mano klientas siunčia išsamų NIS2 klausimyną, nors anksčiau taip nebuvo, ką man su tuo daryti

Ihr Kunde gibt seine Kettenverpflichtung an Sie weiter

Dies bedeutet normalerweise, dass Ihr Kunde selbst unter das Cybersicherheitsgesetz fällt und dass er als wesentliche oder wichtige Einheit verpflichtet ist, die Sicherheit seiner eigenen Lieferanten zu bewerten. Diese Verpflichtung ergibt sich aus den zehn Maßnahmen in Artikel 21 Absatz 2 der NIS2-Richtlinie, und eine davon befasst sich speziell mit der Kettensicherheit: Das Unternehmen muss wissen, wie sicher seine Lieferanten sind, und muss dies nachweisen können. Ihr Kunde stellt diese Frage also nicht einfach so weiter — er ist selbst dazu verpflichtet, und Sie sind in diesem Moment Teil seiner "Lieferkette". Deshalb kommt die Liste jetzt auch dann, wenn Sie schon jahrelang liefern, ohne dass dies jemals gefragt wurde: Die Pflicht ist für ihn neu, nicht für Ihre Geschäftsbeziehung.

Was Sie erwarten können, ist eine Kombination von Fragen, die früher zum Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen gehören, Fragen über das Verfahren bei Sicherheitsvorfällen und Fragen zur Wiederherstellungsfähigkeit nach einer Störung. Falls Sie kein ISO-27001-Zertifikat haben, ist das an sich normalerweise kein Problem — die Richtlinie verlangt nicht, dass jeder Lieferant zertifiziert ist, sie verlangt, dass der Kunde weiß wie es bei Ihnen aussieht. Eine Beschreibung Ihrer eigenen Maßnahmen mit Belegen, soweit vorhanden, ist dann eine gültige Antwort. Wo Sie nichts haben, antworten Sie, dass es nichts gibt; eine Liste mit lauter "ja" ohne zugrunde liegendes Dokument führt bei einer späteren Prüfung Ihres Kunden zu mehr Risiko als ein ehrliches "nein, noch nicht".

Warum dies jetzt bei Ihnen ankommt: Artikel 21 Absatz 2

Die Verpflichtung zur Bewertung von Lieferanten ist in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 festgelegt und wird für niederländische Einheiten im Cybersicherheitsgesetz umgesetzt, das am 15. August 2026 in Kraft tritt. Ob Ihr Kunde selbst unter dieses Gesetz fällt und daher verpflichtet ist, diese Fragen zu stellen, können Sie normalerweise anhand der Größe und des Sektors seines Unternehmens überprüfen — etwas, das auch relevant ist, um zu wissen ob Sie selbst als Einheit unter die Richtlinie fallen.