Sicherheitsfragebogen eines Kunden: Was müssen Sie damit anfangen?

## Warum Sie diese Frageliste erhalten Wenn Ihr Unternehmen etwas an eine Organisation liefert, die unter die NIS2-Richtlinie fällt — eine wesentliche oder wichtige Einheit, denken Sie an Energieunternehmen, Krankenhäuser, große Transportunternehmen oder digitale Infrastruktur — dann muss dieser Kunde seine eigenen Lieferanten bewerten. Die Richtlinie verpflichtet diesen Kunden nämlich, Risiken in seiner Lieferkette zu erfassen, nicht nur seine eigenen Systeme. Das ist in dem beschrieben, was oft als Sorgfaltspflicht bezeichnet wird und in Artikel 21 der Richtlinie zu finden ist. Die Frageliste, die bei Ihnen ankommt, ist die praktische Folge davon: Ihr Kunde muss nachweisen können, dass er weiß, wer seine Lieferanten sind und wie diese mit Sicherheit umgehen. Wichtig zu verstehen: Dass Sie eine Frageliste erhalten, bedeutet nicht automatisch, dass Sie selbst unter die NIS2-Richtlinie fallen. Die meisten Unternehmen, die solch eine Liste erhalten, werden als sogenannt waardeketen-betroffen bezeichnet — sie fallen nicht selbst unter das Gesetz, aber werden über einen Kunden dennoch damit konfrontiert. Ob das auf Ihre Organisation zutrifft und wie genau diese Betroffenheit aussieht, können Sie mit [[LINK:/nis2-check|einer kurzen Überprüfung, die Ihre Situation einordnet,]] nachprüfen. ## Was üblicherweise enthalten ist Die Fragelisten, die derzeit im Umlauf sind, unterscheiden sich stark je nach Aufsteller — es gibt kein verbindliches Format aus dem Gesetz. Dennoch kommen bestimmte Themen fast immer vor. Fragen danach, wer in Ihrer Organisation für Informationssicherheit zuständig ist, ob Sie eine Richtlinie für den Umgang mit Vorfällen haben, wie Sie den Zugriff auf Systeme regeln, ob Mitarbeiter Schulungen erhalten, und ob Sie selbst auch Anforderungen an Ihre eigenen Lieferanten stellen. Manche Listen fragen darüber hinaus nach Zertifizierungen, nach bisherigen Vorfällen oder danach, wie Sie mit Updates und Wiederherstellungsplänen umgehen. Der zugrunde liegende Gedanke ist immer derselbe: Der Kunde versucht, sich ein Bild von Risiken zu machen, die über Ihre Lieferung zu ihm gelangen könnten. Das ist kein Misstrauen gegenüber Ihrem Unternehmen speziell, sondern eine Verpflichtung, die der Kunde selbst erfüllen muss. Wenn Sie verstehen möchten, welche zehn Maßnahmen dabei als Grundlage gelten, finden Sie diese Erklärung in [[LINK:/onderwerpen|der Übersicht der Themen pro Situation]] zurück. ## Was eine brauchbare Antwort verlangt Eine gute Antwort auf eine Sicherheitsfrageliste ist nicht unbedingt eine Antwort, in der Sie überall ‚ja' ankreuzen. Aufsichtsbehörden und Kunden schauen in der Regel auf Konsistenz: Stimmen Ihre Antworten mit dem überein, was Sie tatsächlich tun, und können Sie das belegen? Eine vage oder zu optimistische Ausfüllung führt langfristig zu mehr Fragen als eine ehrliche Antwort, die einen Verbesserungspunkt mit einem Zeitplan benennt. Es hilft, pro Frage drei Dinge klar zu haben: Was die aktuelle Situation ist, wer in Ihrer Organisation das bestätigen kann, und welches Beweismaterial dazu gehört — ein Richtliniendokument, ein Screenshot einer Einstellung, eine Schulungsübersicht. Unternehmen, die diese drei Punkte nicht pro Frage erneut suchen müssen, sondern sie bereits in einer laufenden Übersicht festgehalten haben, können eine Frageliste in der Regel innerhalb einer Stunde ausfüllen, statt tagelang. Das ist genau das, wofür ein Dossier mit Status, Beweismaterial und Verantwortlicher pro Maßnahme vorgesehen ist. ## Was Sie nicht tun müssen Es ist gut zu wissen, dass das Ausfüllen und Versenden dieser Frageliste Ihre eigene Verantwortung bleibt — ein Dienst kann Ihnen helfen, Antworten vorzubereiten und zu strukturieren, darf aber niemals in Ihrem Namen bei einem Kunden oder einer Aufsichtsbehörde einreichen. Auch ein Audit, ein Pentest oder eine Zertifizierung ist etwas anderes als das Ausfüllen einer Frageliste; das bleibt Arbeit für spezialisierte Parteien, falls ein Kunde dazu konkret fragt. Wenn Sie zweifeln, ob die Fragen, die Sie erhalten, in einem angemessenen Verhältnis zu Ihrer Größe und Rolle stehen, ist das ein Gespräch, das Sie am besten direkt mit dem Kunden führen, gegebenenfalls mit einem Juristen, wenn die Anforderungen vertraglich festgehalten werden. Secria beschreibt, was die Richtlinie und die nationale Gesetzgebung sagen, urteilt aber nicht über einzelne Verträge. ## Weiterführende Informationen Wenn Sie zuerst wissen möchten, woher diese Informationen stammen und wie sie gepflegt werden, lesen Sie das auf [[LINK:/hoe-het-werkt|der Seite über die Arbeitsweise der Plattform]]. Wenn Sie noch keinen Überblick über Ihre eigene Position in der Kette haben, beginnen Sie mit der kostenlosen Überprüfung — die gibt innerhalb weniger Fragen eine Einschätzung und einen logischen nächsten Schritt, ohne dass Sie dafür ein Konto benötigen.