Der NIS2-Fragebogen Ihres größten Kunden: Acht Seiten, drei Wochen Frist — und kein Wort davon steht im Gesetz

Die E-Mail kommt aus dem Einkauf Ihres größten Kunden. Angehängt: ein Sicherheitsfragebogen, acht Seiten, drei Wochen Rückgabefrist, und am Ende eine Unterschriftszeile für die Geschäftsführung. Seit das deutsche NIS2-Umsetzungsgesetz am 6. Dezember 2025 in Kraft trat, landen diese Bögen bei Zulieferern, die selbst weit unter allen Schwellen liegen. Die kurze Antwort vorweg: Fast nichts in diesem Fragebogen ist eine gesetzliche Pflicht von Ihnen. Er ist der Nachweis Ihres Kunden, nicht Ihre Verpflichtung — und dieser Unterschied ist Geld wert.

Dieser Beitrag liest den Fragebogen so, wie er entstanden ist: von der Vorschrift her, die Ihr Kunde erfüllen muss, nicht vom Formular her, das angekommen ist. Was Paragraf 30 Absatz 2 Nummer 4 BSIG tatsächlich verlangt, warum die schärfste Formulierung eine Ebene höher in Artikel 21 Absatz 3 der Richtlinie steht, welche Passagen vor der Unterschrift zurück auf den Tisch des Kunden gehören — und wie die ehrliche Antwort zu dem Argument wird, das Sie auf der Lieferantenliste hält.

Was Paragraf 30 Absatz 2 Nummer 4 BSIG verlangt — ein Halbsatz

Die Vorschrift, die in fast jedem Anschreiben zitiert wird, ist Paragraf 30 Absatz 2 Nummer 4 BSIG, die deutsche Umsetzung der NIS2-Richtlinie. Ihr vollständiger Wortlaut zur Lieferkette lautet: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.“ Das ist alles — ein Halbsatz in einer Aufzählung von zehn Risikomanagementmaßnahmen. Er nennt keinen Fragebogen, kein Audit, keine Frequenz, keine Mindestzahl an Fragen und keine Zertifizierung.

Zwei weitere Normen bilden den Rahmen, in dem Ihr Kunde arbeitet. Die erste ist die Verhältnismäßigkeitsklausel in Paragraf 30 Absatz 1 Satz 2: Die Maßnahmen müssen zur Risikoexposition der Einrichtung passen, zu ihrer Größe, zu den Umsetzungskosten und zu Eintrittswahrscheinlichkeit und Schwere von Vorfällen. Ein Werkzeugbauer mit sechzig Beschäftigten schuldet damit ein anderes Paket als ein Logistikkonzern. Die zweite steht eine Ebene höher, in Artikel 21 Absatz 3 der Richtlinie selbst: Einrichtungen müssen die Schwachstellen berücksichtigen, die jedem einzelnen unmittelbaren Anbieter eigen sind, sowie die Gesamtqualität der Produkte und Cybersicherheitspraktiken ihrer Lieferanten einschließlich deren sicherer Entwicklungsverfahren. Das ist die schärfste Formulierung des Regimes — und auch sie sagt nichts darüber, auf welchem Weg die Bewertung zu Ihnen gelangt.

Ein dritter Text erklärt, warum manche Bögen härter aussehen als andere. Die Durchführungsverordnung (EU) 2024/2690 der Kommission buchstabiert technische und methodische Anforderungen im Detail — bindet aber nur Anbieter digitaler Dienste: DNS, Cloud, Rechenzentren, Managed Service und Security Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke. Ein Maschinenbauer oder Kunststofflieferant fällt nicht darunter. Wenn der Bogen, den Sie erhalten haben, sich wie die Durchführungsverordnung liest, hat Ihr Kunde vermutlich eine Vorlage für IT-Dienstleister kopiert — gut zu wissen, bevor Sie Zeile für Zeile beantworten.

Warum Ihr Kunde keine Wahl hat

Der Fragebogen existiert, weil die Pflicht Ihres Kunden eine persönliche ist, keine abteilbare. Paragraf 38 BSIG legt Umsetzung und Überwachung der Risikomanagementmaßnahmen auf die Leitungsorgane und verlangt deren eigene regelmäßige Schulung — darum nennt die Unterschriftszeile am Ende des Bogens einen Geschäftsführer und keinen Projektleiter. Dahinter steht der Sanktionsrahmen, unter dem Ihr Kunde steht: Paragraf 65 BSIG sieht für Verstöße gegen die Risikomanagementpflichten bis zu zehn Millionen Euro für besonders wichtige und bis zu sieben Millionen für wichtige Einrichtungen vor; die Zwei-Prozent-Umsatzregel greift erst oberhalb von fünfhundert Millionen Euro Gesamtumsatz.

Die Arithmetik erklärt das Timing. Zum 30. Juni 2026 zählte das BSI 17.729 registrierte Einrichtungen gegenüber einer legislativen Schätzung von rund 30.000, und die Registrierten arbeiten jetzt den Maßnahmenkatalog ab — die Lieferkette ist Nummer vier von zehn. Jede regulierte Einrichtung, die diesen Punkt erreicht, schickt dasselbe Dokument nach unten, an Zulieferer, die selbst weit unter jeder Schwelle liegen. Die Fragebogen-Welle, die in diesem Herbst durch den deutschen Mittelstand läuft, ist kein Auditprogramm; sie sind zehntausend Unternehmen, die gleichzeitig denselben Halbsatz erfüllen.

Was in den Bögen steht — und wo das Gesetz tatsächlich sitzt

Die Formulare ähneln sich, weil sie die zehn Maßnahmenbereiche des Paragraf 30 Absatz 2 spiegeln. Legt man die typischen Blöcke neben ihre gesetzliche Verankerung, wird sichtbar, wie viel Norm darin steckt und wie viel Formulierungswahl des Kunden:

Das Muster der Tabelle: Die Blöcke sind real, der verpflichtete Gegenstand ist immer Ihr Kunde. Keiner der zehn Bereiche des Paragraf 30 Absatz 2 gilt unmittelbar für Sie, wenn Sie selbst keine wichtige oder besonders wichtige Einrichtung sind. Was Sie bindet, ist die Vertragsklausel, die mit dem Fragebogen kommt — darum ist der Anhang wichtiger als das Formular.

Die vier Passagen, die vor der Unterschrift zurückgehen sollten

Fragebogen und Vertragsanhang reisen zusammen, und im Anhang wird aus einer Auskunftsübung eine Haftungsfrage. Vier Formulierungen kehren wieder, die das Gesetz nicht verlangt und die Sie verhandeln können, ohne den Auftrag zu gefährden:

Uneingeschränkte Audit-Rechte. Eine Klausel, die dem Kunden Audits jederzeit und auf Ihre Kosten einräumt, geht über alles hinaus, was Paragraf 30 verlangt. Vertretbar ist: Audits mit angemessener Vorankündigung, zur Geschäftszeit, in Begleitung, und im Umfang begrenzt auf die Systeme, die Daten oder Lieferungen des Kunden berühren. Alles Weitere ist Einkaufsbaustein, nicht NIS2.

Meldefristen in Stunden. Die 24-Stunden-Frühwarnung des Paragraf 32 BSIG läuft von der regulierten Einrichtung ans BSI. Eine Klausel, die Sie verpflichtet, jeden Vorfall — oder jeden möglichen Vorfall — binnen 24 Stunden zu melden, importiert eine Frist, die Sie an einem Samstag vielleicht nicht halten können. Üblich und sachlich vertretbar sind Fenster von 24 bis 72 Stunden für Vorfälle, die den Kunden berühren können; unterschreiben Sie, was Sie halten können.

Haftung für den Vorfall des Kunden. Manche Anhänge schieben die Folgen des regulatorischen Verstoßes des Kunden auf den Zulieferer oder machen ihn für jeden Vorfall in der Umgebung des Kunden haftbar. Ihr Verantwortungsbereich endet an Ihren Systemen und Ihren Lieferungen. Eine Haftungsklausel, die darüber hinausgreift, macht den Anhang von einem Nachweis zu einer Versicherung — zum Preis null, getragen von Ihnen.

Zertifizierung als Bedingung. Wo ein Bogen ISO 27001 oder IT-Grundschutz zur harten Bedingung macht, übersteigt er das Gesetz: Die Verhältnismäßigkeitsklausel existiert gerade dafür, dass einem Vierzig-Mann-Betrieb kein Konzern-Managementsystem abverlangt wird. Das Gegenangebot, das meist trägt, sind dokumentierte Maßnahmen plus Selbsteinschätzung — die Lieferketten-Hilfestellung des BSI nennt ein ISMS eine geeignete Grundlage, nicht die einzig zulässige.

Antworten, ohne ein ISMS aus dem Boden zu stampfen

Die Arbeitsreihenfolge, die den Aufwand bei Tagen statt Monaten hält:

Die Versuchung, überall Ja anzukreuzen, ist verständlich und falsch. Der Fragebogen wird nicht benotet wie eine Prüfung; er wird abgelegt als Nachweis Ihres Kunden, dass seine Zulieferer bewertet wurden. Ein ehrlicher Bogen mit drei benannten Lücken und drei datierten Maßnahmen liest sich als beherrschbares Risiko. Ein makelloser Bogen eines Vierzig-Mann-Betriebs liest sich als das, was er meistens ist.

Der Teil, der zum Vorteil wird

Ihre Wettbewerber halten dasselbe Formular. Die Bewertung, die Ihr Kunde über die Antworten laufen lässt, ist eine Sortierung: Zulieferer landen in den Stapeln dokumentiert, teilweise dokumentiert und nicht bewertbar — und diese Reihenfolge fließt in die nächste Vergabeentscheidung. Wer eine saubere, belegte, ehrlich begrenzte Antwort zurückschickt, steigt auf einer Liste, auf der seine Wettbewerber gerade leise abrutschen — ohne einen Euro für ein Zertifikat, das gesetzlich niemand gefordert hat.

Der Effekt zweiter Ordnung reicht weiter. Sobald Ihre Antworten als dokumentierter Satz existieren, kostet jeder spätere Fragebogen Stunden statt Tage, und dieselbe Datei beantwortet den Sicherheitsanhang, den Cyber-Versicherungsantrag und den Ausschreibungsabschnitt zur Informationssicherheit. Die Arbeit ist nicht die Last der Compliance eines einzelnen Kunden; einmal ordentlich gemacht, ist sie ein Vertriebsmittel.

Was diese Woche auf Ihren Tisch gehört

Drei Aufgaben, keine davon braucht einen externen Dienstleister:

Wer nur eines aus diesem Beitrag mitnimmt: Der Fragebogen auf Ihrem Tisch ist die gesetzliche Pflicht Ihres Kunden auf dem Weg nach unten, nicht Ihre. Sie schulden eine ehrliche, belegte Antwort — und nichts im Gesetz hindert Sie daran, sie zur besten auf dem Tisch Ihres Kunden zu machen.

Häufige Fragen zum NIS2-Fragebogen aus der Lieferkette