Ratgeber · Anlass: Kunden fragen bald nach

Selbstauskunft Informations­sicherheit: eine Sicherheits­übersicht für Kunden, bevor der Fragebogen kommt

Wer an Unternehmen liefert, die unter das BSIG fallen, wird früher oder später nach seiner Informationssicherheit gefragt. Eine kurze, ehrliche Sicherheitsübersicht beantwortet die üblichen Fragen vorab – und macht den nächsten Fragebogen leichter.

Was dieser Ratgeber nicht tut: Er beurteilt nicht, ob Ihr Unternehmen oder Ihr Kunde unter das BSIG fällt, und ersetzt keine Rechtsberatung. Eine Selbstauskunft ist keine Prüfung und kein Zertifikat.

Warum vorab statt auf Nachfrage

Einrichtungen im Sinne des BSIG müssen auch die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ berücksichtigen (§ 30 Abs. 2 Satz 2 Nr. 4 BSIG; europäisch Art. 21 Abs. 2 Buchst. d der Richtlinie (EU) 2022/2555). Wie sie das tun, legt das Gesetz nicht im Einzelnen fest; viele fragen ihre Lieferanten schriftlich.

  • Sie bestimmen Form und Detailtiefe. Eine eigene Übersicht zeigt das, was Sie für richtig halten – nicht das, was ein fremdes Formular abfragt.
  • Der Fragebogen geht schneller. Die meisten Fragen decken sich mit den Themen Ihrer Übersicht; Sie übernehmen die Texte und ergänzen den Rest.
  • Ihr Einkauf beim Kunden hat etwas in der Hand. Sie können anbieten, die Übersicht statt eines eigenen Fragebogens zu verwenden oder nur nachzufragen, was fehlt. Ob der Kunde das annimmt, entscheidet er.

Was hineingehört

  • Geltungsbereich: für welche Gesellschaft, Standorte und Leistungen die Angaben gelten.
  • Je Thema ein Stand: umgesetzt, teilweise (was gilt, was fehlt) oder geplant (mit Termin) – in zwei, drei Sätzen.
  • Übliche Nachweise auf Anfrage: etwa Richtlinie, Schulungsnachweis, Auszug aus dem Notfallplan.
  • Ansprechpartner und Datum: wer bei Fragen und Vorfällen erreichbar ist, Stand der Angaben, nächste Überprüfung.
  • Der Hinweis „Selbstauskunft auf Grundlage eigener Angaben“. Das ist ehrlich und schützt vor Missverständnissen.

Was nicht hineingehört

  • Netzpläne, Schwachstellenlisten, Systemversionen, Zugangsdaten oder Details zu früheren Vorfällen – solche Angaben sind selbst ein Risiko.
  • Aussagen wie „NIS2-konform“ oder „BSI-geprüft“: Eine allgemeine Bescheinigung dieser Art sieht das BSIG nicht vor.
  • Zusagen, die Sie im Alltag nicht halten können, etwa feste Meldefristen rund um die Uhr.

15 typische Themen

Diese Themen tauchen in Lieferantenfragebögen regelmäßig auf; sie decken alle zehn Bereiche aus § 30 Abs. 2 Satz 2 BSIG und die allgemeinen Angaben ab. Eine belastbare Zählung, welche Fragen am häufigsten gestellt werden, gibt es nicht – die Auswahl beruht auf den Bereichen des Gesetzes und unserem Katalog von 116 Fragen.

  1. Verantwortliche Person für Informationssicherheit
  2. Regelmäßige Risikoanalyse für die IT
  3. Melden und Bearbeiten von Sicherheitsvorfällen
  4. Information des Kunden bei Vorfällen, die ihn betreffen
  5. Erreichbarkeit bei einem Sicherheitsvorfall
  6. Datensicherung und Test der Wiederherstellung
  7. Notfallplan für den Ausfall wichtiger Systeme
  8. Sicherheit der eigenen Dienstleister
  9. Aktualisierung von Software und Systemen
  10. Überprüfung, ob die Maßnahmen wirken
  11. Schulung der Beschäftigten
  12. Verschlüsselung bei Übertragung und Speicherung
  13. Vergabe und Entzug von Zugriffsrechten
  14. Mehr-Faktor-Anmeldung
  15. Geltungsbereich der Angaben

So gehen Sie vor

  1. Themen festlegen. Die Liste oben ist ein Ausgangspunkt; streichen Sie, was für Ihre Leistung nicht passt, und ergänzen Sie, was Ihre Kunden erfahrungsgemäß fragen.
  2. Stand ehrlich festhalten. „Teilweise“ und „geplant“ mit Termin sind übliche Antworten; eine falsche „Ja“-Antwort kann später mehr kosten als eine offene.
  3. Auf zwei Seiten bringen. Länger liest es niemand. Datum und Ansprechpartner oben.
  4. An die wichtigsten Kunden schicken – an Einkauf oder Lieferantenmanagement, mit dem Angebot, Fragen zu beantworten.
  5. Jährlich und bei wesentlichen Änderungen erneuern. Die Übersicht ist nur so viel wert wie ihr Stand.

Hilfe für die Übersicht

Zu 20 typischen Fragen finden Sie auf dieser Seite gratis und ohne Anmeldung Beispielantworten für „umgesetzt“, „teilweise“ und „geplant“. Das Paket Riskavelo Komplett (149 €) enthält eine Antwort-Mappe für Excel oder LibreOffice mit dem Blatt „Sicherheitsübersicht“: Die 15 Themen oben sind dort vorbelegt, die Übersicht übernimmt Ihren Stand und Ihre Antworttexte und lässt sich auf A4 drucken. Kommt danach ein Fragebogen, ziehen Sie dieselben Antworten aus 116 Katalogfragen. 30 Tage Geld zurück nach AGB Ziffer 6a.

Schon einen Fragebogen auf dem Tisch? Dann hilft der Ratgeber NIS2-Fragebogen vom Kunden in fünf Schritten beantworten.

Stand 13.11.2026. Fundstellen: BSIG vom 02.12.2025 (BGBl. 2025 I Nr. 301), zuletzt geändert durch Art. 8 G v. 22.10.2026 (BGBl. 2026 I Nr. 318); § 30 BSIG (abgerufen 12.11.2026); Richtlinie (EU) 2022/2555, Art. 21 (abgerufen 07.11.2026). Fachliche Gegenlese durch Dritte: noch nicht erfolgt. Fehler bitte an info@riskavelo.de.