Der Fragebogen fragt, wie wir die Cybersicherheit unserer eigenen Lieferanten kontrollieren

Lieferkettensicherheit: was der Kunde genau wissen möchte

Diese Frage betrifft Artikel 21 Absatz 2 Buchstabe d der NIS2: die Sicherheit der Lieferkette, einschließlich der Beziehung zu jedem einzelnen Lieferanten. Der Kunde möchte also nicht wissen, ob Sie selbst sicher sind, sondern ob Sie das auch von IHREN Lieferanten verlangen und überprüfen. Konkret sucht der Fragebogen normalerweise nach drei Dingen: Haben Sie Sicherheitsanforderungen in Verträge mit Lieferanten aufgenommen, bewerten Sie Lieferanten, bevor Sie sie einschalten, und überprüfen Sie sie regelmäßig erneut. Eine Antwort wie "wir vertrauen unseren Lieferanten" ist für dieses Feld kein Beweis — dahinter muss ein Prozess stecken.

Wenn Sie über diesen Prozess verfügen, ist das Beweismittel normalerweise eine Lieferantenpolitik oder eine Klausel in der Standardvereinbarung, gegebenenfalls ergänzt durch eine Übersicht der durchgeführten Bewertungen. Wenn Sie das nicht haben, dann ist "nein" hier die ehrliche Antwort — Ausfüllen auf Grundlage einer Annahme ergibt kein Ja, denn dafür hat die Akte keine Quelle. Dieses Thema hängt übrigens mit einem anderen Feld in derselben Frageliste zusammen: ob das Unternehmen Sicherheitsanforderungen an seine eigenen Lieferanten stellt ist oft eine separat gestellte Frage, aber der Beweis überlappt sich mit dem, was hier gefragt wird. Ebenfalls relevant ist, ob Ihre eigene Risikoanalyse Lieferanten als separate Risikokategorie berücksichtigt; das schließt an die Richtlinie für Risikoanalyse und Informationssicherheit an, das an anderer Stelle in der Liste abgefragt wird.

Grund: Artikel 21 Absatz 2 und Anlage A

Die Verpflichtung folgt aus Artikel 21 Absatz 2 Buchstabe d der Richtlinie (EU) 2022/2555, die Lieferkettensicherheit als eine der zehn erforderlichen Maßnahmen nennt. ISO/IEC 27001 konkretisiert dies in Anlage A unter den Kontrollmaßnahmen für Lieferantenbeziehungen: dort wird zwischen Anforderungen zu Beginn der Beziehung und regelmäßiger Überwachung unterschieden. Für niederländische Unternehmen ergibt sich die gleiche Verpflichtung aus dem Cybersicherheitsgesetz, das am 15. August 2026 in Kraft tritt als Umsetzung der NIS2. Ob diese Verpflichtung auf Ihr Unternehmen selbst zutrifft, hängt davon ab, ob Sie unter die Richtlinie fallen; das ist eine andere Frage als das hier Abgefragte und wird separat erläutert bei ob das Unternehmen selbst unter NIS2 fällt.