Kostenloses Werkzeug
Hier steht, was die Fragen wirklich wollen — und was du ehrlich ankreuzen kannst, ohne dir den Auftrag zu verbauen.
Läuft komplett in deinem Browser. Du lädst nichts hoch, wir sehen nichts. Die Auswahl liegt nur in diesem Tab und ist nach dem Neuladen weg.
0 von 10 Fragen beantwortet. Nach dem Neuladen ist die Auswahl weg.
Das hier ist Orientierung, keine Rechtsberatung. Bei vertraglichen Zusicherungen fragst du besser jemanden, der dafür haftet.
Seit dem 6. Dezember 2025 gilt in Deutschland das umgesetzte NIS-2-Recht im BSI-Gesetz. Besonders wichtige und wichtige Einrichtungen müssen ihre IT absichern.
Dazu gehört die Sicherheit der Lieferkette — auch gegenüber unmittelbaren Anbietern und Diensteanbietern. Das steht in § 30 Abs. 2 Nr. 4 BSIG.
Dein Kunde muss das gegenüber der Aufsicht vertreten. Deshalb landet der Fragebogen bei dir.
Das BSI schreibt das so: Betroffene Unternehmen reichen die Anforderungen an ihre Dienstleister weiter. Dazu kann die nachweisliche Umsetzung der eigenen Maßnahmen zählen.
Du selbst bist wahrscheinlich gar nicht NIS2-pflichtig — dein Kunde ist es.
Lauter Nein, leere Felder, nichts dazu geschrieben. Der Einkauf liest Unsicherheit. Er sucht jemanden, der liefern kann.
Ein ehrliches Teilweise mit Termin kostet dich seltener den Auftrag als Schweigen.
Ein Ja, das nicht stimmt, ist eine Aussage gegenüber deinem Kunden. Daran kann er dich später messen.
Im Ernstfall zählt, was du zugesichert hast — nicht, was du gemeint hast.
Die Gliederung folgt den Mindestmaßnahmen in § 30 Abs. 2 BSIG. Dein Bogen kann anders heißen. Der Inhalt ist meist derselbe.
Gesetzestext: „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik.“ (§ 30 Abs. 2 Nr. 1 BSIG)
Der Kunde will wissen, ob ihr euch jemals aufgeschrieben habt, was bei euch schiefgehen kann — nicht, ob eine Konzern-Risikomatrix existiert.
Das Dokument selbst, Datum der letzten Durchsicht, wer dabei war. Eine Seite reicht in einem kleinen Betrieb.
Nicht „jährliche Risikoanalyse nach ISO 27001“ oder „formelles Risikomanagement“, wenn die Risiken nur im Kopf des Chefs existieren. Nachgefragt wird das Papier, nicht das Gefühl.
Gesetzestext: „Bewältigung von Sicherheitsvorfällen.“ (§ 30 Abs. 2 Nr. 2 BSIG)
Der Kunde will wissen, ob jemand weiß, was zu tun ist, wenn etwas passiert — nicht, ob ihr eine Sicherheitsleitstelle rund um die Uhr habt.
Ein- bis zweiseitiger Ablauf, wer anzurufen ist, Datum der letzten Durchsprache. Eine Übung ist besser als eine ungelesene Datei — aber ohne Übung darfst du „geübt“ nicht ankreuzen.
Nicht „24/7-Incident-Response-Team“ oder „getesteter IR-Plan“, wenn der Plan der Chef mit dem Handy ist und nie durchgespielt wurde. Im Schadensfall will der Kunde den Ablauf sehen, den du behauptet hast.
Gesetzestext: „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement.“ (§ 30 Abs. 2 Nr. 3 BSIG)
Der Kunde will wissen, ob du nach einem Verschlüsselungsangriff in ein paar Tagen wieder liefern kannst — oder ob sein Projekt dann steht.
Die mittlere Stufe ist eine zulässige Antwort. Ein ehrliches Teilweise kostet dich seltener den Auftrag als ein Ja, das im Ernstfall auffliegt. Die untere Stufe: sag es und nenne einen Termin. Nicht leer lassen — unbeantwortete Felder lesen Einkäufer schlechter als ein Nein.
Screenshot des Sicherungsplans, Datum der letzten erfolgreichen Wiederherstellung, Ort der Offline-Kopie.
„Getestetes Notfallwiederherstellungskonzept“, wenn nie eine Wiederherstellung gelaufen ist. Das ist die Angabe, an der im Schadensfall die Haftungsfrage hängt — und die einzige in diesem Block, die jemand später wirklich nachprüft.
Gesetzestext: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.“ (§ 30 Abs. 2 Nr. 4 BSIG)
Der Kunde will wissen, ob du selbst weißt, wer an deiner IT hängt — Hosting, Steuerberater-Cloud, der, der den Server macht — und ob du die je gefragt hast.
Die Liste, die letzte Anfrage, die Antworten. Du musst niemanden zertifizieren. Du musst sagen können, wen du beauftragst.
Nicht „alle Unterauftragnehmer nach NIS2 geprüft“ — das Gesetz verpflichtet in aller Regel dich nicht, und „geprüft“ ohne Frage ist eine leere Hülse. Auch nicht „Lieferantenaudits“, wenn du nie eine Auskunft eingeholt hast.
Gesetzestext: „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen.“ (§ 30 Abs. 2 Nr. 5 BSIG)
Der Kunde will wissen, ob Sicherheitsupdates nicht irgendwann kommen, sondern jemand zuständig ist und eine Regel existiert.
Wer zuständig ist, die Regel in einem Satz, Datum der letzten Kontrolle, Liste der Systeme — auch wenn die Liste kurz ist.
Nicht „Patch-Management-Prozess nach Standard“ oder „alle Systeme innerhalb von 48 Stunden gepatcht“, wenn du das nicht messen kannst. Automatische Windows-Updates sind ein Anfang, kein Prozess auf dem Papier.
Gesetzestext: „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik.“ (§ 30 Abs. 2 Nr. 6 BSIG)
Der Kunde will wissen, ob du nachschaust, ob das, was du aufgeschrieben hast, auch passiert — nicht, ob eine Überwachungssoftware läuft.
Kurzes Protokoll mit Datum: was angeschaut wurde, was nicht gepasst hat, was geändert wird.
Nicht „kontinuierliches Monitoring“, „SIEM“ oder „jährliches Audit durch Dritte“, wenn das nicht stattfindet. Wirksamkeit heißt nachschauen — nicht ein Produktnamen-Kästchen.
Gesetzestext: „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik.“ (§ 30 Abs. 2 Nr. 7 BSIG)
Der Kunde will wissen, ob die Leute wissen, dass ein seltsamer Anhang nicht geöffnet wird — nicht, ob ein teures Schulungsabo läuft.
Thema, Datum, wer da war. In einem kleinen Betrieb ist das ein unterschriebener Zettel, kein Lernportal.
Nicht „Phishing-Simulationen“ oder „zertifiziertes Awareness-Programm“, wenn es ein Satz in der Montagsrunde war. Dokumentiert ist nur, was du zeigen kannst.
Gesetzestext: „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren.“ (§ 30 Abs. 2 Nr. 8 BSIG)
Der Kunde will wissen, ob eine gestohlene Festplatte oder ein verloren gegangenes Notebook lesbar ist.
Die Einstellung am Gerät oder eine kurze Geräteliste mit Vermerk „verschlüsselt ja/nein“. Ein Windows-Anmeldekennwort ist keine Festplattenverschlüsselung.
Nicht „Datenträger verschlüsselt“, wenn nur das Anmeldekennwort existiert. Nicht „Ende-zu-Ende-Verschlüsselung aller Kommunikation“, wenn du das nicht eingerichtet hast.
Gesetzestext: „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen.“ (§ 30 Abs. 2 Nr. 9 BSIG)
Der Kunde will wissen, ob jemand, der geht, noch in die Mail kommt — und ob ihr wisst, welche Konten und Geräte ihr habt.
Liste der Konten und Geräte. Eine Austritts-Checkliste. Datum der letzten Durchsicht.
Nicht „sofortiger Entzug aller Berechtigungen“, wenn der letzte Austritt noch Wochen die Mail bekommen hat. Nicht „Rollenkonzept / IAM“, wenn die Passwörter in einer Schublade liegen.
Gesetzestext: „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.“ (§ 30 Abs. 2 Nr. 10 BSIG)
Der Kunde will wissen, ob ein gestohlenes Passwort reicht, um in Mail, Cloud oder Fernwartung zu kommen.
Die Konto-Einstellung (ohne das Konto mit Adressen zu fotografieren). Eine kurze Liste: Dienst, MFA ja oder nein.
Nicht „MFA unternehmensweit verpflichtend“, wenn nur ein einzelnes Portal es erzwingt. Nicht „kontinuierliche Authentifizierung“, wenn du SMS-Codes an einem Konto meinst.
Nachweise erzeugen und pflegen, Lieferantenabfragen automatisieren, Meldewege bauen — das macht agent030. Pentests machen wir nicht — dafür gibt es Spezialisten. Ebenso nicht: ein ISMS aufbauen, ISO-27001 zertifizieren, Rechtsberatung.
Ein Anruf genügt: +49 178 4782133
oder hallo@agent030.de
Das BSI-Gesetz verpflichtet dich als kleinen Zulieferer in aller Regel nicht. Verpflichtet ist die größere Einrichtung — dein Kunde.
Der muss nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit seiner Lieferkette berücksichtigen und reicht die Fragen deshalb an dich weiter.
Vertraglich kann er die Auskunft zur Bedingung des Auftrags machen. Ob du ohne Antwort den Auftrag behältst, ist eine Geschäftsfrage, keine gesetzliche Pflicht aus dem BSIG.
Ein ehrliches Nein mit einem Termin, bis wann etwas nachkommt, ist für den Einkauf lesbar.
Leere Felder und ein Ja, das nicht stimmt, sind schlechter. Viele Kunden wollen sehen, dass du die Lücke kennst — nicht, dass bei dir schon ein Konzern-ISMS läuft.
Ob du den Auftrag behältst, hängt vom Kunden ab. Diese Seite sagt das nicht vorher.
Ja, als Bedingung des Vertrags.
§ 30 Abs. 2 Nr. 4 BSIG verpflichtet ihn, sicherheitsbezogene Aspekte der Beziehungen zu unmittelbaren Anbietern zu berücksichtigen. Das ist seine Pflicht, nicht deine.
Er darf die Fragen stellen. Du bist dadurch nicht selbst zur NIS2-Einrichtung geworden.
Nur wenn du unter § 28 BSIG fällst: bestimmte Sektoren nach Anlage 1 und 2 plus Größe, oder Sonderfälle wie Betreiber kritischer Anlagen.
Für die übrige Wirtschaft gilt als wichtige Einrichtung in der Regel: mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro. Besonders wichtig wird es unter anderem ab 250 Mitarbeitern oder über 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme.
Ein Betrieb mit 22 Leuten liegt typischerweise darunter — außer du selbst betreibst eine der in den Anlagen genannten Einrichtungen. Das prüfst du am Gesetzestext, nicht an diesem Lotsen.
Das hängt davon ab, was wirklich fehlt.
Oft reicht es, aufzuschreiben, was schon läuft: wer sichert, wer Updates einspielt, wer Konten sperrt, wenn jemand geht.
Ein ISO-27001-Zertifikat ist ein anderes Vorhaben und vom BSIG nicht verlangt. Zahlen ohne Beleg stehen hier nicht.
Du stehst gegenüber deinem Kunden für das, was du angibst. Eine falsche Angabe kann vertraglich relevant werden.
Welche Folge das im Einzelfall hat, sagt diese Seite nicht. Dafür brauchst du jemanden, der dafür haftet.
§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und deren Dokumentation. Ein ISO-27001-Zertifikat steht dort nicht.
Das BSI nennt ISO 27001 als eine mögliche Methode, ein Informationssicherheits-Management aufzubauen.
Dein Kunde darf ein Zertifikat vertraglich verlangen — dann ist das seine Forderung, kein Automatismus aus dem Gesetz.
TISAX ist ein Assessment- und Austauschverfahren für Informationssicherheit, betrieben von der ENX Association. Es kommt aus der Automobilbranche und ist nicht dasselbe wie NIS2.
Es betrifft dich, wenn ein Kunde aus diesem Kreis es vertraglich verlangt. Ein Betrieb, der ein Klinikum beliefert, ist davon in aller Regel nicht erfasst.
Stand der Prüfung: 21.08.2026. Jede Rechtsaussage auf dieser Seite hat hier einen Beleg.