Fragebogen fragt, wie wir Risiken unserer Lieferanten beherrschen

Kettensicherheit ist eine der zehn erforderlichen Maßnahmen

Dies ist nicht einfach nur eine zusätzliche Frage: Sicherheit der Lieferkette wird als separater Bestandteil in Artikel 21 Absatz 2 der NIS2 genannt, neben den anderen neun Maßnahmen wie Risikoanalyse, Incident Handling und Zugriffskontrolle. Der Kunde, der diese Frage stellt, prüft, ob dein Unternehmen auch nach hinten schaut: nicht nur deine eigene Sicherheit, sondern auch die der Parteien, von denen du abhängig bist. Dies schließt an Sicherheitsanforderungen, die das Unternehmen selbst seinen Lieferanten stellt — dasselbe Prinzip, eine Stufe weiter in der Kette.

Konkret wird meist nach drei Dingen gefragt: Hast du eine Richtlinie oder ein Verfahren zur Bewertung von Lieferanten hinsichtlich Cyberrisiken, stellst du vertragliche Anforderungen (denke an Meldepflicht bei Vorfällen, Mindestsicherheitsniveaus), und überwachst du dies nach Vertragsunterzeichnung weiterhin. Wenn du diesen Prozess nicht hast, ist "nein" mit einer kurzen Erläuterung eine gute Antwort — besser als ein "ja", das du nicht begründen kannst. Hast du zwar eine Lieferantenbewertung, aber keinen separaten Cyberteil, benennen Sie dies dann präzise so: der Nachweis muss mit dem übereinstimmen, was Sie eintragen. Ein ISO-27001-Zertifikat mit Annex A deckt dieses Thema in der Regel ab, also wenn das Unternehmen ISO-27001-zertifiziert ist, ist das oft der schnellste Nachweis zum Vorlegen.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Die zehn Maßnahmen von Artikel 21 Absatz 2 NIS2 nennen Kettenrisiken als separaten Punkt, getrennt von der allgemeinen Risikobewertung. ISO/IEC 27001 konkretisiert dies weiter in den Steuerungsmaßnahmen von Annex A, speziell ausgerichtet auf Lieferantenbeziehungen und die Anforderungen, die Sie daran stellen. Das Cybersicherheitsgesetz setzt diese Verpflichtung in deutsches Recht um und tritt am 15. August 2026 in Kraft — vorerst ist die EU-Richtlinie selbst die Quelle, und der Auftraggeber fragt in der Praxis oft schon vorausschauend danach.