NIS2 in der Lieferkette: Fragebogen und Vertragsklauseln für nicht betroffene Lieferanten

Das Wichtigste in Kürze

• Wer selbst nicht unter NIS2 fällt, hat in der Regel keine eigenen Pflichten aus dem BSIG: keine Registrierung beim BSI, keine Meldepflicht gegenüber dem BSI und kein Bußgeldrisiko. NIS2-bezogene Pflichten entstehen für Lieferanten ausschließlich aus dem Vertrag mit dem Kunden.
• Regulierte Kunden fragen, weil § 30 Abs. 2 Satz 2 Nr. 4 BSIG sie zur Sicherheit ihrer Lieferkette verpflichtet und sie die Einhaltung nach § 30 Abs. 1 Satz 3 BSIG dokumentieren müssen.
• Fünf Grundlagen decken die typischen Fragen in Lieferantenfragebögen ab: eine Übersicht der Zugänge, MFA, ein getestetes Backup, ein Meldeweg für Vorfälle und Schulungen mit Nachweis.
• Ein ISO-27001-Zertifikat beantwortet viele Fragen, aber nur, wenn sein Scope die Leistung abdeckt, die der Kunde bezieht. Ein offizielles NIS2-Zertifikat für Lieferanten gibt es nicht.
• Jede Antwort im Fragebogen sollte Status, Geltungsbereich, Beleg und Verantwortlichen nennen. Die pauschale Aussage „Wir sind NIS2-konform" gehört in keine Antwort.

‍

Ihr Unternehmen fällt nach Ihrer Einschätzung nicht unter NIS2. Trotzdem erreicht NIS2 Sie über die Lieferkette: Der erste Sicherheitsfragebogen eines Kunden liegt auf dem Tisch, manchmal mit knapper Frist, und bei der nächsten Vertragsverlängerung kommen neue Klauseln zu Meldepflichten und Auditrechten hinzu.

Wenn Sie den Fragebogen schnell und überall mit „Ja" ausfüllen, sollten Sie mit Rückfragen rechnen. Spätestens dann will der Kunde Nachweise sehen, etwa zum letzten Backup-Test, zur MFA-Abdeckung oder zu Schulungen.

Meiner Erfahrung nach erreichen einzelne NIS2-Anforderungen viele Mittelständler über ihre Kunden und nicht über das Gesetz. Die Pflichten gelten in Deutschland seit dem 6. Dezember 2025. Viele regulierte Unternehmen beginnen erst jetzt, ihre Lieferanten systematisch zu befragen. Wer sich frühzeitig strukturiert vorbereitet, spart sich bei jedem weiteren Kunden Arbeit.

Dieser Beitrag zeigt, was Sie als nicht betroffener Lieferant liefern müssen, was Sie zusagen sollten und was nicht.

NIS2-Betroffenheitsprüfung: Fallen Sie selbst unter NIS2?

Unabhängig von jeder Kundenanfrage sollten Sie zunächst prüfen, ob Ihr Unternehmen selbst als wichtige oder besonders wichtige Einrichtung im Sinne von § 28 BSIG gilt. Liegen Sie über den Schwellenwerten, kommt es darauf an, ob Ihre Tätigkeit einer der im BSIG genannten Einrichtungsarten entspricht. Manche Mittelständler, die sich für nicht betroffen halten, sind es doch. Für sie gelten die Pflichten unmittelbar, einschließlich der Registrierung beim BSI.

Die Schwellenwerte liegen in der Regel bei mindestens 50 Mitarbeitenden oder bei Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro (§ 28 BSIG). Eine erste Einschätzung, ob Sie betroffen sind, erhalten Sie am schnellsten mit dem NIS2-Checker.

NIS2 in der Lieferkette: Warum fragt Ihr Kunde, wenn Sie gar nicht betroffen sind?

Ihr Kunde muss nachweisen, dass er die Risiken aus seiner Lieferkette angemessen beherrscht, und dafür braucht er Belege von Ihnen.

Regulierte Einrichtungen müssen für die Sicherheit ihrer Lieferkette sorgen, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern (§ 30 Abs. 2 Satz 2 Nr. 4 BSIG). Die Einhaltung müssen sie dokumentieren (§ 30 Abs. 1 Satz 3 BSIG).

Das BSIG setzt die NIS-2-Richtlinie (EU) 2022/2555 um. Die Richtlinie geht hier noch weiter als der Wortlaut von § 30 BSIG. Da § 30 BSIG im Sinne der Richtlinie auszulegen ist, ist diese Konkretisierung auch für Einrichtungen in Deutschland maßgeblich. Zu berücksichtigen sind die spezifischen Schwachstellen jedes direkten Lieferanten, die Qualität seiner Produkte und Cybersicherheitspraktiken sowie seine Verfahren für sichere Entwicklung (Art. 21 Abs. 3 NIS-2-Richtlinie).

Deshalb sollten Sie damit rechnen, dass Ihr Kunde Belege anfordert, spätestens bei Rückfragen oder in einem Lieferantenaudit. Ihr Kunde braucht pro Lieferant einen Nachweis, den er archivieren und bei einer Prüfung vorlegen kann. Viele Fragen zielen daher auf die Umsetzung einer Maßnahme und nicht nur auf ihr Vorhandensein, bei kritischen Punkten wie Backups oder Notfallplänen auch auf Tests. Wie regulierte Unternehmen diese Pflicht von ihrer Seite angehen, beschreibt unser NIS2-Leitfaden zur Lieferkettensicherheit.

Für Sie selbst gilt: Sie sind nicht Adressat des Gesetzes. Sie müssen sich nicht beim BSI registrieren, haben keine Meldepflicht gegenüber dem BSI und kein Bußgeldrisiko nach dem BSIG. Ihre NIS2-bezogenen Pflichten entstehen ausschließlich aus dem Vertrag mit Ihrem Kunden. Kann Ihr Kunde Ihre Sicherheit allerdings nicht bewerten, kann sich das bei der Lieferantenbewertung und bei künftigen Vergaben nachteilig auswirken.

Was steht typischerweise im Fragebogen und im Vertrag?

Die meisten Fragebögen und Sicherheitsanhänge orientieren sich an den zehn Maßnahmen aus § 30 Abs. 2 BSIG, die wir in unserem Beitrag zu den NIS2-Anforderungen an das Risikomanagement erläutern. Typisch sind Fragen zu Zugängen, Backups, Vorfällen, Schulungen und Ihren eigenen Unterauftragnehmern. Unterschiedlich ist vor allem die Tiefe der Abfragen.

Ein offizielles Format gibt es nicht. Jeder Kunde übersetzt seine Pflicht selbst in Fragen. Deshalb unterscheiden sich Fragebögen in Aufbau und Formulierung, auch wenn sie inhaltlich dieselben Anforderungen abfragen. Die folgende Auswahl zeigt an typischen Beispielen, was hinter den Fragen steht und welche Nachweise infrage kommen.

Neben dem Fragebogen werden Sicherheitsanhänge zu Verträgen gängiger. Stellen Sie sich also bei der nächsten Vertragsverlängerung bereits hierauf ein. Darin stehen Mindestmaßnahmen, Meldepflichten gegenüber dem Kunden und Auditrechte. Welche Klauseln Sie vor der Unterschrift prüfen sollten, behandelt der Abschnitt zu Vertragsklauseln.

Welche Mindestbasis sollten Sie haben, bevor Sie antworten?

Fünf Grundlagen decken die Themen ab, nach denen Kunden typischerweise fragen. Die zehn Maßnahmen aus § 30 BSIG vollständig umzusetzen, ist für einen nicht betroffenen Lieferanten meist nicht nötig.

Die zehn Maßnahmen sind zwar ein sinnvoller Rahmen für Informationssicherheit. Sie nur aufgrund der Anforderungen eines Kunden vollständig umzusetzen, wäre für einen nicht betroffenen Lieferanten aber meist unverhältnismäßig, denn Ihr Kunde fragt nach dem, was seine Risiken betrifft. Auch für Ihren Kunden gilt, dass seine eigenen Maßnahmen verhältnismäßig sein müssen (§ 30 Abs. 1 Satz 2 BSIG). Was er von Lieferanten verlangt, richtet sich deshalb nach dem Risiko, das von der jeweiligen Leistung ausgeht. Die folgenden fünf Grundlagen sollten Sie haben:

1. Übersicht der Zugänge: Welche Ihrer Mitarbeitenden und welche Ihrer Unterauftragnehmer haben Zugang zu Systemen, Daten oder Räumlichkeiten, etwa Serverräumen?
2. MFA: auf allen Zugängen von außen und auf E-Mail.
3. Getestetes Backup: ein Wiederherstellungstest mit Datum und Ergebnis.
4. Meldeweg für Vorfälle: Wer entscheidet, ob ein Vorfall den Kunden betrifft, und wer informiert ihn? Mit Vertretung, auch am Wochenende.
5. Schulung mit Nachweis: mindestens einmal jährlich, einschließlich Geschäftsführung.

Ich empfehle, als Grundlage für Ihre Antworten eine schriftliche Selbstauskunft zur Informationssicherheit zu erstellen. Sie sollte Ihre Maßnahmen, Verantwortlichen und Nachweise kompakt beschreiben. Der Umfang richtet sich nach Ihrer Leistung und danach, welche Risiken Ihre Kunden betreffen. Auf Basis dieses Dokuments beantworten Sie jeden weiteren Fragebogen deutlich schneller, weil Sie Antworten und Nachweise nicht jedes Mal neu zusammenstellen müssen.

Reicht ein ISO-27001-Zertifikat als Antwort?

Oft ja, aber nur, wenn der Anwendungsbereich (Scope) des Informationssicherheitsmanagementsystems (ISMS), wie er auf dem Zertifikat vermerkt ist, die Leistung abdeckt, die Ihr Kunde bezieht.

Verwechseln Sie ein ISO-27001-Zertifikat allerdings nicht mit NIS2-Konformität. Ein verbreiteter Irrtum ist, dass ISO 27001 die NIS2-Anforderungen vollständig abdeckt. Sind Sie selbst von NIS2 betroffen, gehen die gesetzlichen Pflichten darüber hinaus, etwa bei den Meldepflichten gegenüber dem BSI. Wo sich beide Regelwerke decken und wo nicht, zeigt unser Vergleich NIS2 und ISO 27001. Für Sie als nicht betroffenen Lieferanten zählt eine andere Frage: Deckt Ihr Zertifikat ab, was Ihr Kunde abfragt?

Liegt die Leistung, die Ihr Kunde bezieht, außerhalb des Scopes Ihres ISMS, reicht das Zertifikat allein nicht. Der Kunde fragt diese Punkte dann separat ab.

Prüfen Sie vor dem Versand drei Dinge:

• Scope: Deckt der auf dem Zertifikat ausgewiesene Scope die Standorte, Systeme und Leistungen ab, die der Kunde nutzt?
• Erklärung zur Anwendbarkeit (SoA): Sind die für den Kunden relevanten Controls anwendbar und umgesetzt, etwa Zugangssteuerung (A.5.15), sichere Authentifizierung (A.8.5) und Datensicherung (A.8.13)?
• Gültigkeit: Ist das Zertifikat gültig und wurde das letzte Überwachungsaudit fristgerecht durchgeführt?

Auch bei passendem Zertifikat verschicken Kunden häufig einen Fragebogen. Verweisen Sie dann pro Frage auf das Zertifikat und legen Sie dort, wo der Kunde Detailangaben anfordert, den konkreten Nachweis bei.

Und wenn Sie noch kein Zertifikat haben?

Dann reicht für einzelne Fragebögen oft die oben empfohlene Selbstauskunft zur Informationssicherheit, ergänzt um die passenden Nachweise.

Eine Zertifizierung lohnt sich nach meiner Einschätzung vor allem dann, wenn einer dieser Punkte auf Sie zutrifft:

• Sie beliefern mehrere regulierte Kunden oder erhalten regelmäßig Fragebögen.
• Sie haben Zugriff auf Systeme oder Daten Ihrer Kunden.
• Ausschreibungen oder Rahmenverträge setzen ein Zertifikat voraus.
• Ihre Kunden kommen aus Branchen mit festen Standards.

Welches Zertifikat passt, hängt von Ihrer Branche und den Anforderungen Ihrer Kunden ab. Eine Zertifizierung geht bei vielen Themen über das hinaus, was ein einzelner Fragebogen abfragt. Dafür verweisen Sie bei jedem weiteren Kunden auf ein geprüftes System, statt Nachweise jedes Mal einzeln zusammenzustellen. Gerade größere Unternehmen verlangen solche Zertifikate zudem unabhängig von NIS2 als Grundlage für die Zusammenarbeit, und meiner Erfahrung nach nimmt diese Anforderung weiter zu. Unabhängig davon stärkt ein zertifiziertes ISMS die eigene Informationssicherheit, weil Risiken systematisch erfasst, Verantwortlichkeiten geklärt und Maßnahmen regelmäßig überprüft werden. Wie der Weg dorthin aussieht, beschreibt unser Leitfaden zur ISO-27001-Zertifizierung.

Wie antworten Sie, ohne zu viel zu versprechen?

Beantworten Sie jede Frage mit Status, Geltungsbereich, Beleg und Verantwortlichem und sagen Sie nichts zu, was Sie nicht nachweisen können.

Angenommen, Sie beantworten die Frage „Notfallplan vorhanden und jährlich getestet?" mit „Ja", obwohl der Notfallplan zwar existiert, aber noch nicht getestet wurde. Will der Kunde bei einem möglichen Lieferantenaudit das Testprotokoll sehen, steht eine Abweichung im Bericht, und Ihre übrigen Antworten verlieren an Glaubwürdigkeit. Die Antwort „Teilweise umgesetzt, Test geplant für Q2" hätte dem Kunden dagegen eine zutreffende Einschätzung des Umsetzungsstands ermöglicht.

Jede Antwort sollte vier Angaben enthalten:

• Status: umgesetzt, teilweise umgesetzt, geplant (mit Datum) oder nicht zutreffend (mit Begründung)
• Geltungsbereich: für welche Standorte, Systeme und Leistungen
• Beleg: welcher Nachweis die Umsetzung zeigt, etwa ein Dokument, ein Screenshot der Systemeinstellungen oder ein Protokoll, auf Anfrage einsehbar
• Verantwortlich: wer bei Ihnen zuständig ist

Schreiben Sie nie pauschal „Wir sind NIS2-konform". Es gibt kein offizielles NIS2-Zertifikat für Lieferanten, und Sie sind nicht Adressat des Gesetzes. Die Aussage ist nicht nachweisbar und kann Ihnen vertraglich auf die Füße fallen. Behandeln Sie den Fragebogen wie eine Erklärung, die Ihr Kunde archiviert und bei der nächsten Lieferantenbewertung wieder heranzieht.

Welche Vertragsklauseln sollten Sie nicht ungeprüft unterschreiben?

Verhandeln Sie mit einem konkreten Gegenvorschlag, statt pauschal abzulehnen. Ihr Kunde braucht vor allem etwas, das er dokumentieren kann.

Ein Sicherheitsanhang, der mit einer Vertragsverlängerung kommt, kann Maximalforderungen enthalten. Die typischen Punkte und mögliche Gegenvorschläge:

Haftungsbegrenzungen und Vertragsstrafen klären Sie mit Ihrer Rechtsberatung. Dieser Abschnitt ersetzt keine Rechtsberatung.

Wie lange dauert es, bis Sie belastbar antworten können?

Wer die fünf Grundlagen schon hat, kann einen Fragebogen meist innerhalb weniger Wochen beantworten. Wer bei null anfängt, braucht eher mehrere Monate. Eine pauschale Zahl gibt es nicht: Der Aufwand hängt vom Umfang des Fragebogens und vom Reifegrad der bereits umgesetzten Sicherheitsmaßnahmen ab.

Ein typisches Beispiel ist ein Softwareanbieter, der unter den Schwellenwerten liegt und damit selbst nicht unter NIS2 fällt. Mehrere seiner Kunden stammen aus NIS2-relevanten Branchen und haben ihm bereits Sicherheitsfragebögen geschickt, weitere werden erwartet. Einzelne Kunden verlangten sogar „NIS2-Konformität", obwohl der Anbieter gar nicht Adressat des Gesetzes ist.

Die Fragebögen umfassen meist 10 bis 20 Seiten mit 50 bis 100 Fragen. Hinzu kommen Richtlinien, die der Kunde einsehen möchte, und eine Liste der Unterauftragnehmer. Für die Antwort bleiben in der Regel zwei bis vier Monate, manchmal nur wenige Wochen. Weil der Anbieter bereits Maßnahmen zur Informationssicherheit umgesetzt hat, ist ein einzelner Fragebogen in dieser Zeit machbar. Schwierig wird es, wenn mehrere Anfragen parallel eintreffen und nebenbei noch Lücken zu schließen sind, denn das Tagesgeschäft läuft weiter.

Ein realistischer Ablauf beim ersten Fragebogen in drei Schritten:

1. Fragebogen lesen und beim Kunden klären, welche Leistung gemeint ist und bis wann er die Antwort braucht. Eine verantwortliche Person benennen. Wer diese Rolle im Mittelstand typischerweise übernimmt, erklärt unser Beitrag zur Zuständigkeit für NIS2.
2. Schnelle Lücken schließen, etwa MFA, Backup-Test und Meldeweg.
3. Selbstauskunft zur Informationssicherheit erstellen und die Antworten mit Belegen versehen. Längere Themen wie eine Zertifizierung als „geplant mit Datum" angeben.

Ist die Frist zu knapp, bitten Sie um eine Verlängerung und schicken einen Zwischenstand mit.

Wie Kertos Lieferanten bei NIS2-Anfragen unterstützt

Kertos ist eine europäische Compliance-Plattform, auf der Unternehmen ihr ISMS aufbauen und Richtlinien, Verantwortlichkeiten, Risiken und Nachweise an einem Ort pflegen. Für Lieferanten heißt das: Wenn der nächste Fragebogen kommt, liegen die Belege bereits strukturiert vor und müssen nicht erst zusammengesucht werden. Die Schulung „Information Security Basics" ist in der Plattform enthalten, auf Deutsch und Englisch, und der Abschluss wird je Mitarbeitendem als Nachweis im ISMS erfasst.

Wer auf eine ISO-27001-Zertifizierung hinarbeitet, wird von zertifizierten Experten von Kertos bis zum Audit begleitet. Die Umsetzung der Maßnahmen bleibt bei Ihnen, Kertos strukturiert, dokumentiert und begleitet. Bisher haben alle Kertos-Kunden ihr Audit bestanden. Wie das für Ihr Unternehmen aussehen kann, zeigen wir Ihnen in einer persönlichen Demo.

Häufige Fragen

Muss ich mich als Lieferant beim BSI registrieren?

Nein, solange Sie nicht selbst betroffen sind. Die Registrierungspflicht trifft besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister (§ 33 Abs. 1 BSIG).

Gibt es ein NIS2-Zertifikat für Lieferanten?

Nein. NIS2 kennt kein Zertifikat, mit dem ein Lieferant „NIS2-Konformität" belegen könnte. Was Kunden akzeptieren, sind Nachweise zu konkreten Maßnahmen oder etablierte Nachweise wie ein ISO-27001-Zertifikat, ein TISAX-Label oder ein C5-Testat.

Was passiert, wenn ich den NIS2-Fragebogen meines Kunden nicht beantworte?

Ein Bußgeld nach dem BSIG droht Ihnen nicht. Sieht Ihr Vertrag eine Mitwirkung vor, sind aber vertragliche Folgen möglich. Ihr Kunde muss das Risiko zudem bewerten und dokumentieren. Ohne Ihre Antwort wird er Sie im Zweifel vorsichtiger einstufen, zusätzliche Maßnahmen auf seiner Seite ergreifen oder die Zusammenarbeit überdenken.

Muss ich als Lieferant die 24-Stunden-Meldefrist meines Kunden übernehmen?

Gesetzlich nicht, vertraglich ist es Verhandlungssache. Die 24-Stunden-Frist Ihres Kunden beginnt erst, wenn er selbst von einem erheblichen Sicherheitsvorfall erfährt (§ 32 Abs. 1 Nr. 1 BSIG). Er will trotzdem schnell informiert werden, um die Auswirkungen auf seine Dienste bewerten zu können. Sinnvoll ist eine Zusage, relevante Vorfälle unverzüglich nach Kenntnis an einen benannten Kontakt zu melden.

Muss ich als Lieferant meine eigenen Lieferanten prüfen?

Nach NIS2 nicht. Vertraglich kann Ihr Kunde es aber verlangen, typischerweise für Unterauftragnehmer mit Zugriff auf seine Systeme oder Daten. Ob sich aus anderen Regelwerken wie der DSGVO eigene Pflichten ergeben, sollten Sie gesondert prüfen.