Der NIS2-Lieferantenfragebogen
Ein Großkunde schickt einen Sicherheitsfragebogen, oft mit kurzer Frist und dem Hinweis auf NIS2. Dieser Leitfaden erklärt, warum er kommt, was Ihr Auftraggeber rechtlich belegen muss, was in dem Bogen steht und wie Sie ihn beantworten, ohne ein Compliance-Team zu haben.
Warum Sie diesen Fragebogen bekommen
Nicht Sie sind reguliert — Ihr Kunde ist es
Das ist der Punkt, an dem die meisten Zulieferer zuerst falsch abbiegen. NIS2 verpflichtet Betreiber in bestimmten Sektoren ab bestimmten Größen. Die allermeisten Empfänger eines NIS2-Lieferantenfragebogens fallen selbst gar nicht darunter. Die Anforderung erreicht Sie nicht über das Gesetz, sondern über den Vertrag: Ihr Auftraggeber muss seine Lieferkette absichern und gibt die Pflicht weiter. Wer im Netz nachliest, ob er „unter NIS2 fällt“, und erleichtert feststellt, dass nicht — der hat die falsche Frage beantwortet.
Was das Gesetz vom Auftraggeber verlangt
Artikel 21 Absatz 2 Buchstabe d der Richtlinie, in Deutschland § 30 BSIG, macht Lieferkettensicherheit zur Pflicht. Der regulierte Auftraggeber muss die Cybersicherheit seiner unmittelbaren Lieferanten bewerten und diese Bewertung belegen können. Üblich geworden ist ein Prüfrecht: einmal jährlich per Fragebogen, bei begründetem Anlass zusätzlich vor Ort. Genau dieses Prüfrecht steht inzwischen in vielen Rahmenverträgen — auch in solchen, die längst laufen.
Die Größenordnung
Das deutsche Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist, mit Registrierungspflicht binnen drei Monaten. Betroffen sind rund 29.500 Unternehmen statt bisher etwa 4.500. Jedes davon bewertet Dutzende Lieferanten, jährlich wiederkehrend. Am unteren Ende dieser Kaskade sitzen Zehntausende Betriebe, die einen solchen Fragebogen noch nie gesehen haben — und die kein Compliance-Team haben, das ihn beantwortet.
Was passiert, wenn Sie nicht liefern
Kein Bußgeld — das trifft den regulierten Auftraggeber, nicht Sie. Die Folge ist unmittelbarer: Ihr Kunde muss belegen, dass er seine Lieferanten geprüft hat. Wer keine Nachweise liefert, ist ein Posten, den er nicht belegen kann. In der Praxis endet das nicht mit einer Mahnung, sondern damit, dass der Auftrag an einen Wettbewerber geht, der geantwortet hat.
Was in einem solchen Bogen steht
Ein einheitliches Formular gibt es nicht — jeder Auftraggeber baut sein eigenes. Die Themenblöcke wiederholen sich aber, und wer sie einmal belegt hat, beantwortet den nächsten Bogen schneller.
Organisation und Verantwortlichkeiten
Gibt es eine Sicherheitsleitlinie, wer verantwortet sie, wie oft wird sie überprüft, wer ist der Ansprechpartner im Ernstfall.
Zugangs- und Berechtigungsmanagement
Wie Konten vergeben und entzogen werden, ob Mehrfaktor-Authentifizierung greift und für welche Systeme, wie oft Berechtigungen überprüft werden.
Netzwerk- und Systemsicherheit
Patch-Rhythmus nach Kritikalität, Segmentierung, Schutz der Endgeräte, Absicherung von Fernzugriffen.
Datenschutz und Datenverarbeitung
Wo Daten liegen, wer als Unterauftragsverarbeiter beteiligt ist, welche Verträge das regeln.
Vorfallbehandlung und Meldewege
Wie ein Sicherheitsvorfall erkannt, eskaliert und gemeldet wird — und in welcher Frist Sie den Kunden informieren.
Notfallvorsorge und Wiederanlauf
Datensicherung, getestete Wiederherstellung, Wiederanlaufzeiten für die Leistung, die Sie erbringen.
Nachweise und Zertifikate
ISO 27001, SOC 2, TISAX oder gleichwertige Nachweise — mit Geltungsbereich, nicht nur mit Zertifikatsnummer.
Sechs Schritte unter Frist
1. Zuerst klären, welche Kritikalitätsstufe Sie haben
Nicht jeder Lieferant wird gleich tief geprüft. Üblich sind Kritikalitätsstufen, die über den Umfang entscheiden. Fragen Sie Ihren Ansprechpartner, in welche Stufe Sie eingeordnet sind und warum. Das ist keine unangenehme Nachfrage, sondern eine fachliche — und sie kann einen 120-Fragen-Bogen auf einen 35-Fragen-Bogen reduzieren, wenn die Einordnung zu hoch angesetzt war.
2. Die Frist verhandeln, bevor Sie anfangen
Fünf Arbeitstage für einen umfangreichen Fragebogen sind verbreitet und fast immer verhandelbar. Ein Einkäufer, der eine belastbare Antwort in drei Wochen bekommt, ist besser bedient als einer, der in fünf Tagen Lücken bekommt und nachfassen muss. Wer um Verlängerung bittet und dabei einen Termin nennt, wirkt organisiert, nicht überfordert.
3. Nachweise einsammeln, bevor die Tabelle aufgeht
Leitlinie, Berechtigungskonzept, Patch-Richtlinie, Sicherungskonzept samt letztem Wiederherstellungstest, Vorfallprozess, Liste der Unterauftragsverarbeiter, vorhandene Zertifikate mit Geltungsbereich. Der erste Engpass ist fast nie fehlende Sicherheit, sondern verstreute Dokumentation: Die Antworten wären da, liegen aber in E-Mails, auf Laufwerken und im Kopf einer einzelnen Person.
4. Den Geltungsbereich jeder Aussage mitschreiben
Die häufigste Rückfrage im Review betrifft nicht das Ob, sondern das Wofür. „Mehrfaktor-Authentifizierung ist im Einsatz“ erzeugt eine Nachfrage. „Mehrfaktor-Authentifizierung für alle administrativen Zugänge und den VPN-Zugang, nicht für den Zugriff auf das interne Wiki“ beantwortet sie im Voraus. Ein präziser Geltungsbereich wirkt nicht schwächer — er wirkt geprüft.
5. Lücken benennen statt umschreiben
Ein ehrliches „noch nicht, geplant bis Quartal drei, Verantwortlicher benannt“ ist bearbeitbar. Eine schwammige Formulierung, die eine Lücke verdeckt, fällt spätestens beim nächsten Audit auf — und beschädigt dann alle anderen Antworten gleich mit. Einkäufer erwarten keine perfekten Lieferanten, sie erwarten belastbare Angaben.
6. Antworten aufheben, nicht wegwerfen
Das Prüfrecht ist jährlich, und Ihr nächster Großkunde fragt ähnliches in anderer Reihenfolge. Wer die Antworten samt zugehörigem Beleg als Bibliothek führt, beantwortet den zweiten Fragebogen in einem Bruchteil der Zeit. Wer jedes Mal neu tippt, zahlt jedes Mal denselben Preis.
Unsicher, wo Ihr Unternehmen bei den Maßnahmen aus § 30 BSIG steht? Kostenloser NIS2-Readiness-Check — 26 Fragen, 5 Minuten, ohne Anmeldung.
Drei Beispielantworten
Muster zum Übertragen auf die eigene Umgebung. Die Angaben in eckigen Klammern sind bewusst Platzhalter: Was dort steht, muss aus Ihren eigenen Unterlagen stammen und belegbar sein — eine übernommene Beispielangabe wäre eine Falschaussage gegenüber Ihrem Kunden. Entscheidend ist der Bau: eine konkrete Aussage, der Verweis auf das belegende Dokument, und was die Aussage ausdrücklich nicht abdeckt.
Frage: Setzen Sie Mehrfaktor-Authentifizierung ein?
Ja, für alle administrativen Zugänge und den Fernzugriff über VPN, umgesetzt über zeitbasierte Einmalkennwörter. Grundlage ist das Berechtigungskonzept, Abschnitt [Nr.], zuletzt geprüft am [Datum]. Nicht abgedeckt sind interne Anwendungen ohne Zugriff auf Kundendaten; für diese ist die Einführung bis [Termin] vorgesehen.
Frage: Wie stellen Sie die Wiederherstellbarkeit Ihrer Systeme sicher?
Tägliche inkrementelle und wöchentliche vollständige Sicherung, Aufbewahrung [Zeitraum], Ablage getrennt vom Produktivsystem. Die Wiederherstellung wurde zuletzt am [Datum] vollständig getestet; das Protokoll liegt vor und kann auf Anforderung eingesehen werden. Die dabei gemessene Wiederanlaufzeit für die von uns erbrachte Leistung betrug [gemessener Wert].
Frage: Melden Sie Sicherheitsvorfälle, die uns betreffen?
Ja. Unser Vorfallprozess sieht eine Benachrichtigung betroffener Auftraggeber unverzüglich nach Feststellung vor, spätestens innerhalb von [Frist], mit benanntem Ansprechpartner und Eskalationsstufen. Eine vertraglich kürzere Frist können wir abbilden, sofern sie vereinbart wird. Der Prozess wurde zuletzt am [Datum] in einer Übung erprobt.
Häufige Fragen
Falle ich als Lieferant selbst unter NIS2?+
Meistens nicht. NIS2 reguliert Einrichtungen in bestimmten Sektoren ab bestimmten Größen. Als Zulieferer erreicht Sie die Anforderung in aller Regel nicht über das Gesetz, sondern über den Vertrag mit einem regulierten Kunden. Rechtlich ist das ein Unterschied, praktisch nicht: Der Fragebogen kommt so oder so.
Brauche ich ISO 27001, um zu antworten?+
Nein. Ein Zertifikat vereinfacht vieles, weil es Nachweise bündelt, ist aber keine Voraussetzung. Gefragt sind konkrete Maßnahmen mit Belegen. Ein Betrieb ohne Zertifikat, der seine Prozesse sauber dokumentiert und den Geltungsbereich jeder Aussage benennt, besteht die Prüfung — ein zertifizierter Betrieb, dessen Zertifikat den verkauften Leistungsbereich nicht abdeckt, dagegen oft nicht.
Wie oft kommt so ein Fragebogen?+
Üblich ist ein jährliches Prüfrecht, bei begründetem Anlass zusätzlich eine Prüfung vor Ort. Rechnen Sie damit, dass jeder regulierte Großkunde eigenständig fragt und dabei ein eigenes Formular verwendet. Genau deshalb lohnt sich eine Antwort-Bibliothek gegenüber dem einmaligen Ausfüllen.
Was ändert sich mit VDA ISA 2027 für Automobilzulieferer?+
Im Katalog für TISAX wandert das Thema Lieferantenmanagement ab dem 1. Januar 2027 in einen eigenen Kontrollbereich. Für Zulieferer heißt das: Sie beantworten nicht nur weiterhin Fragebögen Ihrer Kunden, Sie werden zusätzlich Ihre eigenen Unterlieferanten bewerten müssen — dieselbe Bewegung, die NIS2 in anderen Branchen auslöst.
Diese Seite ordnet ein und ersetzt keine Rechtsberatung. Ob und wie eine Vorschrift für Ihr Unternehmen gilt, hängt vom Einzelfall ab.
Für Automobilzulieferer: TISAX und der VDA-ISA-Katalog. Zum allgemeinen Vorgehen: Sicherheitsfragebogen richtig beantworten. Weitere Leitfäden im Guides-Verzeichnis.
Put this process on autopilot
Upload your evidence and your next questionnaire — get cited drafts to review, not answers to blindly trust. Free for your first questionnaire.