Leseprobe · Teil I · Abschnitt 1 · Bevor Sie antworten

Warum Sie gefragt werden, und wie Sie antworten

Der Fragebogen ist keine Behauptung, dass Ihr Betrieb einer Vorschrift unterliegt. Er ist der Versuch des Auftraggebers, einer eigenen Pflicht nachzukommen. Wer das versteht, antwortet gelassener — und ehrlicher.

1.1 Drei Vorschriften, ein Mechanismus

Die NIS2-Richtlinie verlangt von den Einrichtungen, die sie erfasst — Energieversorger, Krankenhäuser, Verkehrsbetriebe, größere Hersteller bestimmter Waren, digitale Dienste und viele mehr —, Maßnahmen zur Sicherheit ihrer Netz- und Informationssysteme. Zu diesen Maßnahmen gehört ausdrücklich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“. Die Einrichtung soll dabei „die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter“ berücksichtigen.

Adressat dieser Sätze ist die Einrichtung, nie der Lieferant. Aber die Einrichtung kann die „spezifischen Schwachstellen“ ihres Lieferanten nur berücksichtigen, wenn sie sie kennt. Daher der Fragebogen. Sie kann seine „Cybersicherheitspraxis“ nur bewerten, wenn er sie beschreibt. Daher die Fragen nach Richtlinie, Sicherung, Updates. Und sie soll Sicherheitsmaßnahmen „in die vertraglichen Vereinbarungen mit ihren direkten Lieferanten“ einbeziehen. Daher die Klauseln.

In Österreich setzt das NISG 2026 diese Anforderung um. Es tritt nach den in der Recherche belegten Angaben am 1. Oktober 2026 in Kraft; erfasste Einrichtungen haben sich zu registrieren und binnen zwölf Monaten eine Selbstdeklaration über ihre Maßnahmen abzugeben, die nach den vorliegenden Auszügen auch Angaben zur Sicherheit der Lieferkette umfasst. Wer diese Angaben machen muss, wird seine Lieferanten vorher befragt haben. Der Wortlaut der einschlägigen Paragrafen konnte für dieses Kit nicht am amtlichen Text gelesen werden — Stand prüfen, siehe Abschnitt 9.

Die zweite Vorschrift ist DORA, die Verordnung über die digitale operationale Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025 für Banken, Versicherungen, Zahlungsdienstleister, Wertpapierfirmen und weitere Finanzunternehmen — und sie schreibt diesen vor, was in jedem Vertrag über IKT-Dienstleistungen stehen muss. Finanzunternehmen dürfen solche Verträge „nur mit IKT-Drittdienstleistern schließen, die angemessene Standards für Informationssicherheit einhalten“. Wer Software, Hosting, IT-Betrieb oder andere digitale Dienste an ein Finanzunternehmen liefert, ist ein solcher Drittdienstleister, unabhängig von seiner Größe.

Die dritte ist der Cyber Resilience Act für Produkte mit digitalen Elementen. Er verpflichtet Hersteller, bei der Einbindung zugekaufter Komponenten Sorgfalt walten zu lassen. Wer als kleiner Software- oder Komponentenlieferant einen Hersteller beliefert, wird deshalb gefragt, wie lange er Updates liefert und wie er Schwachstellen behandelt. Die Herstellerpflichten gelten ab dem 11. Dezember 2027; die Fragen kommen früher.

1.2 Was in den Bögen steht

Einen amtlichen Muster-Lieferantenfragebogen gibt es für keine der drei Vorschriften. Was Auftraggeber verschicken, ist aus vier Quellen zusammengesetzt: den Vertragsanforderungen der Rechtsakte selbst, den Titeln der Norm ISO/IEC 27001 zu Lieferantenbeziehungen, Prüfschemata für kleine Betriebe wie der DIN SPEC 27076 und den Fragebögen der Versicherer. Die Fragen in diesem Kit sind aus genau diesen Quellen zusammengestellt; jede trägt ihre Fundstelle.

Die zwölf Themenfelder des Fragenkatalogs sind: Organisation und Verantwortung; Zugang und Identität; Datensicherung; Notfall und Betriebsfortführung; Updates und Geräteschutz; Vorfälle und Meldung; Personal und Schulung; Unterauftragnehmer; Datenschutz und Verschlüsselung; Nachweise, Prüfrechte und Beendigung; Versicherung; Standort und Daten. Ein Bogen fragt selten alles; die meisten fragen die Hälfte.

1.3 Die drei Antwortstufen

Jede Frage im Katalog hat drei Musterantworten. Die Stufe wählen Sie — ehrlich.

Stufe 1: haben wir. Das Gefragte besteht, ist aufgeschrieben und lässt sich belegen. Die Antwort nennt, was gilt, seit wann, wer zuständig ist und welche Anlage es zeigt.

Stufe 2: teilweise. Ein Teil besteht, ein Teil fehlt. Die Antwort trennt beides klar und nennt für den fehlenden Teil einen Termin.

Stufe 3: noch nicht — mit Termin. Das Gefragte besteht nicht. Die Antwort sagt das, sagt, was stattdessen gilt, und nennt einen Termin, bis zu dem es bestehen wird. Das ist die wichtigste Stufe des Kits: Ein „noch nicht, bis Ende des Quartals“ ist eine vollständige, brauchbare Antwort. Ein „ja“, das nicht stimmt, ist keine.

Dazu kommt nicht anwendbar — für Fragen, die auf Ihre Leistung nicht passen, immer mit dem Grund.

1.4 Ein Betrieb mit acht Beschäftigten

Die folgenden Beispiele stammen von einem erfundenen Installationsbetrieb mit acht Beschäftigten, der Wartungsverträge mit einem Energieversorger hat. Der Versorger hat ihm einen Fragebogen mit 34 Fragen geschickt, Frist vier Wochen. Die Namen sind Platzhalter, wie in den Dateien.

Frage: „Haben Sie eine schriftliche Sicherheitsrichtlinie?“ Der Betrieb hat keine. Es gibt einen Aushang in der Werkstatt, wer den Server-Schrank aufsperren darf, und die Geschäftsführerin richtet alle Konten selbst ein. Stufe 3:

Noch nicht. Es gibt bisher keine schriftliche Richtlinie; in der Praxis richtet nur die Geschäftsführung Konten ein, und der Zugang zum Serverraum ist auf zwei Personen beschränkt. Zuständig ist ab sofort die Geschäftsführung. Wir legen bis 31. Dezember 2026 eine Richtlinie vor.

Frage: „Werden Ihre Daten regelmäßig gesichert, und haben Sie die Wiederherstellung geprüft?“ Die Buchhaltung wird jede Nacht automatisch an einen Anbieter gesichert; die Werkstattdateien liegen auf einem Rechner, der gelegentlich auf eine externe Festplatte kopiert wird; eine Wiederherstellung hat noch niemand versucht. Stufe 2:

Teilweise. Die Buchhaltung wird täglich automatisch gesichert; die Werkstattdateien werden bisher unregelmäßig von Hand gesichert. Wir stellen sie bis 15. November 2026 auf dieselbe automatische Sicherung um. Ein vollständiger Wiederherstellungstest steht aus und ist für den 30. November 2026 angesetzt; das Protokoll reichen wir nach.

Frage: „Melden Sie uns Sicherheitsvorfälle innerhalb von 24 Stunden?“ Der Betrieb hat noch nie einen Vorfall gemeldet und keinen Meldeweg. Die Geschäftsführerin ist aber jederzeit telefonisch erreichbar, und der Bogen nennt eine Kontaktstelle des Versorgers. Stufe 3, aber mit einer Zusage, die der Betrieb halten kann:

Bisher gibt es keinen festgelegten Meldeweg an Kunden. Ab sofort gilt: Vorfälle, die Ihre Systeme oder Daten betreffen könnten, meldet die Geschäftsführung innerhalb von 24 Stunden nach Kenntnis telefonisch an Ihre Kontaktstelle und bestätigt schriftlich. Vertretung und Erreichbarkeit außerhalb der Bürozeiten legen wir bis 31. Oktober 2026 fest und teilen sie Ihnen mit.

Frage: „Führen Sie Zuverlässigkeitsprüfungen für Personen mit Zugriff auf unsere Systeme durch?“ Der Betrieb hat keinen Zugriff auf Systeme des Versorgers; seine Monteure betreten dessen Anlagen mit Besucherausweis. Nicht anwendbar, mit Grund:

Nicht anwendbar: Unsere Beschäftigten haben keinen Zugriff auf Ihre Netz- und Informationssysteme. Sie betreten Ihre Anlagen als angemeldete Besucher nach Ihren Regeln. Sollte sich das ändern, klären wir vorher mit einer Fachperson, welche Prüfung für uns zulässig und sinnvoll ist, und stimmen sie mit Ihnen ab.

Frage: „Besteht eine Cyberversicherung?“ Nein, und der Betrieb hat sich das noch nie überlegt. Stufe 3 — und die Rückfrage, die die Antwort erst brauchbar macht:

Nein, derzeit keine Cyberversicherung. Wir prüfen bis 31. Dezember 2026, ob wir eine abschließen. Falls Sie eine Deckung zur Bedingung machen, bitten wir um Angabe der erwarteten Summe.

Vier der fünf Antworten sind „noch nicht“ oder „teilweise“, und der Betrieb hat gut geantwortet: Der Versorger weiß, wo er steht, wer zuständig ist und wann sich was ändert. Die Termine liegen zwischen sechs Wochen und drei Monaten, keiner in der Urlaubszeit, jeder bei einer Person.

1.5 Was die Antworten tragen muss

Alle fünf Antworten oben stützen sich auf Dinge, die der Betrieb vorher wusste oder an einem Nachmittag feststellen konnte: wer Konten einrichtet, was gesichert wird, wer erreichbar ist, ob es Zugriff auf Kundensysteme gibt, ob eine Police existiert. Das ist kein Zufall. Ein Fragebogen lässt sich nur beantworten, wenn sieben Dinge im Betrieb feststehen: Zuständigkeiten, Sicherung, Zugang, Notfall, Schulung, Unterauftragnehmer, Meldeweg. Sie stehen auf dem Blatt „Vorher aufschreiben“, mit dem Teil II beginnt.