Ratgeber · Anlass: Fragebogen vom Kunden

NIS2-Fragebogen vom Kunden bekommen: in fünf Schritten beantworten

Ein Kunde schickt Ihnen einen Fragebogen zur Informationssicherheit und nennt NIS2 oder das BSIG. Hier steht, warum er fragt, was das für Sie bedeutet und wie Sie ehrlich, vollständig und ohne unnötige Details antworten.

Was dieser Ratgeber nicht tut: Er beurteilt nicht, ob Ihr Kunde oder Ihr Unternehmen unter das BSIG fällt, und ersetzt keine Rechtsberatung. Was in Ihrem Vertrag mit dem Kunden steht, prüfen Sie selbst oder mit Ihrer Rechtsberatung.

Warum Ihr Kunde fragt

Unternehmen, die nach dem BSIG als „besonders wichtige“ oder „wichtige Einrichtung“ gelten, müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und deren Einhaltung dokumentieren (§ 30 Abs. 1 BSIG). Zu den Maßnahmen gehört ausdrücklich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ (§ 30 Abs. 2 Satz 2 Nr. 4 BSIG; europäische Grundlage: Art. 21 Abs. 2 Buchst. d der Richtlinie (EU) 2022/2555).

Wie ein Unternehmen das umsetzt, schreibt das Gesetz nicht im Einzelnen vor. Viele wählen einen Fragebogen an ihre unmittelbaren Lieferanten und Dienstleister. Ihr Kunde will damit vor allem wissen: Wie gut sind Sie organisiert, wie schnell erfährt er von einem Vorfall bei Ihnen, und was können Sie belegen?

Was das für Sie heißt

  • Die gesetzliche Pflicht trifft zunächst Ihren Kunden. Der Fragebogen allein macht Sie nicht zur Einrichtung im Sinne des BSIG. Ob Ihr Unternehmen selbst darunter fällt, richtet sich nach Branche und Größe (§ 28 BSIG) und ist eine eigene Frage.
  • Pflichten können aus dem Vertrag kommen. Manche Kunden verbinden den Fragebogen mit Vertragsklauseln, etwa zu Meldefristen bei Vorfällen oder zu Prüfrechten. Was Sie dort zusagen, bindet Sie – lesen Sie solche Klauseln, bevor Sie unterschreiben.
  • „Teilweise“ und „geplant“ sind übliche Antworten. Kunden erwarten in der Regel keinen perfekten Stand, sondern einen ehrlichen, nachvollziehbaren. Eine falsche „Ja“-Antwort kann Sie später mehr kosten als eine offene.

In fünf Schritten zur Antwort

  1. Rahmen klären. Bis wann braucht der Kunde die Antwort, wer ist Ansprechpartner, sollen Nachweise beigefügt werden? Fragen Sie nach, wenn eine Frage unklar ist oder für Ihre Leistung offensichtlich nicht passt.
  2. Fragen ordnen. Die meisten Fragen lassen sich den zehn Bereichen aus § 30 Abs. 2 Satz 2 BSIG zuordnen: Risikoanalyse und Sicherheitskonzepte, Vorfälle, Betrieb und Backup, Lieferkette, Beschaffung und Wartung, Wirksamkeit, Schulung, Verschlüsselung, Personal und Zugriffe, Mehr-Faktor-Anmeldung. Dazu kommen allgemeine Fragen, etwa nach Zertifikaten oder Ansprechpartnern. So sehen Sie, wo Sie Antworten schon haben.
  3. Stand je Frage ehrlich festhalten. Umgesetzt, teilweise, geplant (mit Termin) oder nicht zutreffend (mit kurzem Grund). Schreiben Sie bei „teilweise“ dazu, was gilt und was noch fehlt.
  4. Nachweise passend wählen. Üblich sind Richtlinien, Schulungsnachweise, Auszüge aus dem Notfallplan oder eine kurze Sicherheitsübersicht. Netzpläne, Schwachstellenlisten oder Zugangsdaten gehören nicht in einen Fragebogen; bieten Sie stattdessen eine Zusammenfassung oder ein Gespräch an.
  5. Einmal pflegen, mehrfach nutzen. Der nächste Kunde fragt Ähnliches mit anderen Worten. Halten Sie Ihre Antworten zentral fest, mit Datum, und teilen Sie wesentliche Änderungen aktiv mit, wenn der Kunde das verlangt.

Häufige Fehler

  • Alles mit „Ja“ beantworten, um schnell fertig zu sein.
  • Ein Zertifikat oder eine „NIS2-Konformität“ angeben, die es nicht gibt – eine solche allgemeine Bescheinigung sieht das BSIG nicht vor.
  • Zu viele technische Details preisgeben, die selbst ein Risiko sind.
  • Fristen in Vertragsklauseln zusagen, die Sie im Alltag nicht einhalten können.

Hilfe für die Antworten

Auf der Seite 20 typische Fragen aus NIS2-Lieferantenfragebögen finden Sie gratis und ohne Anmeldung zu jeder Frage, was der Kunde wissen will, übliche Nachweise und Beispielantworten für „umgesetzt“, „teilweise“ und „geplant“. Das Paket Riskavelo Komplett (149 €) enthält 116 Fragen mit Antworttexten und eine Antwort-Mappe für Excel oder LibreOffice, in der Sie Ihre Antworten einmal pflegen und für jeden Kunden wiederverwenden.

Stand 12.11.2026. Fundstellen: BSIG vom 02.12.2025 (BGBl. 2025 I Nr. 301), zuletzt geändert durch Art. 8 G v. 22.10.2026 (BGBl. 2026 I Nr. 318); § 30 BSIG (abgerufen 12.11.2026), § 28 BSIG (abgerufen 11.11.2026); Richtlinie (EU) 2022/2555, Art. 21 (abgerufen 07.11.2026). Fachliche Gegenlese durch Dritte: noch nicht erfolgt. Fehler bitte an info@riskavelo.de.