Zum Hauptinhalt springen
NIS2 Service
NIS2 Service – Startseite
§ 30 Abs. 2 Nr. 4 BSIG

Der NIS2-Lieferantenfragebogen

Nicht möglichst viele Fragen, sondern die richtigen — gestaffelt nach Kritikalität, mit Nachweis dort, wo es zählt.

Die kurze Antwort

Der Umfang eines Lieferantenfragebogens richtet sich nach der Kritikalität des Lieferanten, nicht nach dessen Größe. Zehn Dienstleister mit Fernzugang sind eine Liste, zweihundert sind ein Prozess — und ein einheitlicher Bogen für beide Fälle liefert in keinem davon eine belastbare Aussage.

Vor der ersten Frage steht deshalb das Verzeichnis: Welche Anbieter haben Zugriff auf Systeme oder Daten? Genau dort fehlen erfahrungsgemäß die kleinen Dienstleister mit dauerhaftem Wartungszugang.

Drei Stufen, drei Fragenumfänge

Stufe 1 — geringe Kritikalität

Wer darunter fällt
Kein Zugriff auf Systeme oder Daten, leicht ersetzbar
Umfang
Selbstauskunft, wenige Fragen

Fragen

  • Gibt es eine benannte Verantwortung für Informationssicherheit?
  • Besteht ein Meldeweg für Sicherheitsvorfälle mit Auswirkung auf uns?
  • Werden Beschäftigte regelmäßig zu Informationssicherheit geschult?

Stufe 2 — mittlere Kritikalität

Wer darunter fällt
Zugriff auf Daten oder zeitweiser Systemzugang, mit Aufwand ersetzbar
Umfang
Fragebogen mit Nachweisanforderung bei Kernthemen

Fragen

  • Wie sind Zugänge zu unseren Systemen abgesichert — Mehr-Faktor, eigene Konten je Person?
  • Wie schnell informieren Sie uns über einen Sicherheitsvorfall, und an wen?
  • Wie werden Schwachstellen behandelt, mit welchen Fristen je Kritikalität?
  • Welche Unterauftragnehmer sind eingebunden, und wie werden sie geprüft?
  • Wie werden unsere Daten gesichert, und wann wurde eine Wiederherstellung zuletzt getestet?

Stufe 3 — hohe Kritikalität

Wer darunter fällt
Dauerhafter Systemzugang, Verarbeitung sensibler Daten, kurzfristig nicht ersetzbar
Umfang
Nachweise, Vertragsanlage, Wiederholungsprüfung, Auditrecht

Fragen

  • Legen Sie ein gültiges Zertifikat oder einen Prüfbericht vor — mit Geltungsbereich, nicht nur mit Logo?
  • Deckt der Geltungsbereich tatsächlich die für uns erbrachte Leistung ab?
  • Wie ist die Wiederanlaufzeit für unsere Leistung definiert, und wurde sie geübt?
  • Welche Meldefristen sichern Sie uns vertraglich zu?
  • Räumen Sie uns ein Prüfrecht ein, und wie wird es praktisch ausgeübt?
  • Wie wird bei Vertragsende mit unseren Daten und Zugängen verfahren?

Diese Fragen sind ein praxistauglicher Ausgangspunkt, keine abschließende Liste. Was im Einzelfall angemessen ist, hängt von Branche, Datenlage und Abhängigkeit ab.

Sechs Fehler, die den Aufwand verdoppeln

Ein Fragebogen für alle

Der kleine Dienstleister mit Fernzugang bekommt dieselben 120 Fragen wie der Rechenzentrumsbetreiber. Ergebnis: schlecht ausgefüllte Bögen und keine Aussage.

Fragen ohne Nachweis

„Verfügen Sie über ein ISMS?" mit Ja/Nein-Antwort belegt nichts. Bei kritischen Lieferanten gehört ein Beleg dazu — und die Prüfung, ob dessen Geltungsbereich passt.

Zertifikat ohne Geltungsbereich

Ein ISO-27001-Zertifikat kann sich auf einen einzigen Standort oder eine einzige Abteilung beziehen. Ohne Blick in den Geltungsbereich sagt es über Ihre Leistung nichts aus.

Einmal prüfen und nie wieder

§ 30 Abs. 2 Nr. 4 BSIG verlangt Sicherheit in der Lieferkette als Dauerpflicht. Eine Prüfung bei Vertragsschluss ist ein Startpunkt, kein Prozess.

Antworten ohne Konsequenz

Wenn eine schlechte Antwort nichts auslöst, ist der Fragebogen Beschäftigungstherapie. Vorab festlegen, was bei welchem Befund passiert.

Der eigene Fernzugang fehlt im Verzeichnis

Geprüft werden die großen Anbieter, übersehen wird der Wartungszugang des Maschinenlieferanten. Angriffe nehmen den bequemsten Weg.

Die Leistungsseite zur Lieferkettensicherheit beschreibt das Vorgehen. Die Pflicht selbst steht im Zusammenhang der zehn Maßnahmenbereiche nach § 30 BSIG.

Häufige Fragen

Verlangt NIS2 einen Lieferantenfragebogen?
§ 30 Abs. 2 Nr. 4 BSIG verlangt Maßnahmen zur Sicherheit der Lieferkette einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Ein bestimmtes Instrument schreibt das Gesetz nicht vor. Der Fragebogen hat sich durchgesetzt, weil er dokumentiert — entscheidend ist aber, dass eine Bewertung stattfindet und dass sie Folgen hat.
Müssen alle Lieferanten NIS2-konform sein?
Nein. Die Pflicht trifft Sie, nicht Ihre Lieferanten. Sie müssen die Sicherheit Ihrer Lieferkette steuern — also wissen, welche Anbieter kritisch sind, deren Sicherheitsniveau bewerten und angemessene Anforderungen vertraglich vereinbaren. Ob ein Lieferant selbst unter das BSIG fällt, ist davon unabhängig.
Wie viele Fragen sind sinnvoll?
So wenige wie möglich und so viele wie nötig — gestaffelt nach Kritikalität. Drei bis fünf Fragen für unkritische Anbieter, ein mittlerer Bogen für die Mehrheit, Nachweise und Vertragsanlage nur für die wenigen wirklich kritischen. Ein einheitlicher Bogen mit hundert Fragen erzeugt Rücklaufquoten, mit denen niemand arbeiten kann.
Wie beantworten wir Fragebögen unserer eigenen Kunden?
Mit einem gepflegten Antwortpaket statt Einzelfallbearbeitung. Wenn zu jedem der zehn Maßnahmenbereiche des § 30 BSIG eine belastbare Kurzantwort samt Beleg vorliegt, lassen sich die meisten Bögen daraus bedienen. Das spart nicht nur Zeit, sondern verhindert vor allem widersprüchliche Angaben gegenüber verschiedenen Kunden — der Punkt, an dem es unangenehm wird.
Was, wenn ein kritischer Lieferant schlecht abschneidet?
Dann brauchen Sie eine dokumentierte Entscheidung, keine Ablage. Möglich sind Nachbesserung mit Frist, kompensierende Maßnahmen auf Ihrer Seite — etwa engere Zugänge und zusätzliche Überwachung —, bewusste Risikoakzeptanz durch die Geschäftsleitung oder der Wechsel. Nicht möglich ist, den Befund unbeantwortet zu lassen: Das ist schlechter als gar nicht zu fragen, weil Sie das Risiko dann nachweislich kannten.

Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Praktische Handreichung, keine abschließende oder rechtsverbindliche Vorlage.

Lieferantenverzeichnis aufbauen — oder Fragebögen beantworten

Beide Richtungen gehören zusammen: Wer seine eigene Kette steuert, kann auch die Fragen seiner Kunden belastbar beantworten.

Lieferkettensicherheit ansehen