NIS2, TISAX, Kundenfragebogen: dreimal gefragt, einmal belegt
Hersteller und Tier-1 fragen seit Jahren nach Informationssicherheit. Mit dem NISG 2026 kommt für viele Zulieferer eine gesetzliche Pflicht dazu. Wir ordnen die Anforderungen aus Gesetz und Kundenverträgen einer gemeinsamen Nachweisliste zu – damit Sie jede Frage nur einmal beantworten.
Offene Nachweise
Nachweis anhängen- Mehr-Faktor-Anmeldung für FernzugriffRichtlinie + Screenshot · geprüftBelegt
- Wiederherstellungstest ERPProtokoll vom Quartal · IT-PartnerBelegt
- Meldeweg bei SicherheitsvorfällenEntwurf · Freigabe GeschäftsführungIn Arbeit
- Lieferantenbewertung Fernwartungfällig in 3 WochenOffen
Diese vier Punkte hören wir fast immer zuerst
Wenn Sie sich in mindestens zweien wiederfinden, lohnt sich ein Gespräch – auch wenn am Ende herauskommt, dass Sie nichts ändern müssen.
Jeder Kunde fragt anders
Fragebögen in unterschiedlichen Formaten, Portale, Selbstauskünfte, dazu Audits. Inhaltlich überschneiden sie sich stark – beantwortet werden sie trotzdem jedes Mal von vorn.
TISAX ist nicht NIS2
Ein TISAX-Label deckt viel ab, aber nicht die gesetzlichen Pflichten: Registrierung, Meldung an das CSIRT, Selbstdeklaration, die Rolle der Geschäftsführung.
Die Linie darf nicht stehen
Bei eng getakteter Anlieferung bedeutet ein Ausfall von Stunden Lieferverzug. Notfallplanung ist hier kein Formular, sondern Lieferfähigkeit.
Niemand hat den Hut auf
Die Qualitätsabteilung kennt Audits, aber nicht Informationssicherheit. Die IT ist ausgelagert. Wer koordiniert das Ganze – und bis wann?
Genau hier setzen wir an
Wer Kraftwagen oder Kfz-Teile herstellt, steht in Anlage 2 des NISG 2026 – und bekommt von Herstellern und Tier-1 zusätzlich eigene Anforderungen. Wir bringen beides auf eine gemeinsame Nachweisliste.
Eine Nachweisliste für alle
Anforderungen aus dem NISG 2026, dem TISAX-Katalog und Ihren Kundenfragebögen werden gemeinsamen Maßnahmen zugeordnet. Neue Anfragen beantworten Sie aus dem Bestand.
Notfallplan für Lieferfähigkeit
Welche Systeme brauchen Sie, um liefern zu können, wie schnell sind sie wieder da, wer entscheidet? Geprobt in einer Tabletop-Übung, nicht nur aufgeschrieben.
Ein Plan für IT und Qualität
Wir sprechen die Sprache Ihres IT-Dienstleisters und Ihrer Qualitätsabteilung – und halten beide auf demselben Plan mit denselben Terminen.
NIS2 betrifft Ihre Branche direkt
Die Herstellung von Kraftwagen und Kraftwagenteilen steht in Anlage 2 des NISG 2026. Ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme sind Sie in aller Regel wichtige Einrichtung – und als Lieferant zusätzlich von Ihren Kunden gefragt.
Fahrzeugbau im NISG 2026
Anlage 2 des NISG 2026 erfasst die Herstellung von Kraftwagen und Kraftwagenteilen, bezeichnet als Abschnitt C, Abteilung 29 der NACE. Dazu gehört auch die Herstellung von Teilen und Zubehör für Kraftwagen. Zulieferer, deren Haupttätigkeit dort liegt, sind ab 50 Beschäftigten oder mit mehr als 10 Mio. € Umsatz und Bilanzsumme wichtige Einrichtungen. Anders sieht es aus, wenn ein Zulieferer vor allem Metall bearbeitet oder Kunststoffteile spritzt: Dann entscheidet der jeweilige NACE-Abschnitt, und diese stehen nicht in den Anlagen. Wer Elektronik oder elektrische Ausrüstung fertigt, ist über die Abteilungen 26 und 27 wiederum erfasst. Die Zuordnung der Haupttätigkeit ist deshalb der erste und wichtigste Schritt.
Was TISAX abdeckt – und was nicht
TISAX ist das Prüf- und Austauschverfahren der Automobilindustrie auf Basis des VDA-ISA-Katalogs, der sich an ISO/IEC 27001 anlehnt. Wer ein Label hat, hat den größten Teil der technischen und organisatorischen Maßnahmen bereits umgesetzt. Nicht abgedeckt sind die gesetzlichen Pflichten: die Registrierung beim Bundesamt für Cybersicherheit, die Meldung erheblicher Vorfälle binnen 24 Stunden, 72 Stunden und einem Monat, die Selbstdeklaration und die ausdrückliche Verantwortung der Geschäftsführung nach § 31. Außerdem kann der Geltungsbereich eines Labels enger sein als das, was das Gesetz erfasst – etwa ein einzelner Standort statt des ganzen Unternehmens.
Warum Notfallplanung hier anders zählt
In einer Lieferkette mit knapp getakteter Anlieferung ist ein Ausfall kein IT-Problem, sondern ein Lieferproblem. Die Maßnahmen zur Aufrechterhaltung des Betriebs – Backup, Wiederherstellung, Krisenmanagement – sollten deshalb von der Lieferfähigkeit her gedacht werden: Welche Systeme braucht der Versand? Wie wird ohne ERP kommissioniert? Wer informiert den Kunden, und wann? Diese Fragen gemeinsam mit Geschäftsführung, Produktion und IT durchzuspielen, zeigt in wenigen Stunden mehr Lücken als jede Richtlinie.
Drei Anfragen, eine Antwort
Typisches Szenario: Kfz-Teile-Hersteller, 140 Mitarbeitende
Ausgangslage
Zwei Fragebögen von Fahrzeugherstellern und eine Selbstauskunft eines Tier-1 innerhalb eines Quartals, dazu die Frage der Geschäftsführung, ob man selbst unter das NISG 2026 fällt. Jede Anfrage bearbeitete eine andere Person.
Unsere Lösung
Einstufung als wichtige Einrichtung bestätigt, die Anforderungen aller drei Anfragen und des Gesetzes in einer Nachweisliste zusammengeführt, Lücken nach Risiko priorisiert und mit Terminen hinterlegt.
Ergebnis
Die Anfragen wurden aus demselben Bestand beantwortet. Neue Fragebögen beginnen nicht mehr bei null, und die Selbstdeklaration hat ihre Grundlage.
Konstruiertes, anonymisiertes Szenario zur Veranschaulichung – keine benannte Kundenreferenz.
Antworten auf das, was Sie sich gerade fragen
Noch offene Punkte? Schreiben Sie uns – wir antworten ehrlich und ohne Verkaufsdruck.
Nicht automatisch. Technisch und organisatorisch ist vieles abgedeckt; die gesetzlichen Pflichten wie Registrierung, Meldewege, Selbstdeklaration und die Schulung der Geschäftsführung kommen dazu. Mit Label ist der Weg aber deutlich kürzer.
Direkt meist nicht, wenn Sie auch nach Umsatz und Bilanzsumme unter den Schwellen liegen und nicht zu einer Gruppe gehören. Indirekt fast sicher: Ihre Kunden müssen die Sicherheit ihrer Lieferkette gewährleisten und geben Anforderungen an Sie weiter.
Für einen Zulieferer mit 20 bis 100 Mitarbeitenden rechnen wir mit vier bis acht Wochen bis zu einem belegt beantworteten Fragebogen. Die vollständige Umsetzung als wichtige Einrichtung dauert länger und wird in der Gap-Analyse geplant.