NIS2 und Ihre Lieferkette: was Kunden jetzt von Ihnen wissen wollen
Wenn Sie diesen Text lesen, hat Ihnen wahrscheinlich ein Kunde einen Fragebogen zur Informationssicherheit geschickt, oder Ihre Versicherung will wissen, wie Ihre IT abgesichert ist. Sie selbst fallen vermutlich nicht unter NIS2 — Ihr Kunde schon, und er muss seine Lieferkette absichern. Damit landet die Frage bei Ihnen.
Auf dieser Seite steht, worum es dabei tatsächlich geht, welche Themen in solchen Fragebögen auftauchen und was davon technisch bei uns liegt, wenn wir Ihre IT betreuen. Das ist eine fachliche Einordnung und keine Rechtsberatung — für die verbindliche Beurteilung, ob und wie Sie betroffen sind, brauchen Sie einen Anwalt oder Ihren Verband.
Betroffen oder mitbetroffen
Wer direkt betroffen ist
Das NIS2-Umsetzungsgesetz gilt für Unternehmen ab etwa 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz, sofern sie in einem der 18 im Gesetz genannten Sektoren tätig sind. In Deutschland geht es um rund 29.500 Einrichtungen, die künftig unter Aufsicht des BSI stehen. Diese Zahlen stammen aus Fachpublikationen, nicht aus dem Gesetzestext selbst — für Ihre eigene Beurteilung nehmen Sie das Gesetz und die Hinweise des BSI, nicht diese Seite.
Warum es Sie trotzdem trifft
Zu den Pflichten der betroffenen Unternehmen gehört ausdrücklich die Sicherheit der Lieferkette. Ein Betrieb, der unter das Gesetz fällt, muss die Risiken bei seinen Lieferanten und Dienstleistern bewerten und sie vertraglich zu Sicherheitsmaßnahmen verpflichten. Praktisch heißt das: Sie bekommen einen Fragebogen, eine Anlage zum Vertrag oder ein Audit — nicht weil Sie reguliert sind, sondern weil Ihr Kunde es ist. Dasselbe Muster kennen Sie von Cyberversicherungen, die Fragen zu Backup, Mehrfaktor-Anmeldung und Schulungen stellen, bevor sie eine Police anbieten.
Und wenn Sie selbst betroffen sind
Dann geht es nicht nur um Technik, sondern auch um Registrierung beim BSI, Meldewege für erhebliche Sicherheitsvorfälle und Nachweispflichten. Die gesetzliche Registrierungsfrist ist nach Angabe des BSI bereits abgelaufen; wer betroffen ist und sich noch nicht registriert hat, soll das unverzüglich nachholen. Der organisatorische Teil ist Ihre Aufgabe, den technischen können wir übernehmen — und wir sagen Ihnen offen, wo unsere Zuständigkeit endet.
Die Themen im Fragebogen — und wer sie verantwortet
Die Fragebögen sind unterschiedlich lang, fragen aber immer dieselben Dinge ab. Hier stehen sie mit dem, was bei uns liegt, wenn wir Ihre IT betreuen — und mit dem, was bei Ihnen bleibt.
Sicherung und Wiederherstellung
Nicht die Frage, ob gesichert wird, sondern ob eine Wiederherstellung geprüft ist und wie lange sie dauert. Wir planen die Sicherung nach der Wiederherstellungszeit, prüfen die Läufe und holen testweise zurück, so dass die Dauer aus Messung bekannt ist und nicht geschätzt. Auf Wunsch schreiben wir die ausgelagerte Kopie unveränderbar mit Object Lock für eine festgelegte Frist — in dieser Zeit auch mit gestohlenen Administratorrechten nicht löschbar.
Zugriffskontrolle und Mehrfaktor-Anmeldung
Wer hat welche Rechte, wie werden Passwörter verwaltet, ist ein zweiter Faktor im Einsatz. Den Passwortmanager richten wir ein und betreiben ihn; welche Konten einen zweiten Faktor bekommen und wer im Haus welche Rechte braucht, entscheiden Sie — wir setzen es um und dokumentieren es.
Netztrennung und Perimeter
Ob das interne Netz in Bereiche geteilt ist und wer den Verkehr zwischen ihnen kontrolliert. Das Regelwerk der Firewall liegt bei uns, Änderungen laufen über Ticket und werden mit dem Grund dokumentiert — genau das ist es, was ein Auditor sehen will.
Erkennung und Reaktion auf Vorfälle
Ob Störungen und Auffälligkeiten überhaupt bemerkt werden und wie schnell jemand reagiert. Überwachung von Servern, Netz und Diensten ist Teil der Betreuung, die Reaktionszeiten stehen im Vertrag statt in einer Absichtserklärung. Meldepflichten gegenüber Behörden bleiben Ihre Aufgabe; wir liefern die technischen Angaben dafür.
Schulung der Mitarbeiter
Ob es Sicherheitsschulungen gibt und ob sie nachweisbar sind. Unsere Security-Awareness-Schulung läuft fortlaufend über eine E-Learning-Plattform mit Auswertung, also mit einem Nachweis, den man vorlegen kann.
Bestandsverzeichnis und Schwachstellen
Ob bekannt ist, welche Geräte, Systeme und Lizenzen im Einsatz sind, und ob Updates verantwortet werden. Inventarisierung und Dokumentation sind Teil der Betreuung; Lizenzen laufen weiter über Sie, wir verwalten sie und melden, wenn etwas ausläuft.
Wo die Daten liegen
Eine Standardfrage in jedem Fragebogen, und eine, bei der viele Dienstleister ausweichen müssen. Unsere ausgelagerte Sicherung liegt auf eigener Hardware in einem Rechenzentrum in Deutschland — nicht bei einem Hyperscaler und nicht in einem Land, über das Sie dann eine Erklärung schreiben müssen. Wo darüber hinaus Dienste Dritter beteiligt sind, stehen sie in unserer Liste der Unterauftragnehmer.
Eigene Unterauftragnehmer
Wen Sie einschalten und wer Ihre Daten sieht. Unsere eigenen Unterauftragnehmer stehen öffentlich auf dieser Website — dieselbe Transparenz, die Ihr Kunde von Ihnen erwartet.
Wo unsere Zuständigkeit endet
Wir verkaufen keine NIS2-Zertifizierung, und es gibt sie in dieser Form auch nicht. Was wir tun können, ist der technische Teil: die Maßnahmen umsetzen, betreiben und so dokumentieren, dass Sie die Fragen belegen können statt sie zu behaupten. Was wir nicht tun: die rechtliche Beurteilung Ihrer Betroffenheit, die Registrierung beim BSI, die Meldung von Vorfällen an Behörden und die Verantwortung der Geschäftsleitung, die das Gesetz ausdrücklich dort verankert.
Wenn Sie einen Fragebogen vor sich haben: schicken Sie ihn uns. Wir sagen Ihnen, welche Punkte mit Ihrer heutigen IT beantwortbar sind, welche nicht, und was die Lücken zu schließen kostet. Das ist ein konkretes Gespräch mit einem Dokument auf dem Tisch und kein Vortrag über Gesetzeslagen.
Passt dazu
Backup und Datensicherung — Wiederherstellung geprüft, ausgelagerte Kopie auf Wunsch unveränderbar.
Managed Firewall — Regelwerk bei uns, Änderungen über Ticket und dokumentiert.
Cyber Awareness — fortlaufende Schulung mit Auswertung, also mit Nachweis.
Reaktionszeiten — vertraglich zugesagt statt in Aussicht gestellt.
Fragebogen auf dem Tisch? Sprechen wir darüber
Wir sehen uns Ihre Ausgangslage an und sagen Ihnen, was sinnvoll ist und was nicht. Sie sprechen dabei direkt mit einem Techniker aus Chemnitz.