Unser Kunde unterliegt NIS2 und stellt jetzt Anforderungen an uns, was bedeutet das

Ihr Kunde teilt Ihnen die zehn Maßnahmen aus Artikel 21 mit

Das bedeutet, dass Sie Teil des Kettenansatzes werden, den Artikel 21 Absatz 2 der NIS2-Richtlinie vorschreibt. Eine unter NIS2 fallende Entität muss selbst "Sicherheitsmaßnahmen in der Lieferkette" ergreifen — Punkt (d) dieses Absatzes — und Ihr Kunde tut dies, indem er die Anforderungen, die er an sich selbst stellt, auch an Sie heranträgt. Sie werden also nicht selbst NIS2-pflichtig durch diesen Fragebogen; Sie bekommen die Auswirkung der Pflicht Ihres Kunden auf Ihren Tisch. Ob Sie darüber hinaus selbst unter die Richtlinie fallen, ist eine separate Frage — die beantworten Sie separat, beispielsweise mit der Erläuterung über oder ob das Unternehmen selbst unter die NIS2-Richtlinie fällt.

In der Praxis übersetzt der Fragebogen Artikel 21 Absatz 2 in einzelne Fragen: Haben Sie eine Risikoanalyse und eine Informationssicherheitspolitik, wie behandeln Sie Vorfälle, wie sieht es mit Sicherungen und Wiederherstellung aus, wie verwalten Sie den Zugriff und nutzen Sie Multi-Faktor-Authentifizierung, und — die Bestimmung, die Ihr Kunde jetzt gerade auf Sie anwendet — stellen Sie selbst auch Anforderungen an Ihre Lieferanten. Für jeden dieser Punkte gibt es eine separate Erklärung in der Wissensdatenbank, wie Richtlinie zur Risikoanalyse und zum Schutz von Informationssystemen und Sicherheitsanforderungen an die eigenen Lieferanten. Verfügen Sie bereits über ein ISO-27001-Zertifikat, dann deckt dieses einen großen Teil dieser Fragen auf einmal ab.

Wo das in der Richtlinie steht: Artikel 21 Absatz 2

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt die zehn Maßnahmen wörtlich, von einer Richtlinie für die Risikoanalyse (a) bis zur Sicherheit bei der Beschaffung von Produkten und Dienstleistungen und der Lieferantenbeziehung (d), bis zur Zugriffskontrolle und Multi-Faktor-Authentifizierung (j). Das niederländische Cybersicherheitsgesetz setzt diese Richtlinie in nationales Recht um und tritt am 15. August 2026 in Kraft; bis zu diesem Zeitpunkt kann Ihr Kunde seine eigene Vorbereitung bereits auf Sie abwälzen, auch ohne dass das Gesetz bereits gilt. Wer die zehn Maßnahmen als separate Annex-A-Kontrollen von ISO/IEC 27001 erkennt, kann viele Antworten direkt aus einem bestehenden ISMS übernehmen.