Kurz gesagt
Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist. Es verpflichtet rund 30.000 Unternehmen und Einrichtungen in Deutschland zu Sicherheitsmaßnahmen, darunter die Sicherheit ihrer Lieferkette. Deshalb landet der Fragebogen bei Ihnen, auch wenn Ihr Betrieb selbst unter keiner Schwelle liegt. Gefragt wird meist nach Mehrfaktor-Anmeldung, Updates, getesteter Sicherung, Erkennung von Angriffen, dem Umgang mit Vorfällen und einem Zuständigen. Dazu kommt eine Vertragsklausel mit Meldepflicht innerhalb von 24 Stunden und Prüfrecht. Der beste Umgang: ehrlich antworten, Lücken mit Plan und Preis versehen, Nachweise beilegen, wo sie stimmen, und die Klausel so verhandeln, dass Sie sie halten können. Das meiste davon hat ein sauber betriebener IT-Betrieb ohnehin.
Was seit Dezember 2025 gilt
Die europäische NIS-2-Richtlinie sollte bis Oktober 2024 in deutsches Recht umgesetzt sein. Deutschland hat über ein Jahr länger gebraucht: Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 5. Dezember 2025 verkündet und gilt seit dem 6. Dezember 2025. Es ändert vor allem das BSI-Gesetz. Eine Übergangsfrist gibt es nicht; die Pflichten gelten seit dem ersten Tag.
Drei Zahlen zeigen, wo das Land ein Jahr später steht:
30.000Einrichtungen, die nach Schätzung des BSI unter das Gesetz fallen, vorher rund 4.500 KRITIS-Betreiber6. März 2026Ende der gesetzlichen Registrierungsfrist; bis dahin hatten sich rund 11.500 registriert31. Juli 2026Nachfrist des BSI; danach über 19.000 Registrierungen, das BSI behält sich Bußgelder vorDas heißt für Sie als Zulieferer: Rund ein Drittel der betroffenen Unternehmen hat sich noch nicht einmal registriert. Die Fragebögen, die jetzt bei Ihnen ankommen, stammen von den anderen zwei Dritteln. Die Welle ist also nicht vorbei, sie hat gerade erst angefangen. Wer einen Fragebogen heute gut beantworten kann, hat die Vorlage für die nächsten fünf.
Wer betroffen ist, und wer nur mittelbar
Ob ein Unternehmen selbst unter das Gesetz fällt, hängt von Sektor und Größe ab. Die Sektoren stehen in zwei Anlagen zum Gesetz: Energie, Verkehr, Finanzen, Gesundheit, Wasser und Abwasser, IT und Telekommunikation, Weltraum (Anlage 1) sowie Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe wie Maschinenbau, Fahrzeugbau, Elektronik und Medizinprodukte, digitale Dienste und Forschung (Anlage 2). Dazu die Größe:
| Einstufung | Mitarbeiter | oder Umsatz und Bilanzsumme | Bußgeldrahmen |
|---|---|---|---|
| Besonders wichtige Einrichtung | ab 250 | über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme | bis 10 Mio. € oder 2 % des weltweiten Umsatzes |
| Wichtige Einrichtung | ab 50 | über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme | bis 7 Mio. € oder 1,4 % des weltweiten Umsatzes |
| Darunter | nicht betroffen, außer in Sonderfällen wie Vertrauensdiensten, DNS oder Telekommunikation | keiner, aber der Kunde fragt |
Ein Handwerksbetrieb mit zwölf Mitarbeitern, ein Ingenieurbüro mit dreißig, ein Steuerbüro, ein Softwarehaus mit zwanzig Leuten: alle unter der Schwelle. Betroffen sind sie trotzdem, nur anders. Wer an ein Werk mit 300 Mitarbeitern liefert, dessen Maschinen wartet, dessen Software betreut oder dessen Gebäude reinigt und dafür Zugang zu Systemen oder Daten hat, ist Teil der Lieferkette dieses Werks. Und für die Lieferkette haftet das Werk.
Warum der Fragebogen bei Ihnen landet
§ 30 des BSI-Gesetzes zählt zehn Bereiche auf, in denen betroffene Einrichtungen Maßnahmen treffen müssen. Nummer 4 heißt „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“. Das Wort „unmittelbar“ ist wichtig: Gemeint sind die direkten Vertragspartner. Ihr Kunde muss wissen, wie es um Ihre IT-Sicherheit steht, nicht um die Ihres Papierlieferanten. Sie wiederum müssen es von Ihrem IT-Dienstleister wissen, wenn die Klausel das verlangt. Darum geht die Kette weiter.
Ein betroffenes Unternehmen kann diese Pflicht nur erfüllen, wenn es seine Lieferanten bewertet. Die meisten tun das in drei Stufen:
| Stufe | Wer | Was der Kunde will |
|---|---|---|
| A, kritisch | Lieferanten mit Zugang zu Systemen oder Daten: IT-Dienstleister, Softwareanbieter, Cloud-Anbieter, Wartungsfirmen mit Fernzugriff | Fragebogen jährlich, Vertragsklausel, Nachweise, Meldung von Vorfällen |
| B, relevant | Lieferanten, deren Ausfall die Produktion trifft: Komponentenlieferanten, Logistik, Energie | Fragebogen alle zwei bis drei Jahre, Klausel zur Verfügbarkeit |
| C, unkritisch | Büromaterial, Kantine, Reinigung ohne Systemzugang | meist nichts |
Wenn der Fragebogen bei Ihnen liegt, hat Ihr Kunde Sie in Stufe A oder B eingeordnet. Das ist zunächst ein Kompliment: Sie sind wichtig genug, dass Ihr Ausfall auffallen würde. Und weil Einkäufer keine IT-Prüfer sind, fragen sie mit einem standardisierten Bogen und einer Vertragsklausel aus der Rechtsabteilung. Beides kann man gut oder schlecht beantworten.
Was üblicherweise gefragt wird
Die Fragebögen unterscheiden sich im Umfang, von zwei Seiten bis zu achtzig Fragen. Die Themen sind fast immer dieselben, weil sie aus denselben zehn Bereichen des Gesetzes stammen:
| Thema | Typische Frage | Was dahinter steckt |
|---|---|---|
| Zugriffsschutz | Nutzen Sie Mehrfaktor-Anmeldung für Fernzugriffe, E-Mail und Administratoren? | Gestohlene Passwörter sind der häufigste Einstieg für Angriffe |
| Updates | Wie schnell spielen Sie Sicherheitsupdates ein, und wer überwacht das? | Bekannte Lücken, die offen bleiben |
| Sicherung | Sichern Sie regelmäßig, getrennt vom Netz, und testen Sie die Wiederherstellung? | Ob Sie nach einem Verschlüsselungsangriff wieder liefern können |
| Erkennung | Erkennen Sie Angriffe auf Ihren Geräten, und wer reagiert? | Endgeräteschutz, Protokollierung, jemand der hinsieht |
| Vorfälle | Haben Sie einen Ablauf für Sicherheitsvorfälle, und melden Sie uns Vorfälle, die uns betreffen, innerhalb von 24 Stunden? | Ihr Kunde muss dem BSI binnen 24 Stunden melden und braucht Ihre Information dafür |
| Verantwortung | Wer ist bei Ihnen für Informationssicherheit zuständig, mit Name und Vertretung? | Ein Name, keine Abteilung |
| Schulung | Werden Ihre Mitarbeiter zu Phishing und sicherem Verhalten geschult, wie oft? | Cyberhygiene ist einer der zehn Bereiche im Gesetz |
| Verschlüsselung | Sind Notebooks und Datenträger verschlüsselt, E-Mails mit unseren Daten geschützt? | Verlorene Geräte, abgefangene Nachrichten |
| Dienstleister | Wer betreibt Ihre IT, und was steht in dem Vertrag? | Die Kette geht weiter; der Kunde will wissen, ob Ihr Dienstleister die Punkte oben abdeckt |
| Nachweise | Haben Sie eine Zertifizierung, einen Sicherheitscheck, ein Audit? | ISO 27001 wird gefragt, aber bei kleinen Zulieferern selten verlangt; ein Bericht reicht meist |
Was selten gefragt wird, aber auch im Gesetz steht: Krisenmanagement und Notfallpläne. Wer darauf vorbereitet ist, schreibt es dazu, auch ungefragt. Es hebt den Bogen von den anderen ab.
Was in der Vertragsklausel steht, und was Sie unterschreiben können
Mit dem Fragebogen kommt meist ein Nachtrag zum Liefervertrag. Fünf Klauseln tauchen fast immer auf. Zu jeder die Frage, ob Sie sie halten können:
Sicherheitsanforderungen
„Der Auftragnehmer hält anerkannte Standards wie ISO 27001 oder IT-Grundschutz ein.“ Vorsicht: Wer kein Zertifikat hat, sollte „orientiert sich an“ statt „hält ein“ vereinbaren, oder die konkreten Maßnahmen aus dem Fragebogen als Anlage benennen. Dann steht im Vertrag, was Sie wirklich tun.
Prüfrecht
„Der Auftraggeber darf die Einhaltung durch Audit, Einsicht in Prüfberichte oder Fragebögen prüfen.“ Unterschreibbar, wenn die Reihenfolge stimmt: erst Fragebogen und Bericht, Audit vor Ort nur bei begründetem Anlass und mit Ankündigung. Das akzeptiert fast jeder Einkauf.
Meldung von Vorfällen in 24 Stunden
Die Klausel ist berechtigt, weil Ihr Kunde selbst binnen 24 Stunden ans BSI melden muss. Halten können Sie sie nur, wenn jemand den Vorfall überhaupt bemerkt. Das setzt Endgeräteschutz und jemanden voraus, der die Alarme liest. Ohne das unterschreiben Sie etwas, das Sie nicht leisten können.
Weitergabe an Unterauftragnehmer
„Der Auftragnehmer verpflichtet seine Unterauftragnehmer auf vergleichbare Anforderungen.“ Ihr wichtigster Unterauftragnehmer ist Ihr IT-Dienstleister. Fragen Sie ihn, ob er die Punkte aus dem Bogen schriftlich bestätigt. Wenn er zögert, wissen Sie, wo Ihre Lücke ist.
Personal
„Personal mit Zugang zu Systemen oder Daten ist geschult und zuverlässig.“ Unterschreibbar mit einer jährlichen Schulung und einem Blatt, auf dem steht, wer Zugang zu den Daten des Kunden hat.
Was Sie nicht unterschreiben sollten: unbegrenzte Haftung für Sicherheitsvorfälle, Audits ohne Ankündigung und Fristen, die kürzer sind als die Ihres eigenen Dienstleisters. Lassen Sie die Klausel im Zweifel von Ihrem Anwalt lesen; wir beurteilen die Technik, nicht das Vertragsrecht.
Wie Sie antworten sollten
Ehrlich
Ein Fragebogen mit lauter Ja ist unglaubwürdig, und im Schadensfall wird er gegen Sie gelesen. Ein Nein mit Plan und Datum ist für den Einkauf das Zeichen, dass Sie das Thema ernst nehmen. Einkäufer vergleichen Bögen; die ehrlichen fallen positiv auf.
Mit Nachweis
Wo Sie eine Anforderung erfüllen, legen Sie etwas bei: den Betreuungsvertrag mit Leistungsschein, den Bericht des letzten Sicherheitschecks, das Protokoll des letzten Restore-Tests, die Teilnehmerliste der letzten Schulung. Ein Nachweis ersetzt zehn Sätze.
Mit Preis
Wo Sie eine Anforderung nicht erfüllen, kennen Sie den Aufwand, sie zu erfüllen. Dann können Sie entscheiden, ob der Kunde das wert ist. Meistens ist er es, und meistens ist der Aufwand kleiner als befürchtet, weil die Hälfte der Punkte Betrieb ist, kein Projekt.
Mit Ansprechpartner
Nennen Sie eine Person bei sich und eine bei Ihrem IT-Dienstleister, mit Durchwahl. Der Einkauf will wissen, wen er anruft, wenn etwas ist. Eine Sammeladresse ist keine Antwort.
Als Vorlage
Bewahren Sie die Antworten mit den Nachweisen in einem Ordner auf. Der nächste Fragebogen kommt, und er fragt zu 80 Prozent dasselbe. Einmal im Jahr aktualisieren, dann ist jeder weitere Bogen ein Nachmittag.
Welche Nachweise wir Ihnen liefern
Für Betriebe, die wir betreuen, liefern wir die Nachweise zu den technischen Fragen mit. Die Zuordnung:
| Frage im Bogen | Was wir beilegen | Leistung |
|---|---|---|
| Updates und Überwachung | Leistungsschein mit Patch-Management, Auszug aus der Überwachung | Managed Service |
| Erkennung und Reaktion | Bestätigung Endgeräteschutz mit Lizenz auf allen Geräten, Reaktionsweg | Endgeräteschutz, SIEM |
| Sicherung und Wiederherstellung | Sicherungskonzept nach 3-2-1 und Protokoll des letzten Restore-Tests | Managed Backup |
| Mehrfaktor-Anmeldung | Bestätigung, dass Mehrfaktor für Microsoft 365, Fernzugriff und Administratoren aktiv ist | Microsoft 365 |
| Firewall und Fernzugriff | Beschreibung der Firewall-Betreuung und der VPN-Zugänge | Firewall |
| Schulung | Teilnehmerliste und Inhalte der letzten Mitarbeiterschulung | Schulung |
| Gesamtbild | Bericht des IT-Sicherheitschecks mit priorisierter Liste | Sicherheitscheck |
| Dienstleister | Unser Vertrag mit Auftragsverarbeitung nach Art. 28 DSGVO und Betriebshaftpflicht 3 Mio. € | So arbeiten wir |
Für Betriebe, die wir noch nicht betreuen, gibt es den NIS2-Lieferketten-Workshop: ein halber Tag, in dem wir den Fragebogen gemeinsam durchgehen, jede Frage mit Ist-Zustand beantworten und für jede Lücke Aufwand und Preis nennen. Sie gehen mit einem beantworteten Bogen und einer Lückenliste zurück zum Kunden. Preis: 1.900 € netto, bei Beauftragung innerhalb von drei Monaten angerechnet.
Falls Sie doch selbst betroffen sind
Wer in einem der Sektoren arbeitet und über 50 Mitarbeiter oder über 10 Mio. € Umsatz und Bilanzsumme liegt, sollte die Betroffenheit prüfen; das BSI stellt dafür eine Online-Prüfung bereit. Dann gilt deutlich mehr als ein Fragebogen:
- Registrierung beim BSI, Frist war der 6. März 2026, Nachfrist 31. Juli 2026. Wer noch nicht registriert ist, holt es nach; das Bußgeld für die unterlassene Registrierung liegt bei bis zu 500.000 €.
- Maßnahmen in zehn Bereichen nach § 30 BSIG: Risikoanalyse, Umgang mit Vorfällen, Sicherung und Krisenmanagement, Lieferkette, sichere Beschaffung und Entwicklung, Wirksamkeitsprüfung, Schulung und Cyberhygiene, Verschlüsselung, Zugriffskontrolle und Personal, Mehrfaktor-Anmeldung.
- Meldung erheblicher Vorfälle ans BSI: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
- Pflichten der Geschäftsleitung nach § 38 BSIG: die Maßnahmen billigen, ihre Umsetzung überwachen, regelmäßig an Schulungen teilnehmen. Bei Verletzung haftet die Geschäftsleitung der Einrichtung gegenüber; ein Verzicht darauf ist unwirksam.
Was wir dafür anbieten, steht auf der Leistungsseite NIS2. Die Technik aus der Tabelle oben ist auch hier der größte Teil; dazu kommen Dokumentation, Prozesse und die Registrierung.
Selbsttest in sieben Fragen
- Ist die Mehrfaktor-Anmeldung für E-Mail, Fernzugriff und alle Administratorkonten aktiv?
- Wer spielt Sicherheitsupdates ein, und wie schnell nach Erscheinen?
- Gibt es eine Sicherung außer Haus, die vom Server aus nicht löschbar ist, und ein Protokoll des letzten Restore-Tests?
- Läuft auf jedem Gerät ein Endgeräteschutz, und liest jemand die Alarme, auch am Freitagnachmittag?
- Könnten Sie einen Vorfall innerhalb von 24 Stunden an Ihren Kunden melden, mit dem, was passiert ist und was betroffen ist?
- Steht auf einem Blatt, wer bei Ihnen für IT-Sicherheit zuständig ist, mit Vertretung?
- Hat Ihr IT-Dienstleister die Punkte oben schriftlich bestätigt?
Sieben Mal ja: Beantworten Sie den Bogen an einem Nachmittag und legen Sie die Nachweise bei. Drei Mal nein: Das ist ein Workshop und zwei bis drei Wochen Umsetzung. Fünf Mal nein: Rufen Sie an, bevor der Kunde die Frist setzt.
Standpunkt von MintCode Solutions
Unsere Einschätzung
Die Anforderungen aus den Fragebögen sind zum größten Teil das, was ein sauberer IT-Betrieb ohnehin hat: Mehrfaktor, Updates, getestete Sicherung, Endgeräteschutz, Schulung, jemand der hinsieht. Wer das hat, beantwortet den Fragebogen an einem Nachmittag und unterschreibt die Klausel mit zwei Änderungen. Wer es nicht hat, sollte es wegen des nächsten Angriffs nachholen, nicht wegen des Fragebogens. Der Fragebogen ist nur der Anlass, der ein Datum liefert.
Und noch etwas: Die Fragebögen werden nicht weniger. Ein Drittel der betroffenen Unternehmen ist noch nicht einmal registriert; wenn diese nachziehen, fragen sie ihre Lieferanten als Erstes. Wer heute einen guten Ordner mit Antworten und Nachweisen hat, gewinnt damit in den nächsten Jahren Ausschreibungen gegen Mitbewerber, die noch überlegen, was Mehrfaktor-Anmeldung ist.
Quellen
- Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Art. 21 Abs. 2 Buchst. d: Sicherheit der Lieferkette; Art. 23: Berichtspflichten
- NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, verkündet am 5. Dezember 2025, in Kraft seit 6. Dezember 2025; Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) in der Fassung ab 6. Dezember 2025, §§ 28 (Einrichtungen), 30 (Risikomanagementmaßnahmen), 32 (Meldepflichten), 33 (Registrierung), 38 (Pflichten der Geschäftsleitung), 65 (Bußgeld)
- Bundesamt für Sicherheit in der Informationstechnik, NIS-2-Betroffenheitsprüfung und Registrierung, Nachfrist bis 31. Juli 2026: bsi.bund.de
- Registrierungsstand (rund 11.500 zum 6. März 2026, über 19.000 nach der Nachfrist, rund 30.000 erwartet): BDO, „Sechs Monate NIS-2-Umsetzungsgesetz“, Juni 2026: bdo.de; ZfK, „NIS2: BSI setzt Nachfrist“: zfk.de
- Überblick zu Fristen und Pflichten: Rechtsanwalt Ferner, „Frist für die NIS-2-Registrierung 2026“, 20. Februar 2026: ferner-alsdorf.de
- Die Stufen A/B/C und die fünf Vertragsklauseln sind gängige Praxis aus Lieferantenbewertungen, kein Gesetzestext; Formulierungen variieren je Kunde
Stand: 6. Oktober 2026. Rechtsfragen zu Vertragsklauseln klären Sie bitte mit Ihrem Anwalt; dieser Artikel beschreibt die Technik und die Praxis.
