Lieferanten-Antwortkit

Warum Sie gefragt werden, und wie Sie antworten

Der Fragebogen ist keine Behauptung, dass Ihr Betrieb einer Vorschrift unterliegt. Er ist der Versuch des Auftraggebers, einer eigenen Pflicht nachzukommen. Wer das versteht, antwortet gelassener — und ehrlicher.

Die NIS2-Richtlinie verlangt von den Einrichtungen, die sie erfasst — Energieversorger, Krankenhäuser, Verkehrsbetriebe, größere Hersteller bestimmter Waren, digitale Dienste und viele mehr —, Maßnahmen zur Sicherheit ihrer Netz- und Informationssysteme. Zu diesen Maßnahmen gehört ausdrücklich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“. Die Einrichtung soll dabei „die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter“ berücksichtigen.

Adressat dieser Sätze ist die Einrichtung, nie der Lieferant. Aber die Einrichtung kann die „spezifischen Schwachstellen“ ihres Lieferanten nur berücksichtigen, wenn sie sie kennt. Daher der Fragebogen. Sie kann seine „Cybersicherheitspraxis“ nur bewerten, wenn er sie beschreibt. Daher die Fragen nach Richtlinie, Sicherung, Updates. Und sie soll Sicherheitsmaßnahmen „in die vertraglichen Vereinbarungen mit ihren direkten Lieferanten“ einbeziehen. Daher die Klauseln.

In Österreich setzt das NISG 2026 diese Anforderung um. Es tritt nach den in der Recherche belegten Angaben am 1. Oktober 2026 in Kraft; erfasste Einrichtungen haben sich zu registrieren und binnen zwölf Monaten eine Selbstdeklaration über ihre Maßnahmen abzugeben, die nach den vorliegenden Auszügen auch Angaben zur Sicherheit der Lieferkette umfasst. Wer diese Angaben machen muss, wird seine Lieferanten vorher befragt haben. Der Wortlaut der einschlägigen Paragrafen konnte für dieses Kit nicht am amtlichen Text gelesen werden — Stand prüfen, siehe Abschnitt 9.

Die zweite Vorschrift ist DORA, die Verordnung über die digitale operationale Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025 für Banken, Versicherungen, Zahlungsdienstleister, Wertpapierfirmen und weitere Finanzunternehmen — und sie schreibt diesen vor, was in jedem Vertrag über IKT-Dienstleistungen stehen muss. Finanzunternehmen dürfen solche Verträge „nur mit IKT-Drittdienstleistern schließen, die angemessene Standards für Informationssicherheit einhalten“. Wer Software, Hosting, IT-Betrieb oder andere digitale Dienste an ein Finanzunternehmen liefert, ist ein solcher Drittdienstleister, unabhängig von seiner Größe.