Mein Kunde sendet eine umfangreiche NIS2-Frageliste, während das vorher nicht so war, was muss ich damit tun

Ihr Kunde schiebt seine Kettenverantwortung weiter.

Dies bedeutet normalerweise, dass Ihr Kunde selbst unter das Cybersecurity Act fällt und dass er als wesentliche oder wichtige Einheit verpflichtet ist, die Sicherheit seiner eigenen Lieferanten zu bewerten. Diese Verpflichtung ergibt sich aus den zehn Maßnahmen von Artikel 21 Absatz 2 der NIS2-Richtlinie, und eine davon befasst sich speziell mit der Kettensicherheit: Die Organisation muss wissen, wie sicher ihre Lieferanten sind, und muss dies nachweisen können. Ihr Kunde stellt diese Frage also nicht einfach weiter — er ist selbst dazu verpflichtet, und Sie sind zu diesem Zeitpunkt Teil seiner "Kette". Deshalb kommt die Liste jetzt, auch wenn Sie bereits seit Jahren liefern, ohne dass dies jemals gefragt wurde: Die Pflicht ist für ihn neu, nicht für Ihre Geschäftsbeziehung.

Was Sie erwarten können, ist eine Kombination von Fragen, die zuvor bei der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen hören, Fragen über das Verfahren bei Sicherheitsvorfällen und Fragen zur Wiederherstellungsfähigkeit nach einer Störung. Wenn Sie kein ISO 27001-Zertifikat haben, ist das an sich normalerweise kein Problem — die Richtlinie verlangt nicht, dass jeder Lieferant zertifiziert ist, sie verlangt, dass der Kunde weiß wie Sie positioniert sind. Eine Beschreibung Ihrer eigenen Maßnahmen mit Belegen, soweit vorhanden, ist dann eine gültige Antwort. Wenn Sie nichts haben, antworten Sie, dass es nichts gibt; eine Liste mit lauter "ja" ohne zugrunde liegenden Beleg birgt bei einer späteren Prüfung Ihres Kunden mehr Risiko als ein ehrliches "nein, noch nicht".

Warum dies jetzt zu Ihnen kommt: Artikel 21 Absatz 2

Die Verpflichtung zur Bewertung von Lieferanten ist in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 festgelegt und wird für niederländische Einheiten im Cybersecurity Act umgesetzt, der am 15. August 2026 in Kraft tritt. Ob Ihr Kunde selbst unter dieses Gesetz fällt und daher verpflichtet ist, diese Fragen zu stellen, können Sie normalerweise anhand der Größe und des Sektors seines Unternehmens überprüfen — etwas, das auch relevant ist, um zu wissen ob Sie selbst als Einheit unter die Richtlinie fallen.