Warum Sie diese Frageliste erhalten
Wenn Ihr Unternehmen etwas an eine Organisation liefert, die unter die NIS2-Richtlinie fällt — ein wesentliches oder wichtiges Unternehmen, denken Sie an Energieunternehmen, Krankenhäuser, große Transportunternehmen oder digitale Infrastruktur — dann muss dieser Kunde seine eigenen Lieferanten bewerten. Die Richtlinie verpflichtet diesen Kunden nämlich, Risiken in seiner Lieferkette abzubilden, nicht nur seine eigenen Systeme. Dies wird in dem beschrieben, was oft als Managementpflicht bezeichnet wird und in Artikel 21 der Richtlinie zu finden ist. Die Frageliste, die bei Ihnen eingeht, ist die praktische Folge davon: Ihr Kunde muss nachweisen können, dass er weiß, wer seine Lieferanten sind und wie diese mit Sicherheit umgehen.
Wichtig zu verstehen: Die Tatsache, dass Sie eine Frageliste erhalten, bedeutet nicht automatisch, dass Sie selbst unter die NIS2-Richtlinie fallen. Die meisten Unternehmen, die solche Listen erhalten, werden als lieferkettenbetroffen bezeichnet — sie fallen nicht selbst unter das Gesetz, werden aber über einen Kunden damit konfrontiert. Ob das für Ihre Organisation zutrifft und welche Art von Betroffenheit das genau ist, können Sie überprüfen mit einer kurzen Überprüfung, die Ihre Situation erfasst.
Was meist darin steht
Die Fragelisten, die derzeit im Umlauf sind, unterscheiden sich stark je nach Ersteller — es gibt kein vorgegebenes Format aus dem Gesetz. Dennoch gibt es bestimmte Themen, die fast immer wiederkommen. Fragen darüber, wer in Ihrer Organisation für Informationssicherheit verantwortlich ist, ob Sie eine Richtlinie für den Umgang mit Sicherheitsvorfällen haben, wie Sie den Zugriff auf Systeme regeln, ob Mitarbeiter Schulungen erhalten, und ob Sie selbst auch Anforderungen an Ihre eigenen Lieferanten stellen. Einige Listen fragen darüber hinaus nach Zertifizierungen, nach früheren Vorfällen oder danach, wie Sie mit Updates und Wiederherstellungsplänen umgehen.
Der zugrundeliegende Gedanke ist immer derselbe: Der Kunde versucht, ein Bild von Risiken zu bekommen, die über Ihre Lieferung zu ihm gelangen könnten. Dies ist kein Misstrauen gegenüber Ihrem Unternehmen speziell, sondern eine Verpflichtung, die der Kunde selbst erfüllen muss. Wenn Sie verstehen möchten, welche zehn Maßnahmen dabei als Grundlage gelten, finden Sie diese Erklärung in der Übersicht der Themen nach Situation.
Was eine hilfreiche Antwort verlangt
Eine gute Antwort auf eine Sicherheitsfrageliste ist nicht unbedingt eine Antwort, bei der Sie überall ‚ja' ankreuzen. Aufsichtsbehörden und Kunden achten normalerweise auf Konsistenz: Stimmen Ihre Antworten mit dem überein, was Sie tatsächlich tun, und können Sie das belegen? Eine vage oder zu optimistische Ausfüllung führt langfristig zu mehr Fragen als eine ehrliche Antwort, die einen Verbesserungspunkt mit einem Zeitplan benennt.
Es hilft, drei Dinge pro Frage klar zu haben: Wie die aktuelle Situation aussieht, wer in Ihrer Organisation das bestätigen kann, und welches Nachweisdokument dazu gehört — ein Richtliniendokument, ein Screenshot einer Einstellung, eine Schulungsübersicht. Unternehmen, die diese drei Punkte nicht für jede Frage neu ermitteln müssen, sondern sie bereits in einer laufenden Übersicht dokumentiert haben, können eine Frageliste normalerweise innerhalb einer Stunde ausfüllen statt Tage zu benötigen. Genau dafür ist ein Dossier mit Status, Nachweisdokument und Verantwortlichem pro Maßnahme vorgesehen.
Was Sie nicht tun müssen
Es ist gut zu wissen, dass das Ausfüllen und Absenden dieser Frageliste Ihre eigene Verantwortung bleibt — ein Service kann Ihnen bei der Vorbereitung und Strukturierung von Antworten helfen, darf aber niemals in Ihrem Namen bei einem Kunden oder einer Aufsichtsbehörde einreichen. Auch eine Überwachung, ein Penetrationstest oder eine Zertifizierung ist etwas anderes als das Ausfüllen einer Frageliste; das bleibt Arbeit für spezialisierte Anbieter, falls ein Kunde dies speziell verlangt.
Wenn Sie bezweifeln, dass die Fragen, die Sie erhalten, in einem angemessenen Verhältnis zu Ihrer Größe und Rolle stehen, ist dies ein Gespräch, das Sie am besten direkt mit dem Kunden führen, gegebenenfalls mit einem Juristen, falls die Anforderungen vertraglich festgehalten werden. Secria beschreibt, was die Richtlinie und die nationale Gesetzgebung sagen, urteilt aber nicht über einzelne Verträge.
Weiterlesen
Wenn Sie zunächst wissen möchten, woher diese Informationen stammen und wie sie gepflegt werden, finden Sie dies auf der Seite über die Arbeitsweise der Plattform. Wenn Sie noch keine Vorstellung von Ihrer eigenen Position in der Lieferkette haben, beginnen Sie mit der kostenlosen Überprüfung — diese gibt Ihnen innerhalb weniger Fragen einen Hinweis und einen logischen nächsten Schritt, ohne dass Sie dafür ein Konto benötigen.