Gratis · ohne Anmeldung

20 typische Fragen aus NIS2-Lieferantenfragebögen

Was Ihr Kunde mit der Frage wissen will, welche Nachweise üblich sind und wie eine ehrliche Antwort aussieht – für „umgesetzt“, „teilweise“ und „geplant“.

Was diese Hilfe nicht tut: Sie beurteilt nicht, ob Ihr Kunde oder Ihr Unternehmen unter das BSIG fällt, prüft keine Systeme und ersetzt keine Rechtsberatung. Antworten Sie nur, was bei Ihnen tatsächlich zutrifft. „Teilweise“ ist eine ehrliche und übliche Antwort. „Geplant bis …“ nur, wenn Termin und Verantwortliche wirklich feststehen; sonst „noch nicht umgesetzt“ oder „noch ungeklärt“. Setzen Sie in eckigen Klammern Ihre eigenen Angaben ein und streichen Sie, was bei Ihnen nicht zutrifft.

Stand 10.11.2026. Fundstellen: BSIG vom 02.12.2025 (BGBl. 2025 I Nr. 301), zuletzt geändert durch Art. 8 G v. 22.10.2026 (BGBl. 2026 I Nr. 318); Richtlinie (EU) 2022/2555, Art. 21 (EUR-Lex). Einzelnormen: § 30 BSIG – Risikomanagementmaßnahmen (abgerufen 10.11.2026); § 32 BSIG – Meldepflichten (abgerufen 10.11.2026); § 38 BSIG – Pflichten der Geschäftsleitung (abgerufen 07.11.2026); Richtlinie (EU) 2022/2555 (NIS2), Art. 21 (abgerufen 07.11.2026). Fachliche Gegenlese durch Dritte: noch nicht erfolgt. Hinweise auf Fehler bitte an info@riskavelo.de.

Übersicht nach den zehn Bereichen in § 30 Abs. 2 BSIG

Nr. 1 Risikoanalyse und Sicherheitskonzepte: Frage 1, 2, 3
Nr. 2 Bewältigung von Sicherheitsvorfällen: Frage 4, 5
Nr. 3 Aufrechterhaltung des Betriebs, Backup, Krisenmanagement: Frage 6, 7
Nr. 4 Sicherheit der Lieferkette: Frage 8
Nr. 5 Sicherheit bei Erwerb, Entwicklung und Wartung, Schwachstellen: Frage 9, 10
Nr. 6 Bewertung der Wirksamkeit: Frage 11
Nr. 7 Cyberhygiene und Schulungen: Frage 12, 13, 14
Nr. 8 Kryptografie und Verschlüsselung: Frage 15
Nr. 9 Personalsicherheit, Zugriffskontrolle, Anlagenverwaltung: Frage 16, 17, 18
Nr. 10 MFA und gesicherte Kommunikation: Frage 19, 20

Bereich 1 · Risikoanalyse und Sicherheitskonzepte · RV-01-01

1. Gibt es in Ihrem Unternehmen eine verantwortliche Person für Informationssicherheit?

Auch gefragt als: Informationssicherheitsbeauftragter · ISB · Ansprechpartner IT-Sicherheit · Sicherheitsverantwortlicher · CISO

Was Ihr Kunde wissen will: Ob jemand Ansprechpartner ist und Sicherheit nicht „nebenbei niemandem“ gehört.
Übliche Nachweise: Name oder Funktion und Kontaktadresse; Auszug aus dem Organigramm oder Benennungsschreiben.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Verantwortlich für Informationssicherheit ist [Funktion], erreichbar unter [Adresse]. Die Benennung erfolgte am [Datum] durch die Geschäftsleitung.“; teilweise „Die Aufgabe liegt bei [Funktion] zusätzlich zur IT-Betreuung. Eine formale Benennung mit festgelegten Aufgaben folgt bis [Datum].“; geplant „Wir benennen bis [Datum] eine verantwortliche Person. Bis dahin ist [Funktion] Ihr Ansprechpartner für Sicherheitsfragen.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 1 BSIG; § 38 Abs. 1 BSIG (Umsetzungs- und Überwachungspflicht der Geschäftsleitung, für betroffene Einrichtungen)
Typische Kundenanforderung: Kunden fragen nach einer benannten Person oder Funktion mit Kontaktweg.
Empfehlung: Eine Funktion benennen, auch wenn sie neben anderen Aufgaben wahrgenommen wird; Vertretung festlegen.

Bereich 1 · Risikoanalyse und Sicherheitskonzepte · RV-01-02

2. Haben Sie eine schriftliche Informationssicherheitsleitlinie?

Auch gefragt als: Sicherheitsrichtlinie · IT-Sicherheitsrichtlinie · Security Policy · Sicherheitsleitlinie

Was Ihr Kunde wissen will: Ob die Geschäftsleitung Ziele und Zuständigkeiten festgelegt hat.
Übliche Nachweise: Leitlinie (1–3 Seiten) mit Datum und Freigabe der Geschäftsleitung; oft reicht ein Auszug oder das Inhaltsverzeichnis.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Ja. Die Leitlinie wurde am [Datum] von der Geschäftsleitung freigegeben. Überprüfung: [Rhythmus, nur wenn festgelegt]. Einen Auszug senden wir auf Anfrage.“; teilweise „Es gibt schriftliche Regeln zu [Themen, z. B. Passwörter, Datensicherung]. Eine zusammenfassende Leitlinie mit Freigabe der Geschäftsleitung folgt bis [Datum].“; geplant „Die Leitlinie ist in Erarbeitung. Die Freigabe durch die Geschäftsleitung ist bis [Datum] geplant.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 1 BSIG
Typische Kundenanforderung: Kunden erwarten oft ein freigegebenes Dokument mit Datum.
Empfehlung: Kurz halten (1–3 Seiten), von der Geschäftsleitung freigeben lassen, Überprüfungsrhythmus nur nennen, wenn er feststeht.

Bereich 1 · Risikoanalyse und Sicherheitskonzepte · RV-01-03

3. Führen Sie regelmäßig eine Risikoanalyse für Ihre IT durch?

Auch gefragt als: Risikobewertung · Risikomanagement · Risk Assessment · Gefährdungsanalyse · Schutzbedarf

Was Ihr Kunde wissen will: Ob Sie wissen, welche Systeme für die Lieferung an ihn wichtig sind und was ihnen droht.
Übliche Nachweise: Datum der letzten Analyse, Methode (z. B. angelehnt an BSI-Standard 200-3), Liste der wichtigsten Risiken ohne Details.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Ja, [Rhythmus und Anlässe, nur wenn festgelegt]. Die letzte Analyse ist vom [Datum], Methode angelehnt an [Methode].“; teilweise „Für die Kernsysteme [Liste] ist eine Risikoanalyse erfolgt (Stand [Datum]). Die Ausweitung auf [weitere Systeme] ist bis [Datum] geplant.“; geplant „Eine erste Risikoanalyse für die Systeme, die für Lieferungen an Sie wichtig sind, ist bis [Datum] geplant.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 1 BSIG
Typische Kundenanforderung: Gefragt wird nach Methode, Datum der letzten Analyse und Umgang mit Ergebnissen.
Empfehlung: Mit den Systemen beginnen, die für die Lieferung an den Kunden nötig sind.

Bereich 2 · Bewältigung von Sicherheitsvorfällen · RV-02-01

4. Wie melden und bearbeiten Sie Sicherheitsvorfälle?

Auch gefragt als: Incident Management · Vorfallbehandlung · Security Incident · Sicherheitsvorfall · interne Meldung

Was Ihr Kunde wissen will: Ob es einen festgelegten Ablauf gibt und wer im Ernstfall informiert.
Übliche Nachweise: Kurzbeschreibung des Ablaufs, interner Meldeweg, Kontaktadresse für Kunden.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Ein dokumentierter Ablauf vom [Datum] regelt Meldung, Bewertung und Behebung. Ansprechpartner für Kunden: [Adresse].“; teilweise „Meldewege sind bekannt und werden genutzt, aber noch nicht schriftlich festgehalten. Die Dokumentation folgt bis [Datum].“; geplant „Ein Ablauf für Sicherheitsvorfälle wird bis [Datum] festgelegt. Bis dahin melden Beschäftigte Auffälligkeiten an [Funktion].“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 2 BSIG
Typische Kundenanforderung: Kunden fragen nach einem festgelegten Ablauf und einer Meldestelle im Unternehmen.
Empfehlung: Einen einseitigen Ablauf festlegen: wer meldet wem, wer entscheidet, wer informiert Kunden.

Bereich 2 · Bewältigung von Sicherheitsvorfällen · RV-02-02

5. Informieren Sie uns, wenn ein Vorfall unsere Daten oder Lieferungen betrifft? In welcher Frist?

Auch gefragt als: Meldung an Kunden · Benachrichtigung bei Vorfällen · Incident Notification · Informationspflicht · Meldefrist

Was Ihr Kunde wissen will: Ob er rechtzeitig erfährt, was ihn betrifft – betroffene Einrichtungen haben eigene Meldefristen gegenüber dem BSI.
Übliche Nachweise: Zusage mit Frist und Kontaktweg; manchmal Verweis auf den Vertrag.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Ja. Wir informieren Sie innerhalb von [Frist, die Sie sicher einhalten können] nach Kenntnis über [Kanal] an [Adresse].“; teilweise „Ja, wir informieren Sie unverzüglich über [Kanal]. Eine feste Frist und ein benannter Kontakt bei Ihnen werden bis [Datum] abgestimmt.“; geplant „Wir legen bis [Datum] Frist und Kontaktweg für die Information von Kunden fest und teilen sie Ihnen mit.“
Hinweis: Keine Frist aus dem Fragebogen übernehmen, die Sie nicht halten können. Die Fristen aus § 32 BSIG gelten für Ihren Kunden, nicht für Sie; vertragliche Regelungen nicht im Fragebogen aushandeln.
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Satz 2 Nr. 2 und Nr. 4 BSIG. § 32 BSIG gilt für die betroffene Einrichtung gegenüber der gemeinsamen Meldestelle von BSI und BBK, nicht unmittelbar für den Zulieferer: frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall (§ 32 Abs. 1 Satz 1 Nr. 1); Meldung spätestens 72 Stunden nach Kenntniserlangung (Nr. 2); Zwischenmeldung auf Ersuchen des BSI (Nr. 3); Abschlussmeldung spätestens einen Monat nach der Meldung nach Nr. 2 (Nr. 4). Dauert der Vorfall dann noch an, folgt statt der Abschlussmeldung eine Fortschrittsmeldung und die Abschlussmeldung nach abschließender Bearbeitung (§ 32 Abs. 2). Die Fristen laufen ab der Kenntnis der Einrichtung selbst; deshalb bittet sie Zulieferer um schnelle Information.
Typische Kundenanforderung: Kunden verlangen eine Frist und einen Kontaktweg für die Information über Vorfälle, die sie betreffen; manche übernehmen dabei Fristen aus § 32 BSIG.
Empfehlung: Nur eine Frist zusagen, die sicher eingehalten werden kann; Kontaktweg beim Kunden erfragen; vertragliche Fristen nicht im Fragebogen aushandeln.

Bereich 3 · Aufrechterhaltung des Betriebs, Backup, Krisenmanagement · RV-03-01

6. Gibt es Datensicherungen, und testen Sie die Wiederherstellung?

Auch gefragt als: Backup · Datensicherung · Restore-Test · Wiederherstellungstest · Offline-Sicherung

Was Ihr Kunde wissen will: Ob Sie nach einem Ausfall oder Verschlüsselungsangriff wieder liefern können.
Übliche Nachweise: Sicherungsrhythmus, getrennte Aufbewahrung (offline oder unveränderlich), Datum des letzten Wiederherstellungstests.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Datensicherung [Rhythmus] für [Systeme], eine Kopie [getrennt vom Netz / an einem anderen Ort]. Die Wiederherstellung wird [Rhythmus] getestet, zuletzt am [Datum].“; teilweise „Datensicherungen laufen [Rhythmus] für [Systeme]. Wiederherstellungstests führen wir ab [Datum] ein.“; geplant „Eine vom Netz getrennte Sicherungskopie und Wiederherstellungstests richten wir bis [Datum] ein.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 3 BSIG
Typische Kundenanforderung: Gefragt wird nach Sicherung, getrennter Kopie und Wiederherstellungstest.
Empfehlung: Wiederherstellung tatsächlich ausprobieren und das Datum festhalten.

Bereich 3 · Aufrechterhaltung des Betriebs, Backup, Krisenmanagement · RV-03-02

7. Haben Sie einen Notfallplan für den Ausfall wichtiger Systeme?

Auch gefragt als: Notfallhandbuch · Business Continuity · BCM · Wiederanlaufplan · Krisenmanagement · Disaster Recovery

Was Ihr Kunde wissen will: Wie lange Lieferungen im Ernstfall ausfallen könnten.
Übliche Nachweise: Existenz und Datum des Plans, angestrebte Wiederanlaufzeiten für Kernprozesse.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Ja, Notfallplan vom [Datum]. Ziel-Wiederanlauf für [Prozess]: [Zeit]. Überprüfung: [Rhythmus, nur wenn festgelegt].“; teilweise „Für [Prozess oder System] gibt es einen Notfallplan. Ein Plan für alle Kernprozesse folgt bis [Datum].“; geplant „Ein Notfallplan für die Kernprozesse ist bis [Datum] geplant.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 3 BSIG
Typische Kundenanforderung: Kunden fragen nach Notfallplan und Wiederanlaufzeiten für ihre Lieferungen.
Empfehlung: Für die wichtigsten Abläufe festhalten, wie es ohne IT weitergeht und wer entscheidet.

Bereich 4 · Sicherheit der Lieferkette · RV-04-01

8. Wie prüfen Sie die Sicherheit Ihrer eigenen Dienstleister und Unterauftragnehmer?

Auch gefragt als: Lieferantenmanagement · Subunternehmer · Unterauftragnehmer · Dienstleistersteuerung · Third Party Risk · Vendor Management

Was Ihr Kunde wissen will: Ob sein Risiko über Sie an Dritte weitergereicht wird.
Übliche Nachweise: Liste wichtiger Dienstleister (ohne Vertragsdetails), Kriterien bei der Auswahl, z. B. Zertifikate oder AV-Verträge.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Wichtige Dienstleister bewerten wir bei der Auswahl und [Rhythmus, nur wenn festgelegt]. Kriterien: [Liste, z. B. Zertifikat, AV-Vertrag, Standort der Daten].“; teilweise „Für [Cloud- oder IT-Dienstleister] erfolgt eine Bewertung. Die übrigen wichtigen Dienstleister folgen bis [Datum].“; geplant „Eine Liste wichtiger Dienstleister mit Bewertungskriterien erstellen wir bis [Datum].“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 4 BSIG
Typische Kundenanforderung: Kunden wollen wissen, ob Risiken an Unterauftragnehmer weitergegeben werden.
Empfehlung: Wichtige Dienstleister auflisten und für sie Mindestanforderungen festlegen.

Bereich 5 · Sicherheit bei Erwerb, Entwicklung und Wartung, Schwachstellen · RV-05-01

9. Wie stellen Sie sicher, dass Software und Systeme aktuell gehalten werden (Patches)?

Auch gefragt als: Patchmanagement · Updates · Sicherheitsupdates · Softwareaktualisierung · Patch

Was Ihr Kunde wissen will: Ob bekannte Lücken zeitnah geschlossen werden.
Übliche Nachweise: Rhythmus für Updates, Frist für kritische Updates, eingesetztes Werkzeug.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Kritische Updates spielen wir binnen [Tage] ein, übrige [Rhythmus]. Die Verteilung erfolgt über [Werkzeug oder Verfahren].“; teilweise „Arbeitsplätze erhalten Updates automatisch. Server werden manuell aktualisiert; eine einheitliche Regel mit Fristen folgt bis [Datum].“; geplant „Eine Regel mit Fristen für Updates von [Systeme] legen wir bis [Datum] fest.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 5 BSIG
Typische Kundenanforderung: Gefragt wird nach Fristen für Sicherheitsupdates und nach dem Verfahren.
Empfehlung: Fristen nach Dringlichkeit festlegen und Ausnahmen (z. B. Maschinensteuerungen) benennen.

Bereich 5 · Sicherheit bei Erwerb, Entwicklung und Wartung, Schwachstellen · RV-05-02

10. Wie gehen Sie mit gemeldeten oder entdeckten Schwachstellen um?

Auch gefragt als: Schwachstellenmanagement · Vulnerability Management · Coordinated Vulnerability Disclosure · Sicherheitslücken · Responsible Disclosure

Was Ihr Kunde wissen will: Besonders bei Software- oder Gerätelieferanten: ob Lücken in Ihren Produkten behoben und mitgeteilt werden.
Übliche Nachweise: Kontaktadresse für Meldungen (z. B. security.txt), Ablauf zur Bewertung und Behebung.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Meldungen nehmen wir unter [Adresse] entgegen. Wir bewerten sie binnen [Tage] und informieren betroffene Kunden.“; teilweise „Meldungen gehen an [Adresse] und werden bearbeitet. Ein schriftlicher Ablauf mit Fristen folgt bis [Datum].“; geplant „Eine Meldeadresse und einen Ablauf für Schwachstellen richten wir bis [Datum] ein.“; nicht zutreffend „Nicht zutreffend: Wir liefern keine eigene Software und keine Geräte. Schwachstellen in eingesetzter Software behandeln wir über unser Update-Verfahren (siehe Frage zu Updates).“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 5 BSIG
Typische Kundenanforderung: Vor allem bei Software- und Gerätelieferanten: Annahme von Hinweisen, Behebung, Information der Kunden.
Empfehlung: Eine Kontaktadresse für Sicherheitshinweise veröffentlichen; wer keine eigenen Produkte liefert, begründet „nicht zutreffend“.

Bereich 6 · Bewertung der Wirksamkeit · RV-06-01

11. Überprüfen Sie, ob Ihre Sicherheitsmaßnahmen wirken?

Auch gefragt als: Wirksamkeitsprüfung · Audit · interne Revision · Überprüfung der Maßnahmen · Kontrolle · Penetrationstest

Was Ihr Kunde wissen will: Ob Maßnahmen nur auf dem Papier stehen.
Übliche Nachweise: Interne Überprüfung oder Audit mit Datum, ggf. Penetrationstest, Kennzahlen (z. B. Stand der Updates).
Beispielformulierungen je Umsetzungsstand: umgesetzt „Ja, durch [Art der Überprüfung] [Rhythmus, nur wenn festgelegt], zuletzt am [Datum]. Ergebnisse gehen an [Empfänger].“; teilweise „Einzelne Maßnahmen prüfen wir, z. B. [Datensicherung, Updates], zuletzt am [Datum]. Eine umfassendere Überprüfung ist bis [Datum] geplant.“; geplant „Eine erste Überprüfung der Sicherheitsmaßnahmen ist bis [Datum] geplant.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 6 BSIG
Typische Kundenanforderung: Kunden fragen, ob und wie die Maßnahmen überprüft werden und wer die Ergebnisse erhält.
Empfehlung: Mit einer einfachen jährlichen Selbstprüfung anfangen, nur wenn der Rhythmus tatsächlich eingehalten wird.

Bereich 7 · Cyberhygiene und Schulungen · RV-07-01

12. Sind Ihre Beschäftigten in Informationssicherheit geschult?

Auch gefragt als: Security Awareness · Mitarbeiterschulung · Sensibilisierung · Phishing-Schulung · Unterweisung

Was Ihr Kunde wissen will: Ob Phishing und Fehlbedienung bekannte Themen sind.
Übliche Nachweise: Schulungsrhythmus, Teilnahmequote, Datum der letzten Schulung.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Ja, [Rhythmus] für [Kreis der Beschäftigten], Teilnahmequote [x] %. Neue Beschäftigte werden [Zeitpunkt] geschult.“; teilweise „Beschäftigte mit IT-Zugang sind geschult (Stand [Datum]). Die übrigen folgen bis [Datum].“; geplant „Eine erste Schulung für [Kreis der Beschäftigten] ist bis [Datum] geplant.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 7 BSIG
Typische Kundenanforderung: Gefragt wird nach Schulungen, Teilnehmerkreis und Häufigkeit.
Empfehlung: Teilnahme festhalten; Kreis und Rhythmus nur angeben, wie sie tatsächlich sind.

Bereich 7 · Cyberhygiene und Schulungen · RV-07-02

13. Hat die Geschäftsleitung an einer Schulung teilgenommen?

Auch gefragt als: Schulung der Geschäftsführung · Management-Schulung · Leitungsorgan · Vorstand

Was Ihr Kunde wissen will: Ob Sicherheit Chefsache ist. Für betroffene Einrichtungen ist das Pflicht; Zulieferer werden oft trotzdem gefragt.
Übliche Nachweise: Datum und Anbieter der Schulung.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Ja, die Geschäftsleitung hat am [Datum] an einer Schulung zu [Thema] teilgenommen.“; teilweise „[Ein Mitglied] der Geschäftsleitung ist geschult (Datum). Die übrigen folgen bis [Datum].“; geplant „Eine Schulung der Geschäftsleitung ist bis [Datum] geplant.“
Hinweis: Ob die Schulungspflicht für Ihr Unternehmen gilt, beurteilt diese Hilfe nicht.
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 38 Abs. 3 BSIG (Pflicht für Geschäftsleitungen betroffener Einrichtungen); § 30 Abs. 2 Nr. 7 BSIG
Typische Kundenanforderung: Kunden fragen auch Zulieferer nach Schulungen der Geschäftsleitung, obwohl § 38 Abs. 3 BSIG nur Geschäftsleitungen betroffener Einrichtungen verpflichtet.
Empfehlung: Teilnahme mit Datum festhalten.

Bereich 7 · Cyberhygiene und Schulungen · RV-07-03

14. Welche Grundregeln der Cyberhygiene gelten bei Ihnen?

Auch gefragt als: Grundschutz · Basismaßnahmen · Virenschutz · Firewall · Härtung · Cyberhygiene

Was Ihr Kunde wissen will: Ob Basismaßnahmen sitzen – Virenschutz, Firewall, sichere Konfiguration, keine Administratorrechte im Alltag.
Übliche Nachweise: Kurzliste der umgesetzten Grundmaßnahmen.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Umgesetzt sind: [Liste, z. B. Virenschutz, Firewall, sichere Grundkonfiguration]. Im Alltag arbeiten alle ohne Administratorrechte.“; teilweise „Umgesetzt sind: [Liste]. Offen sind [Liste], geplant bis [Datum].“; geplant „Grundregeln für [Liste] führen wir bis [Datum] ein.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 7 BSIG (der Wortlaut nennt Schulungen und Sensibilisierung; „Cyberhygiene“ steht in Art. 21 Abs. 2 lit. g NIS2-Richtlinie)
Typische Kundenanforderung: Gefragt wird nach Basismaßnahmen wie Virenschutz, Firewall, sicherer Konfiguration, getrennten Administratorkonten.
Empfehlung: Basismaßnahmen auflisten, die tatsächlich gelten, und Ausnahmen nennen.

Bereich 8 · Kryptografie und Verschlüsselung · RV-08-01

15. Verschlüsseln Sie Daten bei Übertragung und Speicherung?

Auch gefragt als: Encryption · Verschlüsselung · TLS · Festplattenverschlüsselung · Kryptografie · Data at rest

Was Ihr Kunde wissen will: Ob seine Daten unterwegs und auf Laptops geschützt sind.
Übliche Nachweise: TLS für Webdienste und E-Mail, Festplattenverschlüsselung mobiler Geräte, ggf. Kryptokonzept.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Daten übertragen wir verschlüsselt über [Verfahren, z. B. TLS] bei [Diensten]. Verschlüsselt gespeichert sind [Geräte oder Datenträger]. Ausnahmen: [falls vorhanden].“; teilweise „Laptops sind verschlüsselt, Webdienste nutzen TLS. Mobile Datenträger folgen bis [Datum].“; geplant „Die Verschlüsselung von Laptops und mobilen Datenträgern führen wir bis [Datum] ein.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 8 BSIG
Typische Kundenanforderung: Kunden fragen nach Verschlüsselung bei Übertragung und Speicherung, oft getrennt nach Laptops, Datenträgern und Diensten.
Empfehlung: Angeben, wofür Verschlüsselung gilt und wofür nicht; keine Pauschalaussage „alles verschlüsselt“.

Bereich 9 · Personalsicherheit, Zugriffskontrolle, Anlagenverwaltung · RV-09-01

16. Wie vergeben und entziehen Sie Zugriffsrechte?

Auch gefragt als: Berechtigungsmanagement · Zugriffskontrolle · Access Management · Rechtevergabe · Least Privilege · Rezertifizierung

Was Ihr Kunde wissen will: Ob nur die Richtigen auf Systeme kommen – auch nach einem Austritt.
Übliche Nachweise: Rechte nach Bedarf, Freigabeweg, Ablauf beim Austritt, regelmäßige Überprüfung.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Rechte werden nach Aufgabe vergeben und von [Funktion] freigegeben. Beim Austritt entziehen wir sie am letzten Arbeitstag. Überprüfung [Rhythmus].“; teilweise „Der Entzug beim Austritt ist geregelt. Eine wiederkehrende Überprüfung der Rechte führen wir ab [Datum] ein.“; geplant „Einen festen Ablauf für Vergabe und Entzug von Rechten legen wir bis [Datum] fest.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 9 BSIG
Typische Kundenanforderung: Gefragt wird nach Vergabe, Überprüfung und Entzug von Rechten.
Empfehlung: Rechte nach Aufgaben vergeben und beim Austritt am selben Tag entziehen, wenn das organisatorisch möglich ist.

Bereich 9 · Personalsicherheit, Zugriffskontrolle, Anlagenverwaltung · RV-09-02

17. Haben Sie ein Verzeichnis Ihrer IT-Systeme und Geräte?

Auch gefragt als: Asset Management · Inventar · IT-Inventar · Anlagenverzeichnis · Geräteverzeichnis · CMDB

Was Ihr Kunde wissen will: Ob Sie wissen, was Sie schützen müssen.
Übliche Nachweise: Existenz und Pflege eines Inventars (Werkzeug oder Tabelle), Datum der letzten Aktualisierung.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Ja, laufend gepflegt in [Werkzeug], zuletzt aktualisiert am [Datum].“; teilweise „Für Server und Arbeitsplätze vorhanden. Netzwerkgeräte und Cloud-Dienste folgen bis [Datum].“; geplant „Ein Verzeichnis aller IT-Systeme und Geräte erstellen wir bis [Datum].“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 9 BSIG (Verwaltung von IKT-Systemen; in Art. 21 Abs. 2 lit. i NIS2-Richtlinie „Management von Anlagen“)
Typische Kundenanforderung: Kunden fragen nach einem Verzeichnis der Systeme und Geräte.
Empfehlung: Eine einfache Liste genügt für den Anfang: Gerät, Zweck, Verantwortlicher, Stand.

Bereich 9 · Personalsicherheit, Zugriffskontrolle, Anlagenverwaltung · RV-09-03

18. Werden Beschäftigte bei Eintritt und Austritt sicherheitsbezogen behandelt?

Auch gefragt als: Onboarding · Offboarding · Eintritt und Austritt · Personalsicherheit · Verschwiegenheitserklärung

Was Ihr Kunde wissen will: Personalsicherheit – Verschwiegenheit, Rückgabe von Geräten, Entzug von Rechten.
Übliche Nachweise: Verpflichtung auf Vertraulichkeit, Checkliste für Ein- und Austritt.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Beschäftigte werden bei Eintritt auf Vertraulichkeit verpflichtet. Beim Austritt regelt eine Checkliste Rückgabe von Geräten und Entzug von Rechten.“; teilweise „Die Verpflichtung auf Vertraulichkeit erfolgt bei Eintritt. Eine Checkliste für den Austritt folgt bis [Datum].“; geplant „Verpflichtung auf Vertraulichkeit und Checkliste für Ein- und Austritt führen wir bis [Datum] ein.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 9 BSIG
Typische Kundenanforderung: Gefragt wird nach Verschwiegenheit, Geräterückgabe und Rechteentzug bei Ein- und Austritt.
Empfehlung: Eine Checkliste für Ein- und Austritt verwenden und abzeichnen lassen.

Bereich 10 · MFA und gesicherte Kommunikation · RV-10-01

19. Nutzen Sie Mehr-Faktor-Authentifizierung (MFA)?

Auch gefragt als: Zwei-Faktor-Authentifizierung · 2FA · Multi-Faktor · starke Authentifizierung · MFA

Was Ihr Kunde wissen will: Ob ein gestohlenes Passwort allein nicht reicht – besonders für Fernzugang, E-Mail und Administratorkonten.
Übliche Nachweise: Liste der Zugänge mit MFA, ggf. Bildschirmfoto der Richtlinie.
Beispielformulierungen je Umsetzungsstand: umgesetzt „MFA ist eingerichtet für [Zugänge, z. B. Fernzugang, E-Mail, Cloud-Dienste, Administratorkonten] und gilt für [Kreis der Konten]. Ausnahmen: [falls vorhanden].“; teilweise „MFA gilt für Fernzugang und Administratorkonten. Für E-Mail und Cloud-Dienste folgt sie bis [Datum].“; geplant „MFA für Fernzugang und Administratorkonten führen wir bis [Datum] ein.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 10 BSIG
Typische Kundenanforderung: Kunden fragen, für welche Zugänge MFA gilt.
Empfehlung: Zugänge einzeln nennen (Fernzugang, E-Mail, Cloud, Administratorkonten) und Ausnahmen angeben.

Bereich 10 · MFA und gesicherte Kommunikation · RV-10-02

20. Wie kommunizieren Sie im Notfall, wenn E-Mail und Telefonanlage ausfallen?

Auch gefragt als: Notfallkommunikation · Krisenkommunikation · Ausweichkommunikation · Out-of-band · Alarmierung

Was Ihr Kunde wissen will: Ob Sie erreichbar bleiben, wenn die eigene IT angegriffen ist.
Übliche Nachweise: Notfall-Kontaktliste außerhalb der IT, Ersatzkanal (z. B. Mobiltelefone), Kontakt für den Kunden.
Beispielformulierungen je Umsetzungsstand: umgesetzt „Notfallkontakte liegen ausgedruckt vor. Ersatzkanal ist [Kanal]. Ihr Ansprechpartner im Notfall: [Nummer].“; teilweise „Ein Ersatzkanal ([Kanal]) ist festgelegt. Eine ausgedruckte Kontaktliste und ein Kontakt für Kunden folgen bis [Datum].“; geplant „Einen Ersatzkanal für die Kommunikation im Notfall legen wir bis [Datum] fest.“
Gesetzliche Anforderung (gilt für betroffene Einrichtungen): § 30 Abs. 2 Nr. 10 BSIG (gesicherte Notfallkommunikation)
Typische Kundenanforderung: Gefragt wird, wie das Unternehmen erreichbar bleibt, wenn E-Mail und Telefonanlage ausfallen.
Empfehlung: Eine Ausweichverbindung und eine Telefonliste auf Papier festlegen.

Der Fragebogen Ihres Kunden hat mehr als 20 Fragen?

Ein Paket mit mehr Fragen, Antwort-Mappe, Nachweisregister und Maßnahmenplan ist in Vorbereitung und noch nicht bestellbar.

Mehr zum geplanten Paket

20 typische Fragen aus NIS2-Lieferanten­fragebögen