Im Einkauf liegt eine Mail vom Kunden: „Lieferantenselbstauskunft Informationssicherheit“, dazu ein Excel-Formular mit 60 Fragen und der Bitte um Rücksendung in vier Wochen. Seit das NISG 2026 am 1. Oktober in Kraft getreten ist, bekommen viele Zulieferer in Oberösterreich solche Post, auch Betriebe, die selbst gar nicht unter NIS2 fallen. Hier steht, warum das so ist, was in diesen Fragebögen typischerweise steht und wie Sie damit umgehen.
Warum Ihr Kunde nach Ihrer IT-Sicherheit fragt
Unternehmen, die unter das NISG 2026 fallen, müssen nach § 32 Maßnahmen für ihre Cybersicherheit treffen. Dazu gehört ausdrücklich die Sicherheit der Lieferkette, also auch die Frage, wie gut ihre unmittelbaren Lieferanten und Dienstleister abgesichert sind. Ein Maschinenbauer, ein Fahrzeugbauer oder ein Energieversorger muss deshalb wissen, wie es um die IT seiner Zulieferer steht.
Die Wirtschaftskammer beschreibt das so: Der Kunde legt vertraglich fest, welche Sicherheitsvorgaben seine Zulieferer je nach Risiko erfüllen müssen, und verlangt Nachweise dafür. Der Fragebogen ist meist der erste Schritt. Für Sie heißt das: Sie haben keine eigene Registrierungspflicht, solange Ihr Betrieb nicht selbst in den Anlagen des Gesetzes steht. Welche Branchen das sind, steht im Beitrag über die Sektoren nach NISG 2026. Die Anforderungen Ihrer Kunden kommen trotzdem.
Was in einem NIS2-Fragebogen für Zulieferer meistens steht
Jeder Kunde hat sein eigenes Formular, aber die Themen ähneln sich, weil sie sich an den Maßnahmen aus dem Gesetz orientieren. Diese Fragen kommen fast immer:
- Gibt es eine Mehr-Faktor-Anmeldung für E-Mail, Fernzugang und Administratorkonten?
- Wie oft wird gesichert, liegt eine Kopie getrennt vom Firmennetz, und wurde die Wiederherstellung schon einmal getestet?
- Werden Updates für Windows, Server und Firewall regelmäßig eingespielt? Gibt es noch Systeme ohne Herstellersupport?
- Welcher Virenschutz läuft, und wer reagiert auf Warnungen?
- Wer hat Administratorrechte, und wie wird der Zugang beim Austritt eines Mitarbeiters gesperrt?
- Wie greifen Sie und Ihre Dienstleister von außen auf das Netz zu?
- Gibt es einen Notfallplan, und innerhalb welcher Zeit informieren Sie den Kunden bei einem Sicherheitsvorfall?
- Werden die Mitarbeiter zu Phishing und IT-Sicherheit geschult?
- Wie werden Daten des Kunden gespeichert, übertragen und verschlüsselt?
- Haben Sie eine Zertifizierung, zum Beispiel ISO 27001 oder in der Autoindustrie TISAX?
Für einen Produktionsbetrieb kommen oft noch Fragen zu Maschinen und Steuerungen dazu: ob alte Rechner an den Anlagen vom Büronetz getrennt sind und wer per Fernwartung auf die Maschinen zugreift. Wie das in der Praxis aussieht, steht auf der Seite IT für Gießereien und Metallverarbeitung.
So beantworten Sie den Fragebogen
Die größte Versuchung ist, überall „Ja“ anzukreuzen. Davon raten wir ab. Der Fragebogen kann Teil des Vertrags werden, und spätestens bei einem Vorfall oder einem Audit schaut jemand nach, ob es stimmt.
- Legen Sie fest, wer im Betrieb zuständig ist, und holen Sie Ihren IT-Betreuer früh dazu. Die meisten Fragen sind technisch.
- Beantworten Sie jede Frage so, wie es heute ist, nicht wie es sein sollte.
- Wo die Antwort „Nein“ oder „teilweise“ lautet, schreiben Sie dazu, was Sie bis wann umsetzen. Ein konkreter Plan wirkt besser als ein geschöntes Ja.
- Sammeln Sie Nachweise, die Sie wiederverwenden können: eine kurze Beschreibung der Sicherung, den Stand der Mehr-Faktor-Anmeldung, den Notfallplan, Schulungsnachweise.
- Bewahren Sie Ihre Antworten auf. Der nächste Kunde fragt fast dasselbe, und dann sind Sie in einer Stunde fertig statt in einer Woche.
Vorsicht bei Vertragsklauseln
Manche Kunden schicken mit dem Fragebogen gleich eine Sicherheitsvereinbarung oder neue Einkaufsbedingungen. Darin stehen zum Beispiel Fristen, innerhalb derer Sie einen Sicherheitsvorfall melden müssen, Rechte des Kunden auf Audits oder Pflichten zur Weitergabe an Ihre eigenen Lieferanten. Prüfen Sie vor der Unterschrift, ob Sie das tatsächlich einhalten können, auch am Wochenende. Die rechtliche Seite gehört zu Ihrem Anwalt, die technische Machbarkeit klären wir gern mit Ihnen.
Braucht es ein Zertifikat?
Meistens nicht. Für viele Kunden reicht ein ehrlich beantworteter Fragebogen mit ein paar Nachweisen. Einige verlangen mehr: ein Zertifikat nach ISO 27001, in der Autoindustrie häufig TISAX, oder ein Rating. In Österreich nennt die Wirtschaftskammer dafür das Cyber Risk Rating des Kuratoriums Sicheres Österreich, mit dem sich Lieferanten nach einem festen Schema bewerten lassen. Fragen Sie Ihren Kunden, was er genau braucht, bevor Sie Geld in eine Zertifizierung stecken.
Was wir als IT-Betreuer dabei machen
Bei unseren Kunden beantworten wir die technischen Fragen aus dem Fragebogen auf Basis dessen, was in ihrer IT wirklich umgesetzt ist. Vieles davon läuft bei uns ohnehin mit: Mehr-Faktor-Anmeldung, eine Sicherung mit Kopie in der DATACREW Cloud in Buchkirchen, die Überwachung von Firewall und Domänencontroller und eine Phishing-Schulung für die Mitarbeiter. Wo etwas fehlt, setzen wir es um, und Sie können dem Kunden einen Termin nennen. Was dafür technisch nötig ist, beschreibt die Seite NIS2 technisch umsetzen, Beispiele aus der Praxis finden Sie unter Referenzen.
Wenn bei Ihnen gerade ein Fragebogen auf dem Tisch liegt, melden Sie sich. Wir gehen ihn mit Ihnen durch.
Quellen
- NISG 2026 im Rechtsinformationssystem des Bundes, § 32 Risikomanagementmaßnahmen
- WKO: Sicherheit der Lieferkette nach NIS2