einkaufsabteilung. Wer einen realistischen Gegentermin nennt und dabei sagt, welche Blöcke sofort und welche später kommen, bekommt ihn in aller Regel.
Inhaltsverzeichnis
Sicherheitsfragebogen vom Auftraggeber im Postfach? Was das BSIG wirklich verlangt, was reine Marktpraxis ist — und wie Sie einmal antworten statt jedes Mal neu.
Weiterlesen: Lieferantenfragebogen nach NIS2: So antworten Zulieferer 2026
Eine öffentliche Sicherheitsseite beantwortet Kundenfragen, bevor sie gestellt werden. Was hineingehört, was nicht — und ab welcher Betriebsgröße Kennzahlen problematisch werden.
Weiterlesen: Trust Center für KMU: Was auf ein öffentliches Sicherheitsprofil gehört
NIS2 gilt ab 50 MA — aber Hamburger Speditionen mit 15–49 Mitarbeitern trifft es fast immer indirekt über HHLA, Reedereien und Energieversorger. So bereiten Sie sich vor.
Weiterlesen: NIS2 und Hamburger Spedition: Warum 30-Mann-Betriebe indirekt betroffen sindÜber den Autor
Mitgründer & IT-Unternehmer
Jens führt seit Dezember 2004 die hagel IT-Services GmbH in Hamburg, heute 35+ Mitarbeitende. Mitgründer von frag.hugo Informationssicherheit und der SYNAPSE KI-Agentur. Mehrfach als „Deutschlands beste IT-Dienstleister" (statista / brand eins) ausgezeichnet.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
