Kostenloses Werkzeug
Wähle zu einer IT-Sicherheitsfrage die Antwortstufe, die zu eurem tatsächlichen Stand passt. Du bekommst eine Formulierung zum Kopieren und Hinweise auf passende Nachweise.
Deine Antworten bleiben in diesem Browser-Tab. Wähle die Frage und eine passende Antwortstufe; anschließend kannst du einzelne oder alle Antworten kopieren. Sichere deine Auswahl vor dem Neuladen, sonst geht sie verloren.
0 von 10 Fragen beantwortet. Nach dem Neuladen ist die Auswahl weg.
Die Texte sind Orientierung und ersetzen keine Rechtsberatung. Übernimm nur Aussagen, die für euren Betrieb stimmen. Zuständigkeiten und Termine ergänzt ihr anhand eurer tatsächlichen Absprachen.
Seit dem 6. Dezember 2025 gilt in Deutschland das umgesetzte NIS-2-Recht im BSI-Gesetz. Besonders wichtige und wichtige Einrichtungen müssen ihre IT absichern.
Dazu gehört die Sicherheit der Lieferkette — auch gegenüber unmittelbaren Anbietern und Diensteanbietern. Das steht in § 30 Abs. 2 Nr. 4 BSIG.
Ein betroffener Kunde kann deshalb Informationen zur IT-Sicherheit seiner Lieferanten benötigen und einen Fragebogen verschicken.
Das BSI schreibt das so: Betroffene Unternehmen reichen die Anforderungen an ihre Dienstleister weiter. Dazu kann die nachweisliche Umsetzung der eigenen Maßnahmen zählen.
Ob euer Betrieb selbst unter das Gesetz fällt, ist eine eigene Frage. Der Erhalt eines Kundenfragebogens beantwortet sie nicht.
Ein einzelnes Nein erklärt noch nicht, was bereits vorhanden ist und was fehlt. Beschreibe den tatsächlichen Stand so konkret, dass der Kunde seine Anforderungen damit abgleichen kann.
Nenne eine geplante Maßnahme und einen Termin nur, wenn ihr beides tatsächlich beschlossen habt. Ob die Antwort genügt, entscheidet euer Kunde.
Ein Ja, das nicht stimmt, ist eine Aussage gegenüber deinem Kunden. Daran kann er dich später messen.
Im Ernstfall zählt, was du zugesichert hast — nicht, was du gemeint hast.
Die Gliederung orientiert sich an den Maßnahmen in § 30 Abs. 2 BSIG. Vergleiche die genaue Frage deines Kunden mit dem jeweiligen Block; zusätzliche Anforderungen können darüber hinausgehen.
Gesetzestext: „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik.“ (§ 30 Abs. 2 Nr. 1 BSIG)
Der Kunde will wissen, ob ihr euch jemals aufgeschrieben habt, was bei euch schiefgehen kann — nicht, ob eine Konzern-Risikomatrix existiert.
Das Dokument selbst, Datum der letzten Durchsicht, wer dabei war. Eine Seite reicht in einem kleinen Betrieb.
Nicht „jährliche Risikoanalyse nach ISO 27001“ oder „formelles Risikomanagement“, wenn die Risiken nur im Kopf des Chefs existieren. Nachgefragt wird das Papier, nicht das Gefühl.
Gesetzestext: „Bewältigung von Sicherheitsvorfällen.“ (§ 30 Abs. 2 Nr. 2 BSIG)
Der Kunde will wissen, ob jemand weiß, was zu tun ist, wenn etwas passiert — nicht, ob ihr eine Sicherheitsleitstelle rund um die Uhr habt.
Ein- bis zweiseitiger Ablauf, wer anzurufen ist, Datum der letzten Durchsprache. Eine Übung ist besser als eine ungelesene Datei — aber ohne Übung darfst du „geübt“ nicht ankreuzen.
Nicht „24/7-Incident-Response-Team“ oder „getesteter IR-Plan“, wenn der Plan der Chef mit dem Handy ist und nie durchgespielt wurde. Im Schadensfall will der Kunde den Ablauf sehen, den du behauptet hast.
Gesetzestext: „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement.“ (§ 30 Abs. 2 Nr. 3 BSIG)
Der Kunde will wissen, ob du nach einem Verschlüsselungsangriff in ein paar Tagen wieder liefern kannst — oder ob sein Projekt dann steht.
Die mittlere Stufe ist eine zulässige Antwort. Ein ehrliches Teilweise kostet dich seltener den Auftrag als ein Ja, das im Ernstfall auffliegt. Die untere Stufe: sag es und nenne einen Termin. Nicht leer lassen — unbeantwortete Felder lesen Einkäufer schlechter als ein Nein.
Screenshot des Sicherungsplans, Datum der letzten erfolgreichen Wiederherstellung, Ort der Offline-Kopie.
„Getestetes Notfallwiederherstellungskonzept“, wenn nie eine Wiederherstellung gelaufen ist. Das ist die Angabe, an der im Schadensfall die Haftungsfrage hängt — und die einzige in diesem Block, die jemand später wirklich nachprüft.
Gesetzestext: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.“ (§ 30 Abs. 2 Nr. 4 BSIG)
Der Kunde will wissen, ob du selbst weißt, wer an deiner IT hängt — Hosting, Steuerberater-Cloud, der, der den Server macht — und ob du die je gefragt hast.
Die Liste, die letzte Anfrage, die Antworten. Du musst niemanden zertifizieren. Du musst sagen können, wen du beauftragst.
Nicht „alle Unterauftragnehmer nach NIS2 geprüft“ — das Gesetz verpflichtet in aller Regel dich nicht, und „geprüft“ ohne Frage ist eine leere Hülse. Auch nicht „Lieferantenaudits“, wenn du nie eine Auskunft eingeholt hast.
Gesetzestext: „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen.“ (§ 30 Abs. 2 Nr. 5 BSIG)
Der Kunde will wissen, ob Sicherheitsupdates nicht irgendwann kommen, sondern jemand zuständig ist und eine Regel existiert.
Wer zuständig ist, die Regel in einem Satz, Datum der letzten Kontrolle, Liste der Systeme — auch wenn die Liste kurz ist.
Nicht „Patch-Management-Prozess nach Standard“ oder „alle Systeme innerhalb von 48 Stunden gepatcht“, wenn du das nicht messen kannst. Automatische Windows-Updates sind ein Anfang, kein Prozess auf dem Papier.
Gesetzestext: „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik.“ (§ 30 Abs. 2 Nr. 6 BSIG)
Der Kunde will wissen, ob du nachschaust, ob das, was du aufgeschrieben hast, auch passiert — nicht, ob eine Überwachungssoftware läuft.
Kurzes Protokoll mit Datum: was angeschaut wurde, was nicht gepasst hat, was geändert wird.
Nicht „kontinuierliches Monitoring“, „SIEM“ oder „jährliches Audit durch Dritte“, wenn das nicht stattfindet. Wirksamkeit heißt nachschauen — nicht ein Produktnamen-Kästchen.
Gesetzestext: „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik.“ (§ 30 Abs. 2 Nr. 7 BSIG)
Der Kunde will wissen, ob die Leute wissen, dass ein seltsamer Anhang nicht geöffnet wird — nicht, ob ein teures Schulungsabo läuft.
Thema, Datum, wer da war. In einem kleinen Betrieb ist das ein unterschriebener Zettel, kein Lernportal.
Nicht „Phishing-Simulationen“ oder „zertifiziertes Awareness-Programm“, wenn es ein Satz in der Montagsrunde war. Dokumentiert ist nur, was du zeigen kannst.
Gesetzestext: „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren.“ (§ 30 Abs. 2 Nr. 8 BSIG)
Der Kunde will wissen, ob eine gestohlene Festplatte oder ein verloren gegangenes Notebook lesbar ist.
Die Einstellung am Gerät oder eine kurze Geräteliste mit Vermerk „verschlüsselt ja/nein“. Ein Windows-Anmeldekennwort ist keine Festplattenverschlüsselung.
Nicht „Datenträger verschlüsselt“, wenn nur das Anmeldekennwort existiert. Nicht „Ende-zu-Ende-Verschlüsselung aller Kommunikation“, wenn du das nicht eingerichtet hast.
Gesetzestext: „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen.“ (§ 30 Abs. 2 Nr. 9 BSIG)
Der Kunde will wissen, ob jemand, der geht, noch in die Mail kommt — und ob ihr wisst, welche Konten und Geräte ihr habt.
Liste der Konten und Geräte. Eine Austritts-Checkliste. Datum der letzten Durchsicht.
Nicht „sofortiger Entzug aller Berechtigungen“, wenn der letzte Austritt noch Wochen die Mail bekommen hat. Nicht „Rollenkonzept / IAM“, wenn die Passwörter in einer Schublade liegen.
Gesetzestext: „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.“ (§ 30 Abs. 2 Nr. 10 BSIG)
Der Kunde will wissen, ob ein gestohlenes Passwort reicht, um in Mail, Cloud oder Fernwartung zu kommen.
Die Konto-Einstellung (ohne das Konto mit Adressen zu fotografieren). Eine kurze Liste: Dienst, MFA ja oder nein.
Nicht „MFA unternehmensweit verpflichtend“, wenn nur ein einzelnes Portal es erzwingt. Nicht „kontinuierliche Authentifizierung“, wenn du SMS-Codes an einem Konto meinst.
Der Lotse hilft beim Formulieren. Fehlende Sicherheitsmaßnahmen und Nachweise müssen im Betrieb selbst geklärt werden. Wenn ihr Unterstützung bei einem konkreten Ablauf sucht, könnt ihr agent030 anfragen. Umfang und Zuständigkeit werden vor einem Auftrag besprochen.
Eine speicherbare HTML-Datei mit 24 Antwortvarianten zu acht Themen. Der kostenlose Lotse oben enthält ebenfalls kopierbare Formulierungen. Prüfe zuerst, ob diese für deine Aufgabe reichen; die Kaufseite erklärt den Dateiumfang.
Wenn du nach dem Lesen noch Fragen zu einer Formulierung hast, beschreibe deinen Anlass in einer Anfrage. Ein individueller Review ist nicht im Download enthalten; Umfang, Preis und Termin sind vor einer Beauftragung zu klären.
Unterstützung bei agent030 anfragen
oder Anruf: +49 178 4782133
oder Mail: hallo@agent030.de
Aus dem Erhalt eines Kundenfragebogens folgt für euren Betrieb allein noch keine eigene Einordnung als wichtige oder besonders wichtige Einrichtung.
Ist der Kunde eine vom Gesetz erfasste Einrichtung, gehört nach § 30 Abs. 2 Nr. 4 BSIG auch die Sicherheit seiner Lieferkette zu seinen Risikomanagementmaßnahmen.
Welche Auskünfte ihr dem Kunden schuldet und welche Folgen eine fehlende Antwort hat, hängt vom konkreten Vertragsverhältnis ab. Der Lotse prüft diesen Vertrag nicht.
Beschreibe, was tatsächlich vorhanden ist und welche Anforderung derzeit nicht erfüllt wird.
Wenn ihr eine Verbesserung beschlossen habt, könnt ihr die Maßnahme und den vereinbarten Termin ergänzen. Ein Wunschdatum ist noch keine zugesagte Umsetzung.
Ob du den Auftrag behältst, hängt vom Kunden ab. Diese Seite sagt das nicht vorher.
Ein Kunde kann Informationen zur IT-Sicherheit anfordern. Welche Anforderungen für euch verbindlich sind, muss anhand der konkreten Vereinbarungen geprüft werden.
§ 30 Abs. 2 Nr. 4 BSIG nennt die Sicherheit der Lieferkette als Maßnahme der erfassten Einrichtungen. Daraus folgt keine pauschale Pflicht jedes Lieferanten, jeden Fragebogen unverändert auszufüllen.
Er darf die Fragen stellen. Du bist dadurch nicht selbst zur NIS2-Einrichtung geworden.
Das hängt unter anderem von eurer Tätigkeit, den gesetzlichen Größenkriterien und besonderen Einrichtungsarten ab. Die Mitarbeiterzahl allein genügt nicht zur Einordnung.
Die Betroffenheitsprüfung des BSI führt durch die dafür relevanten Fragen. Auch sie ist eine Orientierungshilfe und keine rechtlich verbindliche Einzelfallprüfung.
Maßgeblich ist die konkrete Einordnung nach § 28 BSIG. Dieser Lotse hilft beim Kundenfragebogen und stellt eure eigene Betroffenheit nicht fest.
Das hängt davon ab, was wirklich fehlt.
Oft reicht es, aufzuschreiben, was schon läuft: wer sichert, wer Updates einspielt, wer Konten sperrt, wenn jemand geht.
Ein ISO-27001-Zertifikat ist ein anderes Vorhaben und vom BSIG nicht verlangt. Zahlen ohne Beleg stehen hier nicht.
Du stehst gegenüber deinem Kunden für das, was du angibst. Eine falsche Angabe kann vertraglich relevant werden.
Welche Folge das im Einzelfall hat, sagt diese Seite nicht. Dafür brauchst du jemanden, der dafür haftet.
§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und deren Dokumentation. Ein ISO-27001-Zertifikat steht dort nicht.
Das BSI nennt ISO 27001 als eine mögliche Methode, ein Informationssicherheits-Management aufzubauen.
Dein Kunde darf ein Zertifikat vertraglich verlangen — dann ist das seine Forderung, kein Automatismus aus dem Gesetz.
TISAX ist ein Assessment- und Austauschverfahren für Informationssicherheit, betrieben von der ENX Association. Es kommt aus der Automobilbranche und ist nicht dasselbe wie NIS2.
Es betrifft dich, wenn ein Kunde aus diesem Kreis es vertraglich verlangt. Ein Betrieb, der ein Klinikum beliefert, ist davon in aller Regel nicht erfasst.
Grundlagen und weiterführende Quellen. Die unten datierten Abrufe bleiben als Herkunft erhalten; die Erklärung zu Kundenfragebogen und eigener Betroffenheit wurde am 20.10.2026 erneut abgeglichen.