Zweck und Aufbau
Dieses Handbuch richtet sich an Leitungen kleiner und mittlerer Betriebe, die von einem Auftraggeber einen Fragebogen zur Informationssicherheit, eine Vertragsklausel oder ein Nachweisverlangen bekommen haben — ohne eigene IT-Abteilung, ohne Sicherheitsbeauftragten und ohne jemanden im Haus, der so etwas schon einmal beantwortet hat. Der Auftraggeber beruft sich dabei auf NIS2, auf DORA oder auf den Cyber Resilience Act. Der Leser dieses Handbuchs ist der Zulieferer, nicht die erfasste Einrichtung.
Er beantwortet vier Fragen in dieser Reihenfolge: Warum bekommt gerade Ihr Betrieb diese Anforderung, obwohl er selbst nicht unter das Gesetz fällt? Was genau wird gefragt, und woher kommen die Fragen? Was ist eine brauchbare Antwort — und warum ist ein „ja“ ohne Grundlage teurer als ein ehrliches „noch nicht, bis Ende des Quartals“? Und was schreiben Sie vorher auf, damit die nächste Anfrage keine Wochenendarbeit mehr ist?
Die Reihenfolge ist bewusst gewählt. Darstellungen zu diesem Themenfeld beginnen häufig mit den Pflichten der erfassten Einrichtungen und verlieren dadurch den Leser, den sie eigentlich meinen: den Betrieb, der die Pflicht nicht hat und die Anforderung trotzdem bekommt. Der Rechtsteil steht hier am Anfang, aber nur so weit, wie er den Mechanismus erklärt; die Antwort steht im Mittelpunkt.
Aufbau
Das Handbuch gliedert sich in vier Teile. Teil I erklärt, warum Sie gefragt werden: den Mechanismus der Lieferkette in der NIS2-Richtlinie, die Sonderfälle Finanzkunde und Herstellerkunde, und — nur als Wegweiser — die Frage, ob Ihr Betrieb selbst erfasst sein könnte. Teil II zeigt, was gefragt wird: die Themen der Fragebögen, die Vertragsklauseln, die Nachweise und die Register, für die Ihr Kunde Ihre Stammdaten braucht. Teil III sagt, was eine brauchbare Antwort ist, welches Minimum jede Antwort trägt und was Verhandlungssache bleibt. Teil IV enthält eine Selbstbewertung, die gesammelten Unsicherheiten, das Glossar und das Quellenverzeichnis.
Geltungsbereich
Maßgeblich sind drei Rechtsakte der Europäischen Union: die Richtlinie (EU) 2022/2555 (NIS2), die Verordnung (EU) 2022/2554 (DORA) und die Verordnung (EU) 2024/2847 (Cyber Resilience Act). Die beiden Verordnungen gelten unmittelbar in allen Mitgliedstaaten. Die Richtlinie wird von jedem Mitgliedstaat in eigenes Recht umgesetzt; dieses Handbuch nimmt die österreichische Umsetzung, das Netz- und Informationssystemsicherheitsgesetz 2026, als Beispiel und kennzeichnet jede österreichische Stelle als solche. Für Betriebe in anderen Mitgliedstaaten gilt: Der Mechanismus ist derselbe, die Fristen und Behörden sind es nicht. Wo etwas nur für Österreich gilt, steht das dabei; die Umsetzung anderer Staaten wird nicht dargestellt. Die Schweiz ist nicht Gegenstand dieses Handbuchs.
Umgang mit Quellen
Jede Frist und jede rechtliche Aussage ist mit Quelle und Abrufdatum belegt. Belegzeilen stehen unmittelbar unter der jeweiligen Aussage; das vollständige Verzeichnis findet sich in Abschnitt 16. Wörtliche Zitate sind als solche gesetzt und tragen ihre Fundstelle.
Wo eine Angabe nicht belegbar war, ist dies ausdrücklich vermerkt — als nicht ermittelbar mit Angabe des Grundes, nicht als Schätzung. Diese Stellen sind in Abschnitt 14 gesammelt. Zwei Einschränkungen betreffen das ganze Handbuch und stehen deshalb hier: Erstens wurden die Texte der Union für dieses Handbuch aus Kopien des Amtsblatts gelesen, die nicht amtlich sind; die zitierten Stellen sind am 18. September 2026 am amtlichen Text bei EUR-Lex nachgelesen worden (Abschnitt 14 Nr. 1). Zweitens konnten die Paragrafen des österreichischen Gesetzes, die den Pflichtenkatalog der erfassten Einrichtungen enthalten, nicht im Wortlaut gelesen werden; das Handbuch stützt sich für den Pflichtenkatalog deshalb auf die Richtlinie selbst und sagt an jeder Stelle, wo das österreichische Gesetz gemeint ist, aber nicht gelesen wurde.
Zwischen dem, was ein Gesetz von Ihrem Kunden verlangt, dem, was eine Behörde oder Kammer empfiehlt, und dem, was in der Praxis üblich ist, wird durchgehend unterschieden. Ein Fragebogen ist Praxis. Er ist kein Gesetzesbefehl an Sie.
Dieses Handbuch ist ein Ratgeber. Es ist kein rechtlich verbindliches Dokument, ersetzt keine Rechtsberatung und ist kein Kommentarwerk. Es prüft nicht, ob Ihr Betrieb selbst unter ein Gesetz fällt; dafür nennt es die Fragen, die Sie sich stellen müssen, und die Stelle, an der die Antwort steht. Es enthält keinen Musterfragebogen und keine Musterantworten; das ist die Aufgabe des Lieferanten-Antwortkits von Scutoria. Und es sagt an keiner Stelle „Sie müssen“, wo in Wahrheit nur Ihr Auftraggeber etwas verlangt — denn genau diese Unterscheidung ist der Grund, warum es geschrieben wurde.