NIS2-Fragebogen vom Kunden erhalten: So antworten Zulieferer richtig
Beantworten Sie einen NIS2-Fragebogen nicht aus dem Stegreif. Ordnen Sie jede Frage zuerst einer Anforderung zu, prüfen Sie, was im Betrieb tatsächlich umgesetzt ist, und legen Sie zu jeder Antwort einen Nachweis bei. Ein ehrliches „teilweise, umgesetzt bis …“ mit Plan überzeugt mehr als ein „ja“ ohne Beleg – und schützt Sie, wenn der Kunde später nachprüft.
Warum Ihr Kunde fragt
Unternehmen, die unter das NISG 2026 fallen, müssen unter anderem die Sicherheit ihrer Lieferkette gewährleisten. Das können sie nur, wenn sie wissen, wie ihre Lieferanten und Dienstleister arbeiten. Der Fragebogen ist also keine Schikane, sondern Teil der Pflichten Ihres Kunden. Das heißt auch: Er wird wiederkommen, bei diesem Kunden jährlich und bei anderen Kunden in ähnlicher Form.
Die Themen, die fast immer vorkommen
Die Formulierungen unterscheiden sich, die Themen kaum: Mehr-Faktor-Anmeldung, Backup und geprüfte Wiederherstellung, Umgang mit Updates, getrennte Administratorkonten, ein Ansprechpartner und Ablauf bei Sicherheitsvorfällen, Zugriffsrechte, Schulung der Belegschaft, Fernwartungszugänge von Dienstleistern und Verschlüsselung. Wer diese zehn Punkte sauber belegen kann, besteht die meisten Fragebögen.
Schritt für Schritt: Anforderung, Maßnahme, Nachweis
Legen Sie eine Liste mit vier Spalten an: die Frage beziehungsweise Anforderung, die Maßnahme im Betrieb, den Nachweis und den Status. Gehen Sie jede Frage durch. Wo eine Maßnahme fehlt, planen Sie sie mit Termin. Wo sie existiert, aber nicht belegt ist, schaffen Sie den Beleg – ein Protokoll des letzten Wiederherstellungstests, eine Richtlinie, eine Teilnahmeliste. Am Ende hat jede Antwort einen Verweis. Diese Liste ist zugleich Ihre Vorlage für den nächsten Fragebogen.
Analyse1 Woche
Jede Frage einer Anforderung zuordnen, Bestand mit dem IT-Dienstleister aufnehmen.
Schnelle Verbesserungen2 Wochen
Mehr-Faktor-Anmeldung, geprüftes Backup, getrennte Admin-Konten – was fast jeder Fragebogen zuerst prüft.
Dokumente & Notfallplan3 Wochen
Leitlinie, Kerndokumente, Notfall- und Meldeplan, auf den Betrieb zugeschnitten.
Schulung & Nachweise1 Woche
Awareness-Schulung mit Teilnahmeliste, Nachweise zu jeder Antwort sammeln.
Übergabe1 Woche
Beantworteter Fragebogen mit Belegen, bereit für den Kunden.
Gesamt: 8 Wochen
Richtwerte für einen Betrieb mit 20 bis 100 Mitarbeitenden. Bei knapper Frist lässt sich priorisieren – dazu mehr unten.
Die häufigsten Fehler
Erstens: zu schnell „ja“ ankreuzen. Ein Kunde, der nachprüft und eine falsche Angabe findet, verliert Vertrauen – und je nach Vertrag wird es haftungsrelevant. Zweitens: Antworten ohne Belege. Drittens: den IT-Dienstleister nicht einbinden, obwohl er die Hälfte der technischen Fragen beantworten muss. Viertens: die Frist unterschätzen, weil der Fragebogen harmlos aussieht. Fünftens: mehr versprechen, als der Betrieb durchhalten kann – etwa Reaktionszeiten, die niemand abdecken kann.
Wenn die Frist zu knapp ist
Priorisieren Sie die Punkte, die fast jeder Kunde als Mindeststandard sieht: Mehr-Faktor-Anmeldung, Backup, Admin-Konten, Notfallkontakt. Beantworten Sie den Rest ehrlich mit Umsetzungsstand und Termin. Und sprechen Sie mit Ihrem Kunden: Ein Lieferant, der einen glaubwürdigen Plan mit Datum vorlegt, wird selten aussortiert – einer, der schweigt oder schönfärbt, schon eher.
Häufige Fragen
Sind wir verpflichtet, den Fragebogen zu beantworten?
Gesetzlich meist nicht, wenn Sie selbst nicht betroffen sind. Vertraglich und geschäftlich oft schon – der Kunde darf seine Lieferanten nach Sicherheitskriterien auswählen.
Reicht eine ISO-27001-Zertifizierung als Antwort?
Oft deckt sie einen großen Teil ab und wird gern akzeptiert. Prüfen Sie trotzdem, ob der Fragebogen Punkte enthält, die über den Geltungsbereich Ihres Zertifikats hinausgehen.
Was, wenn wir keine eigene IT haben?
Dann beantwortet Ihr externer IT-Dienstleister die technischen Fragen mit. Klären Sie früh, wer welche Nachweise liefert – das ist der häufigste Grund für Verzögerungen.
Fragebogen auf dem Tisch?
Das Lieferanten-Paket beantwortet ihn prüfbar in vier bis acht Wochen – mit den Maßnahmen und Nachweisen dahinter. Fixpreis ab 2.900 €.
Zum Lieferanten-PaketWeiterlesen
Bin ich von NIS2 betroffen? Das Prüfschema in sechs Schritten
Sektor, Größe, Konzern, Sonderfälle, Lieferkette – in dieser Reihenfolge prüfen und am Ende eine von vier Einstufungen haben.
NISG 2026: Was sich am 1. Oktober ändert – und was nicht
Wer betroffen ist, welche Fristen gelten und was Unternehmen jetzt tun müssen – ohne Panikmache.
Was kostet eine Website? Ein ehrlicher Überblick für Österreich
Von 0 € im Baukasten bis fünfstellig – warum die Spanne so groß ist und woran Sie erkennen, was Sie brauchen.