Mein Kunde verlangt Nachweise zum Fragebogen, was muss ich bereitstellen

Der Nachweis gehört zur Antwort, nicht zur Frage als Ganzes

Es gibt keine feste Liste "Nachweise zu Cyberantworten" — der Nachweis hängt davon ab, welche der zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie der Kunde abfragt. Fragt er nach Zugriffskontrolle, ist ein Auszug aus der Zugriffskontrollrichtlinie angemessen, nicht das gesamte Informationssicherheitsrichtliniendokument. Fragt er nach Vorfallreaktion, reicht oft eine Prozessbeschreibung mit Eskalationslisten aus, kein Vorfallprotokoll mit Details. Bedenken Sie bei der Einteilung die Kategorien, die auch in der Richtlinie zur Risikoanalyse, das Verfahren bei Sicherheitsvorfällen und den Anforderungen an eigene Lieferanten zurückkommen: jede verlangt eine andere Art der Begründung.

Wenn Sie das Nachweisdokument nicht haben — beispielsweise weil die Richtlinie existiert, aber nie schriftlich festgehalten wurde — dann ist "nein" mit einer kurzen Erläuterung die ehrliche Antwort, nicht ein Verweis auf ein nicht vorhandenes Dokument. Ein ISO-27001-Zertifikat deckt mehrere Fragen gleichzeitig ab, aber nur wenn der Geltungsbereich dieses Zertifikats die Bereiche, zu denen der Kunde fragt, tatsächlich erfasst; ansonsten schafft es Scheinsicherheit, die bei einer Prüfung wieder auftaucht. Überprüfen Sie daher zunächst, ob das Zertifikat auf den abgefragten Bereich anwendbar ist, bevor Sie es als Nachweis anführen.

Woher dies folgt: Artikel 21 Absatz 2 und Anhang A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt die zehn Maßnahmen, zu denen ein Kunde normalerweise weitere Fragen stellt — von Risikomanagement bis Zugriffskontrolle bis Lieferantensicherheit — und jede Maßnahme hat ihre eigene Art von Nachweis, nicht ein übergeordnendes Dokument. ISO/IEC 27001 Annex A enthält die Steuerungsmaßnahmen, die häufig als Checkliste verwendet werden, um zu bestimmen, welcher Nachweis zu welcher Frage passt; ein Zertifikat gegen diese Norm ist daher kein Ersatz für die zugrunde liegenden Dokumente, sondern eine Bestätigung, dass diese überprüft wurden. Das Cybersicherheitsgesetz, die niederländische Umsetzung der NIS2, tritt am 15. August 2026 in Kraft und enthält dieselbe Gliederung — für diejenigen, die jetzt schon Nachweise sammeln, ist die Anpassung an diese Struktur daher keine vergebliche Mühe.