Warum Sie den Fragebogen bekommen
Ihr Kunde fällt unter das NISG 2026 und muss die Risiken seiner Lieferkette bewerten. Der Fragebogen ist sein Weg, das zu dokumentieren. Typische Fragebögen haben 40 bis 120 Fragen. Ohne vorbereitete Antworten kostet das 2 bis 5 Personentage pro Jahr.
Quelle: pragma-code, NIS2 in der Lieferkette
Die Fragen, die fast immer kommen
Die Zuordnung zeigt, welche Basisanforderung des KSÖ-Schemas dieselbe Frage abdeckt. Wer die 14 Basisanforderungen dokumentiert hat, hat einen Großteil der Antworten.
| Thema | Typische Frage | Nachweis | KSÖ |
|---|---|---|---|
| Richtlinie und Verantwortung | Gibt es eine freigegebene Richtlinie zur Informationssicherheit? Wer ist zuständig? | Richtlinie mit Datum und Freigabe, Name der verantwortlichen Person | B1, B3 |
| Zugänge | Nutzen Sie Mehr-Faktor-Anmeldung für Fernzugriff und Administratoren? | Screenshot der Einstellung, Berechtigungskonzept | B5, B6 |
| Updates | Wie schnell spielen Sie Sicherheitsupdates ein? | Patch-Prozess, Auszug aus dem Update-Management | B9 |
| Backup und Notfall | Gibt es Backups und einen getesteten Notfallplan? | Notfallplan, Protokoll des letzten Wiederherstellungstests | B14 |
| Vorfälle | Wie und wie schnell melden Sie uns einen Sicherheitsvorfall? | Ablauf mit Kontakt und Frist, im Vertrag oder als Anhang | Vertrag |
| Verschlüsselung | Werden Daten bei der Übertragung verschlüsselt? | TLS-Konfiguration, VPN, Mail-Verschlüsselung | B12 |
| Subunternehmer | Welche Subunternehmer haben Zugriff auf unsere Daten oder Systeme? | Liste der Subunternehmer, Verträge, AVV | A11, Vertrag |
| Schulung | Werden Ihre Mitarbeitenden regelmäßig geschult? | Teilnehmerliste mit Datum, Inhalte inklusive KI-Nutzung | B2 |
| Protokolle | Werden sicherheitsrelevante Ereignisse protokolliert? | Logging-Konzept, Aufbewahrung 90 Tage Server, 60 Tage Clients | B13 |
So gehen Sie vor
- Frist und Ansprechperson klären. Fragen Sie, ob ein Rating oder Label den Fragebogen ersetzt.
- Fragen sortieren. Was ist schon dokumentiert, was fehlt, was trifft nicht zu?
- Antworten kurz und belegbar formulieren. Was, womit, wie oft, wer.
- Nachweise beilegen oder auf Anfrage bereithalten.
- Antworten aufheben. Der nächste Fragebogen kommt, meist mit denselben Fragen.
Keine Zeit bis zur Frist? Mit dem Nachweis-Express erzählen Sie uns 45 Minuten, wie Ihre IT läuft, und wir formulieren Ihre Antworten in 48 Stunden. Gründerpreis 390 €. Nicht in 48 Stunden geliefert? Dann zahlen Sie 100 € weniger.
Tipp: Ein offener Standard für Lieferanten-Fragebögen ist der NISD2-Fragebogen (53 Felder). Viele Fragen decken sich mit dem KSÖ-Schema. NIS2-Lite exportiert die Selbstauskunft in einem Format, das sich an beiden orientiert.
Häufige Fragen
Meist ja, aber mit vorbereiteten Antworten dauert es Stunden statt Tage. Die Fragen wiederholen sich. Wer Beschreibungen und Nachweise einmal sauber hat, kopiert und passt an.
Fragen Sie nach. Viele Kunden akzeptieren das KSV1870 CyberRisk Rating oder das Cyber Trust Label als Nachweis, manche verlangen zusätzlich eigene Fragen.
Ehrlich antworten und einen Plan mit Datum nennen. Ein Nein mit Umsetzungsplan wirkt besser als ein Ja ohne Nachweis. Falsche Angaben gehen zu Ihren Lasten.