Mittelbar betroffen: wenn der Kunde den NIS2-Fragebogen schickt
Sie fallen nicht unter NIS2, Ihr größter Kunde schon. Dann kommt ein Fragebogen. Wie Sie ihn beantworten, ohne sich zu verbiegen.
Viele mittelständische Unternehmen haben die NIS2-Diskussion mit Erleichterung verfolgt: zu klein, falscher Sektor, nicht betroffen. Dann kommt eine E-Mail vom wichtigsten Kunden mit einem Fragebogen zur Informationssicherheit, 40 Fragen, Frist in zwei Wochen.
Warum der Fragebogen kommt
NIS2 verpflichtet die erfassten Einrichtungen, auch die Sicherheit ihrer Lieferkette zu berücksichtigen (Art. 21 Abs. 2 lit. d der Richtlinie). Ihre Kunden müssen also wissen, wie belastbar ihre Zulieferer und Dienstleister sind. Der Fragebogen ist ihr Weg, das nachzuweisen. Er ist kein Misstrauensvotum, sondern eine Pflicht, die Ihr Kunde an Sie weitergibt.
Die typischen Fragen
Die meisten Fragebögen kreisen um dieselben Themen:
- Gibt es ein Notfallkonzept, und wann wurde es zuletzt getestet?
- Wie schnell können Sie nach einem Ausfall wieder liefern?
- Wie werden Sicherheitsvorfälle gemeldet, und an wen?
- Wer hat Zugriff auf Systeme und Daten des Kunden?
- Wie sind Backups organisiert, und sind sie vom Produktivsystem getrennt?
Drei Fehler, die ich oft sehe
Alles mit Ja beantworten. Das wirkt im ersten Moment gut, wird aber spätestens beim nächsten Audit Ihres Kunden zum Problem, wenn Nachweise verlangt werden.
Jede Anfrage neu beantworten. Wer mehrere Kunden hat, bekommt mehrere Fragebögen mit ähnlichen Fragen in anderer Formulierung. Ohne eine zentrale Sammlung von Antworten und Nachweisen kostet das jedes Mal Tage.
Lücken verschweigen. Eine ehrliche Antwort mit Maßnahmenplan überzeugt mehr als eine geschönte. „Ein Wiederanlauftest ist für das zweite Quartal geplant“ ist eine gute Antwort.
Was Sie vorbereiten sollten
Legen Sie eine Antwortbibliothek an: kurze, belegbare Aussagen zu Notfallplanung, Backup, Zugriffen und Meldewegen, jeweils mit dem Nachweis dazu. Damit wird aus jedem neuen Fragebogen eine Aufgabe von Stunden statt von Tagen.
Und wenn eine Frage Sie ins Stocken bringt, ist das ein guter Hinweis darauf, wo Ihre eigene Resilienz noch Lücken hat. Unabhängig davon, ob ein Gesetz Sie dazu zwingt.