Orientierung
Lieferanten- und Kundenfragebögen vs. BSIG-Pflichten
Viele Unternehmen bekommen als Erstes keinen BSI-Brief, sondern einen Fragebogen eines Kunden oder Lieferanten zu NIS-2, ISO 27001 oder Informationssicherheit. Das ist verständlicherweise stressig, beantwortet aber eine andere Frage als § 28 BSIG: Vertrag versus Gesetz.
Zwei getrennte Fragen
Die gesetzliche Betroffenheit nach § 28 BSIG hängt von Sektor, Größe und Sonderfällen ab, nicht davon, ob jemand Sie per Excel fragt. Ein Lieferantenfragebogen kann vertragliche Nachweise, Selbstauskünfte oder Sicherheitsklauseln verlangen, auch wenn Sie nach BSIG derzeit außerhalb von Anlage 1 und 2 und unter den Größenschwellen liegen.
Umgekehrt befreit ein unbeantworteter Fragebogen niemanden von BSIG-Pflichten, wenn die gesetzlichen Voraussetzungen erfüllt sind. Wer nur den Bogen ausfüllt, ohne die Betroffenheitsfrage zu klären, riskiert Doppelarbeit oder falsche Prioritäten.
Was Fragebögen typischerweise auslösen
In der Beschaffung dienen Fragebögen dazu, Risiken in der Lieferkette zu dokumentieren: vorhandene Zertifikate, Incident-Prozesse, Verantwortlichkeiten, Unterauftragnehmer. Das kann zu vertraglichen Fristen, Nachbesserungen oder zum Verlust eines Auftrags führen. Das ist wirtschaftlicher Druck, keine automatische Einordnung als wichtige Einrichtung.
Antworten können zudem als zugesicherte Tatsachen gegen Sie gehalten werden. Formulieren Sie deshalb klar, was Sie gesetzlich vermuten, was Sie vertraglich zusagen und was noch geprüft wird. Noch nicht geprüft ist ehrlicher als eine vorschnelle Nicht-betroffen-Aussage, die später nicht haltbar ist.
Praktische Trennung im Alltag
Arbeiten Sie in zwei Spuren: Zuerst die Betroffenheit nach § 28 BSIG klären, idealerweise mit der offiziellen BSI-Betroffenheitsprüfung oder einer Fachprüfung. Parallel prüfen Sie den Vertrag: Welche Nachweise verlangt der Kunde wirklich, bis wann, und was passiert bei Abweichung?
Für die Vertragsantwort reichen oft eine strukturierte Bestandsaufnahme, vorhandene ISO- oder IT-Grundschutz-Unterlagen und ein Plan für Lücken. Für BSIG-Pflichten brauchen Sie bei Betroffenheit zusätzlich Registrierung (§§ 33 und 34 BSIG), Risikomanagement-Nachweise (§ 30 BSIG) und Meldeprozesse (§ 32 BSIG). Vermischen Sie die Spuren nicht in einem Satz an den Kunden.
Was dieses Tool leistet
NIS2 Ready hilft bei der ersten gesetzlichen Einordnung, nicht beim Ausfüllen eines Kundenfragebogens. Es ist keine Rechtsberatung, keine Zertifizierung und kein BSI-Audit. Antworten bleiben in Ihrem Browser; der Server speichert keine Check-Eingaben.