RiskaveloRatgeber · Anlass: Der Kunde will Nachweise sehen
Nachweise im NIS2-Lieferantenfragebogen: welche Unterlagen Kunden sehen wollen – und welche nicht nötig sind
Viele Fragebögen enden mit einer Spalte „Nachweis“ oder der Bitte, Unterlagen beizulegen. Meist reicht weniger, als man befürchtet: ein Auszug, ein Datum, eine Liste. Wichtig ist, dass Antwort und Nachweis zusammenpassen.
Was dieser Ratgeber nicht tut: Er beurteilt nicht, ob Ihr Unternehmen oder Ihr Kunde unter das BSIG fällt, welche Nachweise Sie vertraglich schulden oder ob ein Nachweis „ausreicht“. Das entscheidet Ihr Kunde, im Zweifel mit Ihrer Rechtsberatung.
Warum Kunden Nachweise verlangen
Einrichtungen im Sinne des BSIG müssen bei ihren Risikomanagementmaßnahmen die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ berücksichtigen (§ 30 Abs. 2 Satz 2 Nr. 4 BSIG). Die Richtlinie nennt dabei ausdrücklich die Qualität der Cybersicherheitspraxis der Anbieter (Art. 21 Abs. 3 der Richtlinie (EU) 2022/2555). Welche Unterlagen ein Kunde dafür anfordert, schreibt das Gesetz nicht vor. Nachweise sind also eine Anforderung Ihres Kunden, keine unmittelbare gesetzliche Pflicht Ihres Unternehmens.
Drei Grundsätze
- Auf Anfrage statt ungefragt. Im Fragebogen genügt oft „liegt vor, Auszug auf Anfrage“. So geben Sie nur heraus, was der Kunde wirklich prüft.
- Auszug statt Volltext. Deckblatt mit Datum und Freigabe, Inhaltsverzeichnis, die betreffende Seite – das belegt, dass es das Dokument gibt und wie aktuell es ist.
- Datum schlägt Hochglanz. „Letzter Wiederherstellungstest am …“ sagt mehr als ein schön gesetztes Konzept ohne Datum.
Zwölf übliche Nachweise und was meist genügt
Die Auswahl stammt aus den Nachweisangaben unseres Katalogs von 116 typischen Fragen. Eine belastbare Zählung, welche Nachweise Kunden am häufigsten verlangen, gibt es nicht.
| Thema | Was meist genügt |
|---|---|
| Verantwortliche Person | Funktion und Kontaktadresse, Auszug aus Organigramm oder Benennungsschreiben |
| Sicherheitsleitlinie | Deckblatt mit Datum und Freigabe der Geschäftsleitung, Inhaltsverzeichnis |
| Risikoanalyse | Datum der letzten Analyse, Methode, wichtigste Risiken ohne Einzelheiten |
| Vorfallbearbeitung | Kurzbeschreibung des Ablaufs, Meldeweg, Kontakt für Kunden |
| Datensicherung | Rhythmus, getrennte Aufbewahrung, Datum des letzten Wiederherstellungstests |
| Notfallplan | Existenz und Datum des Plans, Zielzeiten für den Wiederanlauf |
| Eigene Dienstleister | Liste wichtiger Dienstleister mit Leistung und Art des Zugriffs, ohne Vertragsdetails |
| Updates | Rhythmus, Frist für kritische Updates, eingesetztes Werkzeug |
| Schulung | Rhythmus, Teilnahmequote, Datum der letzten Schulung |
| Zugriffsrechte | Ablauf für Vergabe und Entzug, Datum der letzten Überprüfung |
| Mehr-Faktor-Anmeldung | Liste der Zugänge mit MFA, Ausnahmen |
| Zertifikat oder Testat | Kopie mit Geltungsbereich und Gültigkeit – nur, wenn vorhanden |
Was Sie nicht herausgeben
- Netzpläne mit Adressen, Schwachstellenlisten, Prüfberichte im Volltext, Systemversionen und Zugangsdaten – solche Unterlagen sind selbst ein Risiko, auch beim Kunden.
- Details zu früheren Vorfällen. Eine Zusammenfassung (Zeitraum, Art, Auswirkung auf Kunden, Maßnahmen) reicht in der Regel.
- Verträge mit eigenen Dienstleistern. Eine Liste der vereinbarten Punkte belegt dasselbe.
Für Prüfberichte üblich: Management-Zusammenfassung auf Anfrage, ggf. nach Geheimhaltungsvereinbarung. Ob und wie Sie Einsicht vor Ort gewähren, entscheiden Sie mit Ihrem Kunden.
Wenn ein Nachweis fehlt
Das ist bei kleinen Zulieferern der Normalfall und kein Grund für eine geschönte Antwort. Üblich ist, den Stand ehrlich zu benennen und einen Termin zu nennen, zum Beispiel:
„Eine schriftliche Leitlinie liegt noch nicht vor. Die Regeln werden heute in [Bereich] angewandt; die Leitlinie wird bis [Datum] erstellt und von der Geschäftsleitung freigegeben. Wir senden sie Ihnen dann zu.“
Eine falsche „Ja“-Antwort mit einem Nachweis, den Sie später nicht liefern können, schadet der Kundenbeziehung meist mehr als eine offene Antwort mit Plan.
Einmal sammeln, mehrfach verwenden
Legen Sie eine Liste an: Nachweis, Ablageort, Stand, verantwortliche Person, nächste Prüfung. Beim nächsten Fragebogen sehen Sie sofort, was vorhanden und aktuell ist – und was Sie zusagen können.
Hilfe für Antworten und Nachweise
Zu 20 typischen Fragen finden Sie auf dieser Seite gratis und ohne Anmeldung Beispielantworten und den jeweils üblichen Nachweis. Das Paket Riskavelo Komplett (149 €) enthält zu allen 116 Katalogfragen Antworttexte für „umgesetzt“, „teilweise“ und „geplant“ sowie eine Antwort-Mappe für Excel oder LibreOffice mit Nachweisregister und Maßnahmenplan. 30 Tage Geld zurück nach AGB Ziffer 6a.
Weitere Ratgeber: NIS2-Fragebogen vom Kunden in fünf Schritten beantworten · Sicherheitsübersicht für Kunden vorab.
Stand 14.11.2026. Fundstellen: BSIG vom 02.12.2025 (BGBl. 2025 I Nr. 301), zuletzt geändert durch Art. 8 G v. 22.10.2026 (BGBl. 2026 I Nr. 318); § 30 BSIG (abgerufen 12.11.2026); Richtlinie (EU) 2022/2555, Art. 21 (abgerufen 07.11.2026). Fachliche Gegenlese durch Dritte: noch nicht erfolgt. Fehler bitte an info@riskavelo.de.