NIS 2 Lieferantenfragebogen

Der eingetragene Name Ihres Unternehmens, so wie er im Handelsregister steht. Beispiel: Müller GmbH oder Schmidt AG.

Rechtsgrundlage: CIR 2024/2690 §5.2

Die Geschäftsanschrift Ihres Unternehmens. Eine Adresse genügt, auch wenn Sie mehrere Standorte haben.

Rechtsgrundlage: CIR 2024/2690 §5.2

Das Land, in dem Ihr Unternehmen rechtlich sitzt. Zwei Buchstaben, zum Beispiel DE für Deutschland.

Rechtsgrundlage: CIR 2024/2690 §5.2

Ihre Hauptdomain, üblicherweise die Adresse Ihrer Webseite. Beispiel: muellergmbh.de.

Rechtsgrundlage: CIR 2024/2690 §5.2(a)

Ein Absatz dazu, was Sie Kunden liefern: konkrete Produkte, Dienste oder Arbeiten, keine Werbung. Beispiele: „Büroreinigung an drei Abenden pro Woche, mit Schlüssel zum Gebäude“ oder „Lohnabrechnung für bis zu 200 Mitarbeitende“.

Rechtsgrundlage: CIR 2024/2690 §5.2(b) · ISO/IEC 27001:2022 A.5.19, A.5.22

Wer bei einem Sicherheitsvorfall direkt angesprochen wird. Bei kleineren Unternehmen oft die Geschäftsführung oder die IT-Leitung. Eine Person genügt.

Rechtsgrundlage: CIR 2024/2690 §5.2(a) · ISO/IEC 27001:2022 A.5.20, A.5.24

E-Mail-Adresse, die Kunden bei einem Sicherheitsvorfall verwenden. Idealerweise ein Verteiler wie security@firma.de, der mehrere Personen erreicht.

Rechtsgrundlage: CIR 2024/2690 §5.2(a) · ISO/IEC 27001:2022 A.5.20, A.5.24

Telefonnummer für dringende Vorfallsmeldungen. Nennen Sie in Klammern, wann sie besetzt ist; eine Erreichbarkeit rund um die Uhr wird nicht erwartet.

Rechtsgrundlage: CIR 2024/2690 §5.2(a) · ISO/IEC 27001:2022 A.5.20, A.5.24

Höchstens so viele Stunden, nachdem Sie einen Sicherheitsvorfall bemerkt haben, der einen Kunden betrifft, zum Beispiel ein Datenleck, ein gehacktes Konto oder einen verlorenen Schlüssel. Ein Kunde unter NIS 2 muss seiner Behörde einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden, nachdem er davon erfahren hat, als Frühwarnung melden (Art. 23 Abs. 4 Buchst. a NIS 2). Eine Zusage von 24 Stunden oder weniger hilft ihm deshalb am meisten. Nennen Sie einen Wert, den Sie halten.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(d) · ISO/IEC 27001:2022 A.5.20, A.5.24

Sie betreiben Software für Kunden auf eigener Infrastruktur und liefern sie über das Internet. Mehrfachauswahl möglich, wenn Sie mehrere Modelle anbieten.

Rechtsgrundlage: CIR 2024/2690 §5.2(b) · ISO/IEC 27001:2022 A.5.19, A.5.22, A.5.23

Sie liefern Software, die Ihre Kunden auf ihrer eigenen Infrastruktur installieren und betreiben.

Rechtsgrundlage: CIR 2024/2690 §5.2(b) · ISO/IEC 27001:2022 A.5.19, A.5.22

Sie betreiben Teile der IT-Landschaft des Kunden für ihn, mit eigenem Personal. Typisch für MSP- und MSSP-Modelle.

Rechtsgrundlage: CIR 2024/2690 §5.2(b) · ISO/IEC 27001:2022 A.5.19, A.5.22

Ja, wenn Sie Daten oder Unterlagen Ihrer Kunden elektronisch oder auf Papier halten oder bearbeiten, etwa in Software, Rechenzentrum, Ticketsystem, Buchhaltung oder Archiv.

Rechtsgrundlage: ENISA TIG §5.1.2 · ISO/IEC 27001:2022 A.5.19

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja

Alle Länder, in denen Kundendaten Ihrer Kunden gespeichert oder verarbeitet werden. Komma-getrennt, ISO-Ländercodes. Beispiel: DE, NL, US. Wenn Sie ausschließlich in der EU verarbeiten, reicht eine Liste der EU-Länder.

Rechtsgrundlage: ENISA TIG §5.1.4 TIPS · ISO/IEC 27001:2022 A.5.20, A.5.23, A.5.34

Ja, wenn Sie sich bei Ihren Kunden anmelden können, aus der Ferne, als Administrator oder vor Ort, zum Beispiel für Wartung, Support oder Betrieb.

Rechtsgrundlage: ENISA TIG §5.1.2 · ISO/IEC 27001:2022 A.5.19

Ja, wenn Ihre Mitarbeitenden oder Unterauftragnehmer Büros oder Gebäude eines Kunden betreten, mit oder ohne Begleitung, etwa für Reinigung, Wartung, Reparaturen, Anlieferung ins Gebäude oder Support vor Ort. Schlüssel, Ausweise oder Türcodes zählen dazu.

Rechtsgrundlage: CIR 2024/2690 §11.1.2(a); §13.3.2(b) · ISO/IEC 27001:2022 A.5.19

Ja, wenn alle, die für Kunden arbeiten, die für sie geltenden Sicherheitsregeln zu Beginn und danach regelmäßig vermittelt bekommen, etwa in einer kurzen Unterweisung, einem E-Learning oder schriftlichen Regeln, die sie unterschreiben.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(b) · ISO/IEC 27001:2022 A.6.3

Ja, wenn Sie Kunden entweder ein Auditrecht einräumen oder ihnen stattdessen Prüfberichte (zum Beispiel SOC 2, ISAE 3402) zur Verfügung stellen.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(e) · ISO/IEC 27001:2022 A.5.20, A.5.22

Ja, wenn andere Unternehmen an Ihrer Leistung mitwirken und dabei an Daten, Systeme oder Räume Ihrer Kunden gelangen. Beispiele: ein Cloudanbieter wie AWS oder Azure, ein Zahlungsdienst oder ein beauftragtes Team, das vor Ort arbeitet.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(g) · ISO/IEC 27001:2022 A.5.20, A.5.21

Nur wenn: Wir setzen für unsere Leistung Unterauftragnehmer ein = Ja

Alle Unterauftragnehmer mit Name, Ort und Aufgabe. Eine Zeile pro Unterauftragnehmer genügt. Aktualisieren Sie die Liste, wenn Sie einen hinzufügen oder entfernen.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(g) · ISO/IEC 27001:2022 A.5.20, A.5.21

Nur wenn: Wir setzen für unsere Leistung Unterauftragnehmer ein = Ja

Ja, wenn Ihre Verträge mit Unterauftragnehmern Sicherheitsanforderungen enthalten, die dem entsprechen, was Ihre Kunden von Ihnen verlangen, etwa zu Vorfällen, Zugängen und dem Umgang mit Daten.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(g) · ISO/IEC 27001:2022 A.5.20, A.5.21

Ja, wenn Sie Kunden vorab informieren, bevor sich an Ihrer Leistung etwas Wesentliches ändert: eine Übernahme, ein neuer Unterauftragnehmer, ein anderer Hoster oder ein neues Land, in dem ihre Daten verarbeitet werden.

Rechtsgrundlage: ENISA TIG §5.1.4 · ISO/IEC 27001:2022 A.5.22

Ja, wenn Sie auf Anfrage eines Kunden offen sagen, ob und welche Sicherheitsvorfälle mit Auswirkung auf Kunden es bei Ihnen gab.

Rechtsgrundlage: ENISA TIG §5.1.2 · ISO/IEC 27001:2022 A.5.22

Ja, wenn Sie Ihren Kunden die Angaben liefern, die deren Aufsichtsbehörde nach einem Vorfall oder bei einer Prüfung verlangt. Sofern Sie nicht selbst eine wesentliche oder wichtige Einrichtung unter NIS 2 sind, sind Sie dieser Behörde nicht selbst verpflichtet; die Pflicht hat Ihr Kunde, und Sie helfen ihm, sie zu erfüllen.

Rechtsgrundlage: ENISA TIG §5.1.4 · ISO/IEC 27001:2022 A.5.20, A.5.31

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja oder Wir greifen auf Systeme unserer Kunden zu = Ja oder Unsere Mitarbeitenden betreten Räume unserer Kunden = Ja

Ja, wenn alle, die für Kunden arbeiten, sich im Arbeitsvertrag oder separat schriftlich zur Verschwiegenheit verpflichtet haben oder gesetzlich zur Verschwiegenheit verpflichtet sind.

Rechtsgrundlage: ENISA TIG §5.1 TIPS; CIR 2024/2690 §10.3.2 · ISO/IEC 27001:2022 A.6.6

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja oder Wir greifen auf Systeme unserer Kunden zu = Ja oder Unsere Mitarbeitenden betreten Räume unserer Kunden = Ja

Ja, wenn Sie vor dem Einsatz prüfen, ob Mitarbeitende mit Zugang zu Daten, Systemen oder Räumen von Kunden (etwa Schlüsselinhaber) für diese Rolle geeignet sind, soweit Arbeitsrecht und Datenschutz es erlauben: etwa Referenzen oder, wo zulässig und für die Rolle nötig, ein Führungszeugnis. Eine Prüfung aller Mitarbeitenden wird nicht erwartet.

Rechtsgrundlage: CIR 2024/2690 §10.2.1 · ISO/IEC 27001:2022 A.6.1

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja oder Wir greifen auf Systeme unserer Kunden zu = Ja oder Unsere Mitarbeitenden betreten Räume unserer Kunden = Ja

Ja, wenn Ihr Vertrag Sie verpflichtet, die Daten des Kunden in einem nutzbaren, beschriebenen Format (etwa CSV oder JSON) zurückzugeben und dann zu löschen, Schlüssel, Ausweise und Unterlagen zurückzugeben und Zugänge beim Kunden zu schließen.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(h); §5.1.2(d) · ISO/IEC 27001:2022 A.5.11, A.8.10

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja

Nötig, wenn Sie personenbezogene Daten im Auftrag und nach Weisung eines Kunden verarbeiten (Art. 28 Abs. 3 DSGVO). Manche Berufe sind von Gesetzes wegen selbst Verantwortliche und schließen keinen ab, in Deutschland etwa Steuerberater (§ 11 Abs. 2 StBerG).

• Ja, wir bieten einen Mustervertrag an
• Nicht nötig: Wir sind selbst Verantwortlicher (zum Beispiel Steuerberater)
• Nicht nötig: Wir verarbeiten für Kunden keine personenbezogenen Daten
• Nein

Rechtsgrundlage: GDPR Art. 28(3); Art. 4(7) · ISO/IEC 27001:2022 A.5.34

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja

Ja, wenn Kundendaten überall verschlüsselt sind, wo Sie sie elektronisch speichern: auf Servern, Laptops, Telefonen und Sicherungen, etwa mit BitLocker, FileVault oder der Festplattenverschlüsselung Ihres Cloudanbieters.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(c); §9.2(a) · ISO/IEC 27001:2022 A.8.24

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja

Ja, wenn Ihre Webseiten und Schnittstellen HTTPS mit TLS 1.2 oder höher nutzen und Dateien über ein verschlüsseltes Portal oder verschlüsselte E-Mail an Kunden gehen.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(c); §9.2(a) · ISO/IEC 27001:2022 A.8.24

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja oder Wir greifen auf Systeme unserer Kunden zu = Ja oder Wir bieten SaaS / gehostete Dienste = Ja oder Wir liefern On-Prem-Software = Ja oder Wir bieten Managed Services / MSP = Ja

Ja, wenn Sie eine schriftliche Richtlinie zur Informationssicherheit haben, klar zugewiesene Rollen, regelmäßige Überprüfungen und einen dokumentierten Umgang mit Vorfällen. Eine Zertifizierung nach ISO/IEC 27001, auch auf Basis von IT-Grundschutz, bedeutet Ja.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(a) · ISO/IEC 27001:2022 A.5.1

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja oder Wir greifen auf Systeme unserer Kunden zu = Ja oder Wir bieten SaaS / gehostete Dienste = Ja oder Wir liefern On-Prem-Software = Ja oder Wir bieten Managed Services / MSP = Ja

Es zählen: ISO/IEC 27001 (auch auf Basis von IT-Grundschutz), ein Testat nach BSI C5, ein Label nach TISAX, ein Bericht nach SOC 2 Typ II oder ISAE 3402 oder ein europäisches Cybersicherheitszertifikat. Ja nur, wenn der Geltungsbereich die Leistung für Ihre Kunden abdeckt.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(a); ENISA TIG §5.1.2 · ISO/IEC 27001:2022 A.5.19, A.5.22

Nur wenn: Wir haben ein gültiges Sicherheitszertifikat oder einen Prüfbericht, der die Leistung für unsere Kunden abdeckt = Ja

Übernehmen Sie den Geltungsbereich so, wie er auf dem Zertifikat oder Bericht steht. Mehrere? Eines pro Zeile.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(a); ENISA TIG §5.1.2 · ISO/IEC 27001:2022 A.5.22

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja oder Wir greifen auf Systeme unserer Kunden zu = Ja oder Wir bieten SaaS / gehostete Dienste = Ja oder Wir liefern On-Prem-Software = Ja oder Wir bieten Managed Services / MSP = Ja

Ja, wenn Sie für Sicherheitslücken in den Systemen und Programmen, die Sie für Kunden nutzen, ein festes Vorgehen haben: Sie erfahren davon, schätzen die Dringlichkeit ein und spielen das Update rechtzeitig ein oder ergreifen eine andere Maßnahme.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(f) · ISO/IEC 27001:2022 A.8.8

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja oder Wir greifen auf Systeme unserer Kunden zu = Ja oder Wir bieten SaaS / gehostete Dienste = Ja oder Wir liefern On-Prem-Software = Ja oder Wir bieten Managed Services / MSP = Ja

Ja, wenn ein schriftlicher Plan festlegt, wie Sie mit einem Sicherheitsvorfall umgehen: wer entscheidet, wer die Kunden informiert und wer dokumentiert.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(a); §3.1 · ISO/IEC 27001:2022 A.5.24, A.5.26

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja oder Wir greifen auf Systeme unserer Kunden zu = Ja oder Wir bieten SaaS / gehostete Dienste = Ja oder Wir liefern On-Prem-Software = Ja oder Wir bieten Managed Services / MSP = Ja

Ja, wenn ein schriftlicher Plan festlegt, wie Sie nach einem Ausfall weiterarbeiten oder wieder anlaufen, einschließlich Sicherungen der Daten, die Sie für Kunden halten, getrennt von den laufenden Systemen und probeweise zurückgespielt. Er nennt die wichtigen Systeme, den Ersatzweg und wie lange ein Ausfall höchstens dauern und wie viele Daten höchstens verloren gehen dürfen.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(c); §4.1; §4.2 · ISO/IEC 27001:2022 A.5.29, A.5.30, A.8.13

Nur wenn: Wir verarbeiten oder speichern Daten unserer Kunden = Ja oder Wir greifen auf Systeme unserer Kunden zu = Ja oder Wir bieten SaaS / gehostete Dienste = Ja oder Wir liefern On-Prem-Software = Ja oder Wir bieten Managed Services / MSP = Ja

Ja, wenn jedes Konto mit Administratorrechten in Ihren eigenen Systemen (E-Mail, Cloud, Server, Buchhaltung) zur Anmeldung einen zweiten Faktor braucht, etwa eine App oder einen Sicherheitsschlüssel. Codes per SMS zählen, sind aber die schwächste Variante.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(a); §11.7 · ISO/IEC 27001:2022 A.8.5, A.8.2

Nur wenn: Wir bieten SaaS / gehostete Dienste = Ja oder Wir liefern On-Prem-Software = Ja oder Wir bieten Managed Services / MSP = Ja

Ja, wenn eine unabhängige Stelle diese Systeme auf Sicherheitslücken prüft, so oft, wie es Ihr Risiko verlangt. Ein Penetrationstest und ein externer Schwachstellenscan zählen beide.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(a); §6.5 · ISO/IEC 27001:2022 A.8.29, A.8.8

Nur wenn: Wir bieten SaaS / gehostete Dienste = Ja oder Wir liefern On-Prem-Software = Ja

Ja, wenn Ihre Entwicklung festen Regeln folgt, zum Beispiel einer Prüfung vor jeder Änderung, die live geht, aktuellen Abhängigkeiten, Tests und einer Prüfung auf bekannte Schwachstellen. Gefragt nur bei Lieferanten, die Software als Dienst betreiben oder ausliefern.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(a) · ISO/IEC 27001:2022 A.8.25, A.8.28

Nur wenn: Wir bieten SaaS / gehostete Dienste = Ja oder Wir liefern On-Prem-Software = Ja

Ja, wenn auf Ihrer Webseite steht, wie man Ihnen eine Sicherheitslücke meldet und was Sie dann tun, etwa in einer security.txt (RFC 9116). Ab dem 11.12.2027 verlangt der Cyber Resilience Act diese Regelung und eine Kontaktadresse von Herstellern von Softwareprodukten.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(f); CRA Annex I Part II(5), (6) · ISO/IEC 27001:2022 A.8.8, A.5.21

Nur wenn: Wir greifen auf Systeme unserer Kunden zu = Ja

Ja, wenn alle, die sich bei Kunden anmelden, ein eigenes Konto mit zweitem Faktor nutzen, auch bei Fernwartung, etwa mit TeamViewer; niemand teilt sich eine Anmeldung.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(a); §11.3.2(a); §11.5.2(b) · ISO/IEC 27001:2022 A.8.2, A.8.5, A.5.16

Nur wenn: Wir greifen auf Systeme unserer Kunden zu = Ja

Ja, wenn festgehalten wird, wer wann mit Administratorrechten auf Systeme Ihrer Kunden zugegriffen hat, sodass es sich später nachvollziehen lässt. Ganze Sitzungen aufzuzeichnen wird nicht erwartet.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(a); §3.2.3(e) · ISO/IEC 27001:2022 A.8.15

Nur wenn: Unsere Mitarbeitenden betreten Räume unserer Kunden = Ja

Ja, wenn Sie jederzeit wissen, wer welchen Schlüssel, Ausweis oder Code hat, ihn bei Ausscheiden oder Aufgabenwechsel zurücknehmen und den Kunden unverzüglich informieren, wenn einer verloren geht.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(a); §11.2.2(d); §13.3.2(b) · ISO/IEC 27001:2022 A.7.2, A.5.11, A.5.18

Nur wenn: Unsere Mitarbeitenden betreten Räume unserer Kunden = Ja

Ja, wenn Ihre Mitarbeitenden schriftliche Regeln für die Arbeit bei Kunden haben, zum Beispiel: niemanden hereinlassen, Bildschirme, Geräte und Unterlagen nicht anfassen, Auffälliges dem Kunden melden.

Rechtsgrundlage: ENISA TIG §5.1 TIPS; CIR 2024/2690 §8.1.1 · ISO/IEC 27001:2022 A.7.2, A.7.7, A.6.3

Nur wenn: Wir bieten SaaS / gehostete Dienste = Ja

Ja, wenn Ihre Anwendung eine Anmeldung mit zweitem Faktor anbietet (App, Sicherheitsschlüssel oder Einmalcode), mindestens für die Administratoren Ihrer Kunden. Ihre eigenen internen Administratorkonten fragt ein eigener Punkt unter Sicherheit im Betrieb ab.

Rechtsgrundlage: CIR 2024/2690 §5.1.2(c); §11.7 · ISO/IEC 27001:2022 A.8.5, A.5.23

Nur wenn: Wir bieten SaaS / gehostete Dienste = Ja

So viele Stunden darf Ihr Dienst höchstens ausfallen, bis er wiederhergestellt ist. Nennen Sie einen Wert, den Sie halten.

Rechtsgrundlage: ENISA TIG §5.1 TIPS · ISO/IEC 27001:2022 A.5.30, A.5.23

Nur wenn: Wir liefern On-Prem-Software = Ja

Monat und Jahr oder die Regel, nach der Sie gehen. Ab dem 11.12.2027 verlangt der Cyber Resilience Act, dass Hersteller dieses Datum beim Kauf angeben.

Rechtsgrundlage: CIR 2024/2690 §6.1.2(b); CRA Art. 13(19) · ISO/IEC 27001:2022 A.5.21

Nur wenn: Wir liefern On-Prem-Software = Ja

Stunden vom Bekanntwerden einer kritischen Schwachstelle bis zu Ihrem korrigierten Release. Ab dem 11.12.2027 verlangt der Cyber Resilience Act von Herstellern, Schwachstellen unverzüglich zu beheben.

Rechtsgrundlage: CIR 2024/2690 §5.1.4(f); CRA Annex I Part II(2) · ISO/IEC 27001:2022 A.8.8

Nur wenn: Wir liefern On-Prem-Software = Ja

Ja, wenn Sie Kunden zu Ihren Releases eine SBOM geben (CycloneDX oder SPDX). Ab dem 11.12.2027 verlangt der Cyber Resilience Act von Herstellern eine SBOM in der technischen Dokumentation von Produkten mit digitalen Elementen; sie an Kunden weiterzugeben, steht Ihnen frei.

Rechtsgrundlage: CIR 2024/2690 §6.1.2(c); CRA Annex I Part II(1) · ISO/IEC 27001:2022 A.5.21

Nur wenn: Wir liefern On-Prem-Software = Ja

Ja, wenn jedes Release und jedes Update eine Signatur trägt, die Ihre Kunden vor der Installation prüfen können, zum Beispiel Sigstore, Authenticode oder PGP.

Rechtsgrundlage: CIR 2024/2690 §6.6.1(c); CRA Annex I Part II(7) · ISO/IEC 27001:2022 A.5.21