Was ändert sich in diesem Jahr in der Cybersicherheits-Frageliste Ihres Kunden?
Die Fragelisten zur Cybersicherheit, die Abnehmer an ihre Lieferanten schicken, ändern sich in zwei Punkten. Erstens werden die Fragen konkreter: Anstelle einer allgemeinen Ja-/Nein-Frage zur Sicherheitspolitik fordern immer mehr Abnehmer eine kurze Begründung oder einen Beleg pro Thema an. Zweitens erreichen diese Listen eine breitere Gruppe von Unternehmen, auch Unternehmen, die selbst nicht unmittelbar unter die NIS2-Richtlinie fallen.
Der Grund dafür ist einfach. Unternehmen, die unter die Richtlinie fallen, müssen gemäß dem Text von NIS2 auch die Sicherheit ihrer Zulieferer überprüfen. Sie leiten dies in ihren eigenen Fragelisten weiter, und auf diese Weise gelangt die Frage zu Unternehmen, die weiter in der Lieferkette stehen. Ob das auch für Ihr Unternehmen gilt, hängt davon ab, wer Ihre Kunden sind und welche Fragen sie an Sie weitergeben; das können Sie am besten direkt bei dem Kunden erfragen oder überprüfen mit einigen Fragen, die Ihnen schnell Klarheit verschaffen.
Warum die Fragen detaillierter werden
Die europäische NIS2-Richtlinie beschreibt zehn Kategorien von Maßnahmen, an denen Organisationen, die unter die Richtlinie fallen, arbeiten müssen, wie Risikomanagement, Zugangsregelungen und der Umgang mit Vorfällen. Abnehmer, die selbst über diese Maßnahmen berichten müssen, können dies nur tun, wenn sie auch wissen, wie ihre Lieferanten damit umgehen. Das erklärt, warum Listen, die früher eine breite Frage stellten, jetzt pro Kategorie eine separate Frage stellen, oft mit der Bitte um einen kurzen Beleg.
Diese Verschiebung von allgemeinen Fragen zu spezifischen Fragen pro Maßnahme ist keine einmalige Anpassung. Abnehmer passen ihr eigenes Portal und Format an, je mehr Klarheit sie selbst über die an sie gestellten Anforderungen erhalten. Für Sie als Lieferant bedeutet dies, dass derselbe Kunde im nächsten Jahr eine leicht andere Liste schicken kann, auch wenn sich bei Ihnen selbst nichts geändert hat.
Wen das in diesem Jahr betrifft
Die Richtlinie selbst richtet sich an Organisationen in bestimmten Sektoren und ab einer bestimmten Größe. Ob ein Unternehmen darunter fällt, ist in der Richtlinie und dem nationalen Gesetz, das diese umsetzt, beschrieben; das ist etwas, das Sie mit einem Juristen oder der Aufsichtsbehörde überprüfen sollten, nicht etwas, das sich allein aus einer Frageliste ableiten lässt. Was in der Praxis jedoch auffällt: Auch Unternehmen, die selbst nicht unter die Richtlinie fallen, bekommen Fragen weitergeleitet, weil ihr Kunde das muss.
Dieser Kaskadeneffekt ist die wichtigste praktische Veränderung dieses Jahres. Ein Installationsbetrieb, der Software für einen Energieversorger wartet, oder ein IT-Dienstleister, der für ein Krankenhaus arbeitet, kann eine detailliertere Frageliste erhalten, ohne dass das eigene Unternehmen selbst unter die Richtlinie fällt. Der Hintergrund der zehn Maßnahmen und ihre genaue Bedeutung sind in der Wissensdatenbank mit Erklärungen pro Thema.
Was noch nicht feststeht
Die Richtlinie sollte ursprünglich im Oktober 2024 in nationale Rechtsvorschriften der Mitgliedstaaten umgesetzt werden. In den Niederlanden läuft dieser Legislativprozess noch, und die genaue Form und der Zeitpunkt, zu dem das nationale Gesetz vollständig in Kraft tritt, waren zum Zeitpunkt des Schreibens noch nicht endgültig festgelegt. Das bedeutet, dass die genauen Verpflichtungen für Organisationen, die unter das Gesetz fallen, und die damit verbundenen Fristen sich noch ändern können. Für den aktuellen Stand sind der Text der Richtlinie selbst und die Informationen der Aufsichtsbehörde die zuverlässige Quelle, nicht eine Frageliste oder ein Nachrichtenartikel.
Wie Sie damit umgehen, ohne jedes Jahr neu anzufangen
Da sich die Fragen je Abnehmer und je Jahr etwas verschieben können, hilft es, die zugrunde liegenden Informationen einmal ordnungsgemäß festzuhalten und von dort aus jede neue Liste auszufüllen. Das verhindert, dass Sie bei jeder neuen Frageliste wieder bei null anfangen, auch wenn die Fragestellung im Vergleich zum Vorjahr anders formuliert ist. Wie das in der Praxis funktioniert, wird auf der Seite beschrieben woher die Informationen stammen.
Haben Sie Zweifel oder eine spezifische Frage in einer Liste ist nicht oder nicht auf Ihr Unternehmen anwendbar, dann ist das etwas, das Sie mit dem Abnehmer selbst oder mit einem Berater besprechen sollten. Eine Übersicht häufig gestellter Fragen zu solchen Listen finden Sie auf der Seite häufig gestellte Fragen zu Fragelisten.
Abschließend
Der Kern der Änderung in diesem Jahr ist nicht, dass eine neue Verpflichtung entsteht, sondern dass bestehende Verpflichtungen weiter die Lieferkette durchlaufen und konkreter abgefragt werden. Möchten Sie schnell wissen, wo Ihr Unternehmen derzeit steht, führen Sie dann den kostenlosen Quick-Scan durch oder lesen Sie die anderen Themen in der Wissensdatenbank.