Kunde möchte, dass wir eine Sicherheitserklärung unterzeichnen, darf das einfach so sein

Unterzeichnen ist erlaubt, aber lesen Sie nach, was darin steht

Ja, ein Kunde darf das fragen — eine Sicherheitserklärung ist keine gesetzliche Verpflichtung, sondern eine vertragliche Anforderung, und der Kunde hat das Recht, diese zu stellen. Es geht nicht darum, ob er sie stellen darf, sondern ob die Erklärung abdeckt, was Sie tatsächlich tun. Eine Unterschrift unter "wir erfüllen die zehn Maßnahmen von Artikel 21 Absatz 2 NIS2" oder unter "wir sind ISO-27001-konform" ist eine Zusage mit vertraglichem Wert, kein Häkchen auf einer Frageliste. Wenn es zu einem Streit kommt — ein Incident beim Kunden, der auf Sie zurückzuführen ist — ist diese Erklärung das erste Dokument, das herangezogen wird.

Schauen Sie sich zunächst das Format an. Verlangt die Erklärung ein Ja/Nein pro Maßnahme, oder ist es eine einzige leere Aussage "wir sind NIS2-konform"? Die erste Variante können Sie pro Punkt begründen; die zweite ist oft breiter als das, was Sie nachweisen können, besonders wenn Sie selbst nicht unter die Richtlinie fallen, sondern als Lieferant einer Entität, auf die das zutrifft — oder ob das Unternehmen selbst unter die NIS2-Richtlinie fällt ist dann die erste Frage, die Sie sich selbst beantworten. Unterzeichnen Sie niemals eine Aussage über eine Maßnahme, die Sie nicht nachweisen können, zum Beispiel ob es einen Prozess zur Erkennung von Schwachstellen gibt — haben Sie das nicht, dann schreiben Sie das auf oder fordern Sie eine spezifizierte Version an.

Woher die Haftung kommt

Die Erklärung selbst leitet ihr Gewicht nicht aus dem Cybersicherheitsgesetz ab — das verpflichtet nur die benannten Entitäten selbst, nicht ihre Lieferanten unmittelbar — sondern aus dem Vertrag, den Sie unterzeichnen. NIS2 funktioniert über Artikel 21 Absatz 2, das Entitäten verpflichtet, Risiken in der Lieferkette zu beherrschen; das ist der Grund, warum diese Entität das bei Ihnen abfragt, nicht der Grund, warum Sie daran gebunden sind. Das, was Sie zusagen, steht also im Text der Erklärung selbst, nicht in der Richtlinie.