Was ändert sich im Vertrag mit Ihrem Auftraggeber
Ein Auftraggeber, der selbst unter die NIS2-Sorgfaltspflicht fällt — ein Krankenhaus, ein Energieversorgungsunternehmen, ein großes Logistikzentrum — muss nachweisen können, dass Risiken in der eigenen Lieferkette erfasst sind. Installationsbetriebe befinden sich häufig mitten in dieser Kette, nicht weil sie selbst verpflichtet sind, sondern weil sie physischen und digitalen Zugang zum Gebäude und den Systemen des Auftraggebers haben. Genau deshalb konzentrieren sich die Vertragsbedingungen, denen Sie in nächster Zeit begegnen, auf Zugang: wer darf hinein, mit welchen Mitteln, und was kann diese Person von dort aus erreichen.
Der Kern ist einfach zu verstehen, ohne den Gesetzeswortlaut selbst zu lesen: ein Auftraggeber darf Sie fragen, wie Sie verhindern, dass ein Schlüssel, ein Ausweis oder eine Wartungsverbindung zur Eingangstür für jemand anderen wird. Die genaue Formulierung unterscheidet sich von Auftraggeber zu Auftraggeber, aber die zugrunde liegende Frage ist bei fast jedem dieselbe.
Was ein verpflichteter Auftraggeber genau fragt
Die NIS2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen, Risiken bei Lieferanten zu bewerten — das ist der Kern der Sorgfaltspflicht gemäß Artikel 21. Diese Verpflichtung wird in der Praxis in drei Arten von Anforderungen übersetzt, die bei Installationsbetrieben wiederkehren: Anforderungen an Personen (wer darf in Ihrem Namen vor Ort kommen), Anforderungen an Mittel (wie werden Schlüssel, Ausweise und Arbeitscheine verwaltet) und Anforderungen an Verbindungen (wie wird sich ferngesteuert in Gebäudesysteme eingeloggt). Keine dieser Anforderungen steht wörtlich so in der Richtlinie; es sind praktische Auslegungen, die Auftraggeber selbst wählen, um ihre eigene Sorgfaltspflicht zu erfüllen.
Wenn Sie nicht sicher sind, ob Ihr Auftraggeber hierzu selbst verpflichtet ist, können Sie das überprüfen über eine kurze Überprüfung, die zeigt, wer in der Kette betroffen ist. Das hilft, das Gespräch mit dem Auftraggeber besser einzuordnen: ist dies eine Verpflichtung, die von dort kommt, oder eine eigenständige Entscheidung ihrer Einkaufsabteilung.
Zugang zu Gebäuden: Schlüssel, Ausweise und Gebäudeleitsysteme
Bei physischem Zugang geht es oft um drei Fragen, die in Verträgen wiederkehren: wird eine Schlüssel- oder Ausweiserfassung pro Mitarbeiter gepflegt, wird dieser Zugang sofort entzogen, wenn jemand das Projekt verlässt oder das Unternehmen, und gibt es ein festes Verfahren zur Anmeldung von Unterauftragnehmern, die in Ihrem Namen vor Ort kommen. Für Installationsbetriebe, die mit wechselnden Monteuren und Unterauftragnehmern arbeiten, ist dies oft der Bereich, in dem die meisten Anpassungen erforderlich sind — nicht weil es technisch kompliziert ist, sondern weil es einfach noch nicht festgehalten war.
Gebäudeleitsysteme — die Systeme, die Heizung, Beleuchtung, Aufzüge oder Zugangskontrollen steuern — bilden eine separate Kategorie. Ein Auftraggeber möchte oft wissen, ob das Passwort eines solchen Systems nach Abnahme geändert wurde, wer die Anmeldedaten verwaltet, und ob ein altes Passwort aus einem früheren Projekt wiederverwendet wurde. Das ist kein übertriebenes Misstrauen: Gebäudeleitsysteme sind genau die Art von Systemen, bei denen eine Störung nicht in einer IT-Abteilung bleibt, sondern im Gebäude selbst sichtbar wird.
Zugang zu Systemen: Fernwartung und Wartungsverbindungen
Wenn Installationsbetriebe ferngesteuert überwachen oder Wartungen durchführen — über eine VPN-Verbindung, ein teamviewer-ähnliches Tool oder eine feste IP-Adresse, die Zugang erhält — möchte der Auftraggeber normalerweise wissen, wie diese Verbindung gesichert ist, ob sie nach der Nutzung beendet wird, und wer in Ihrem Unternehmen Zugang zu dieser Verbindung hat. Dies betrifft direkt die Zugriffskontrolle innerhalb Ihrer eigenen Organisation: eine Verbindung, die von jedem im Team ohne Protokoll oder Zeitlimit verwendet werden kann, ist genau die Art von Antwort, bei der ein Sicherheitsfragebogen ins Stocken gerät.
Die Themen, die damit verbunden sind — von der Passwortrichtlinie bis zum Widerruf des Zugangs bei Personalaustritte — sind übersichtlich beschrieben in der Übersicht der Themen nach Situation, sodass Sie nicht in der vollständigen Richtlinie nach dem für Sie relevanten Abschnitt suchen müssen.
Was Sie jetzt schon vorbereiten können
Auch ohne dass bereits ein konkreter Vertrag vorliegt, ist es sinnvoll zu wissen, welche Schlüssel, Ausweise und Verbindungen derzeit bei laufenden Projekten aktiv sind, und ob diese Erfassung aktuell ist. Das ist keine juristische Arbeit, sondern Verwaltungsaufgabe, und es ist genau die Art von Nachweismaterial, das ein Auftraggeber später anfordern kann. Wenn Sie unsicher sind, ob eine bestimmte Anforderung in einem Entwurf angemessen ist oder über das von der Sorgfaltspflicht gerechtfertigte Maß hinausgeht, ist das eine Frage für einen Juristen oder — bei Unsicherheit über die Verpflichtung des Auftraggebers selbst — für die Aufsichtsbehörde — secria.eu bereitet die zugrunde liegende Dokumentation vor, bewertet aber keine einzelnen Verträge.
Möchten Sie zunächst sehen, wie secria.eu diese Art von Fragen unterstützt, von der ersten Überprüfung bis zu den Vorlagen für einen Fragebogen? Auf die Seite, die erklärt, woher die Informationen stammen ist der Aufbau der Plattform Schritt für Schritt dargestellt, und die am häufigsten gestellten Fragen zu Rolle und Verpflichtung beantwortet vergleichbare Fragen von anderen Installationsbetrieben.
Wenn Sie neugierig sind, ob Ihre eigene Situation in der Lieferkette liegt und was das konkret für die Verträge bedeutet, die Sie unterzeichnen, ist die kostenlose NIS2-Überprüfung ein logischer erster Schritt, genau wie die Wissensdatenbank, die ohne Konto zugänglich ist.