Lieferanten-Audit-Fragebogen: 40 Fragen für NIS2

Hauptartikel: NIS2 Lieferkette absichern — der vollständige Artikel zum Thema.

DE/AT-Hinweis: Aufsichtsbehörde ist in Deutschland das BSI, in Österreich die Cybersicherheitsbehörde. Das Lieferkettensorgfaltspflichtengesetz (LkSG) gilt nur in Deutschland — in Österreich existiert kein Pendant. Die 40 Fragen dieses Fragebogens sind auf die Lieferketten-Sicherheit nach NIS2 und die Auftragsverarbeitung nach Art. 28 DSGVO ausgerichtet; eine LkSG-Prüfung ersetzen sie nicht.

Rechtsgrundlage: welche Pflicht diese 40 Fragen trägt

Der Fragebogen bedient einen gesetzlichen Pflichtbereich, keine freiwillige Kür: In Deutschland zählt die Sicherheit der Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG zu den Maßnahmenbereichen, die jede betroffene Einrichtung abdecken muss; in Österreich steht die gleichlaufende Pflicht in § 32 Abs. 4 lit. d NISG 2026 (BGBl. I Nr. 94/2025) und wird mit dem Anwendungsbeginn am 01.10.2026 wirksam.

Die Pflicht trifft aber nicht jedes Unternehmen. In Deutschland gilt als besonders wichtige Einrichtung, wer einer Einrichtungsart nach Anlage 1 BSIG zuzuordnen ist und mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR aufweist; als wichtige Einrichtung gilt, wer einer Art nach Anlage 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweist (§ 28 Abs. 1 und 2 BSIG). Größenunabhängig erfasst sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries und DNS-Diensteanbieter. Österreich folgt derselben Systematik: § 24 NISG 2026 unterscheidet wesentliche und wichtige Einrichtungen, die Größenklassen stehen in § 25 Abs. 2 und 3 NISG 2026.

Die österreichischen NISG-2026-Fundstellen greifen ab dem Anwendungsbeginn am 01.10.2026; Art. 28 DSGVO gilt in beiden Ländern bereits heute. Ob der Lieferant selbst unter NIS2 fällt, ist davon unabhängig und getrennt zu prüfen.

Vor dem Versand: Lieferanten priorisieren und Rhythmus festlegen

Auditiert wird risikobasiert, nicht flächendeckend — Sie brauchen vor dem ersten Versand eine Tier-Einteilung und einen Wiedervorlage-Rhythmus. Tier-1 ist ein Lieferant, der für die Geschäftsfortführung kritisch ist oder Zugriff auf personenbezogene Daten hat; Tier-2 sind Lieferanten mittlerer Bedeutung, Tier-3 der Rest. In einem KMU mit 50 bis 250 Mitarbeitenden fallen nach unseren Erfahrungswerten 8 bis 15 Lieferanten in Tier-1 und 20 bis 40 in Tier-2 — die geläufige Faustregel „Top-20“ zielt auf diesen Tier-1-Kreis. Der Aufwand liegt erfahrungsgemäß bei 12 Personentagen initial und 3 Personentagen pro Jahr.

Für den Rhythmus gilt eine Praxisempfehlung, keine gesetzliche Frist: Tier-1 jährlich sowie zusätzlich nach Vorfällen oder Vertragsänderungen, Tier-2 alle zwei Jahre vollständig mit jährlicher Update-Selbstauskunft, Tier-3 alle drei bis fünf Jahre. Eine wiederkehrende gesetzliche Nachweisfrist trifft in Deutschland primär Betreiber kritischer Anlagen: Sie weisen die Umsetzung ihrer Maßnahmen zu einem vom BSI festgelegten Zeitpunkt — frühestens drei Jahre, nachdem sie erstmals als solche gelten — und danach alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach (§ 39 Abs. 1 BSIG). Diese Frist betrifft Ihr eigenes Verhältnis zur Aufsicht, nicht den Turnus Ihrer Lieferantenprüfung.

Sektion A: Allgemeine Sicherheit (8 Fragen)

Sektion A klärt, ob der Lieferant Sicherheit gesteuert betreibt statt punktuell. Der Maßstab für Ihre Bewertung folgt aus Ihrer eigenen Pflicht: Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen.

Ein ISO-27001-Zertifikat zeigt, dass der Lieferant eine einschlägige internationale Norm im Sinne des § 30 Abs. 2 Satz 1 BSIG anwendet, ist aber kein Vollnachweis: Es deckt die Anforderungen des § 30 BSIG strukturell in allen zehn Bereichen ab, deckungsgleich aber in keinem; die typischen Lücken liegen bei den NIS2-Meldepflichten (§ 32 BSIG), der Lieferketten-Sorgfalt (§ 30 Abs. 2 Nr. 4 BSIG) und den Geschäftsleitungspflichten (§ 38 BSIG). Als Orientierung für den Stand der Technik dienen die BSI-IT-Grundschutz-Bausteine, ISO 27002, die ENISA Technical Implementation Guidance v1.0 (26.06.2025) und branchenspezifische Standards wie TISAX im Automotive-Umfeld. Für alle acht Fragen gilt: Zur Akte kommt das Dokument mit Datum, Geltungsbereich und Ausnahmen, nicht das Kreuz im Fragebogen — die Nachweis-Spalte benennt je Frage, welches.

Sektion B: Datenschutz + DSGVO (6 Fragen)

Sektion B prüft die Auftragsverarbeitung. Sie brauchen diese sechs Fragen, weil Art. 28 Abs. 1 DSGVO es Ihnen untersagt, mit Auftragsverarbeitern zu arbeiten, die keine hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag muss nach Art. 28 Abs. 3 DSGVO mindestens Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen.

Zu Frage 10: Die Benennungspflicht folgt aus Art. 37 Abs. 1 DSGVO. In Deutschland kommt § 38 Abs. 1 BDSG hinzu — ein Datenschutzbeauftragter ist zu benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, unabhängig von der Personenzahl außerdem bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen. Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Schwelle vor (§ 5 DSG). Ein „Nein“ bei Frage 10 ist damit erst nach Prüfung dieser Kriterien ein Befund. Zu Frage 11: Die 24-Stunden-Zusage ist keine DSGVO-Frist — die DSGVO verlangt die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden (Art. 33 Abs. 1). Die 24 Stunden sind die vertragliche Zulieferung zu Ihren eigenen Fristen, siehe Sektion C.

Die Fragen 12 bis 14 sind der rechtlich anspruchsvollste Teil der Sektion. Frage 12 wird erst prüfbar, wenn Sie statt des Produktbegriffs die Regionen abfragen, in denen Daten gespeichert und verarbeitet werden — Support- und Fernwartungszugriffe eingeschlossen. Frage 13 zielt auf die zweite Ebene, die Sektion D weiterführt; Ihr Maßstab bleibt die Garantie-Anforderung des Art. 28 Abs. 1 DSGVO gegenüber Ihrem Auftragsverarbeiter, weshalb Sie wissen müssen, wen er einsetzt. Verlangen Sie zu Frage 14 als Praxisempfehlung je Drittland-Dienstleister die Angabe des konkreten Transfermechanismus statt einer pauschalen Zusage — also welcher Mechanismus für welchen Dienstleister trägt: Standardvertragsklauseln (SCC), das EU-US Data Privacy Framework (DPF) oder ein anderer namentlich benannter Mechanismus.

Sektion C: Vorfall-Management (5 Fragen)

Sektion C entscheidet darüber, ob Sie Ihre eigenen Meldefristen halten können. In Deutschland melden besonders wichtige und wichtige Einrichtungen einen erheblichen Sicherheitsvorfall unverzüglich, spätestens binnen 24 Stunden nach Kenntnis als frühe Erstmeldung, binnen 72 Stunden mit einer Erstbewertung und spätestens einen Monat nach der 72-Stunden-Meldung abschließend an die gemeinsame Meldestelle von BSI und BBK; auf Ersuchen kommt eine Zwischenmeldung hinzu (§ 32 Abs. 1 Nr. 1 bis 4 BSIG). Dauert der Vorfall an, tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung (§ 32 Abs. 2 BSIG). In Österreich gilt ab dem Anwendungsbeginn am 01.10.2026 dasselbe Dreistufenschema gegenüber dem zuständigen CSIRT (§ 34 Abs. 2 Z 1 bis 5 NISG 2026).

Fragen Sie bei Frage 15 nach der gesetzlichen Schwelle statt nach „Vorfällen“ allgemein: Erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG, in Österreich § 35 Abs. 1 NISG 2026). Die Zahl allein ist noch kein Befund: Als Praxis-Schwelle gilt mehr als ein schwerer Vorfall in den letzten 24 Monaten, dem keine strukturelle Maßnahme gefolgt ist. Frage 16 ist nur mit Bezugsgröße brauchbar und gehört gegen Ihre eigene 24-Stunden-Frühwarnung nach § 32 Abs. 1 Nr. 1 BSIG gehalten — liegt der Median darüber, trägt die Vertragszusage aus dieser Sektion nicht.

Die Vorfall-Meldung des Lieferanten an Sie gehört — wie Cybersecurity-Klauseln und Right-to-Audit — zu den Vertragsinhalten, mit denen sich der Pflichtbereich Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG) umsetzen lässt; die konkrete Ausgestaltung als Vertragsklausel mit 24-Stunden-Frist ist Praxisempfehlung. Für die Fragen 17 bis 19 heißt das: eine Meldezusage von 24 Stunden ab Kenntnis des Lieferanten. Ihre eigene gesetzliche Frist nach § 32 Abs. 1 Nr. 1 BSIG läuft ab Kenntnis, nicht ab Beginn des Vorfalls, und macht vor Wochenenden nicht halt — deshalb sollte die Zulieferung des Lieferanten rund um die Uhr funktionieren; das ist eine organisatorische Folge der Frist. Was die Vertragsklausel im Einzelnen festlegen sollte, steht in den häufig gestellten Fragen.

Sektion D: Sub-Lieferanten (5 Fragen)

Sektion D verlängert die Prüfung auf die zweite Ebene, die sonst unsichtbar bleibt: Unterauftragnehmer Ihres Lieferanten berühren Ihre Daten und Systeme, ohne Ihr Vertragspartner zu sein. Sicherheitsrechtlich fällt das unter den Pflichtbereich Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG, in Österreich § 32 Abs. 4 lit. d NISG 2026); datenschutzrechtlich bleibt der Maßstab die Garantie-Anforderung des Art. 28 Abs. 1 DSGVO gegenüber Ihrem Auftragsverarbeiter (Sektion B) — Sie müssen deshalb wissen, wen er einsetzt. Frage 20 ist entsprechend weiter gefasst als Frage 13: Sie erfasst jeden Sub-Lieferanten mit Zugriff auf Ihre Systeme oder Räume, auch ohne Personenbezug, während Frage 13 nur die Sub-Auftragsverarbeiter im Sinne des Art. 28 DSGVO abfragt.

Praxisempfehlung für kritische Lieferanten: Cybersecurity-Klauseln und ein Right-to-Audit gehören in den Standardvertrag; beides setzt den Pflichtbereich Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG) vertraglich um, und fehlende Cybersecurity-Klauseln in Verträgen sind nach unserer Praxiseinschätzung ein typischer Prüfbefund zu diesem Bereich. Praxisempfehlung zu Frage 23: den Genehmigungs-Workflow so vereinbaren, dass neue Sub-Lieferanten vor dem Einsatz angezeigt werden und Sie eine Prüffrist haben. Praxisempfehlung zu den Fragen 20 und 24: die Sub-Lieferanten-Liste mit Datum und Version führen und mindestens einmal jährlich gegen den Vertragsstand abgleichen — eine Liste ohne Stand ist im Aufsichtsgespräch kein Nachweis.

Sektion E: Personal-Sicherheit (5 Fragen)

Sektion E prüft die Personalseite, die § 30 Abs. 2 Nr. 9 BSIG als eigenen Pflichtbereich führt: Personalsicherheit und Zugriffskontrolle. Erwartet werden ein Berechtigungskonzept nach dem Need-to-Know-Prinzip, dessen regelmäßige Überprüfung, geregelte Onboarding- und Offboarding-Abläufe und, wo das Risiko es trägt, eine Sicherheitsprüfung von Personal.

Frage 28 zielt auf einen anderen Pflichtbereich: grundlegende Schulungen und Sensibilisierungsmaßnahmen nach § 30 Abs. 2 Nr. 7 BSIG, in Österreich § 32 Abs. 4 lit. g NISG 2026. Der geläufige Begriff „Cyberhygiene“ stammt nicht aus dem BSIG, sondern aus Art. 21 Abs. 2 Buchst. g der Richtlinie (EU) 2022/2555. Als Praxis-Rhythmus — ausdrücklich keine gesetzliche Frist — haben sich eine jährliche Schulung mit Lernkontrolle, quartalsweise Phishing-Simulationen mit Auswertung der Klickrate und eine Onboarding-Schulung in den ersten vier Wochen etabliert.

Sektion F: Technische Maßnahmen (6 Fragen)

Sektion F fragt die technischen Basismaßnahmen ab, die § 30 Abs. 2 BSIG in eigenen Nummern führt: Kryptografie und Verschlüsselung (Nr. 8), Multi-Faktor-Authentifizierung, kontinuierliche Authentifizierung und gesicherte Kommunikation (Nr. 10) sowie Sicherheit beim Erwerb, bei der Entwicklung und Wartung einschließlich Schwachstellenmanagement (Nr. 5). Österreich führt dieselben Inhalte im Katalog des § 32 Abs. 4 lit. a bis j NISG 2026.

Die Stand-der-Technik-Orientierung zu den Fragen 30 bis 33 steht in der Nachweis-Spalte. Verschlüsselung hat einen zweiten, oft übersehenen Effekt: Nach Art. 34 Abs. 3 DSGVO kann die Benachrichtigung betroffener Personen entfallen, wenn geeignete technische und organisatorische Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden. Bei Frage 31 gilt als Praxis-Maßstab: MFA für alle Admin-Konten und alle externen Zugänge; reine Mitarbeiter-Office-Nutzung lässt sich risikobasiert begründen. Zu Frage 35 gilt als Praxisempfehlung: Ohne Angaben zu Log-Quellen, Aufbewahrungsdauer und Alarmierung ist die Meldezusage aus Sektion C nicht belastbar, denn ein Lieferant kann nur melden, was er bemerkt.

Sektion G: Recovery + Backup (3 Fragen)

Sektion G deckt den Pflichtbereich „Aufrechterhaltung des Betriebs“ ab — Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement (§ 30 Abs. 2 Nr. 3 BSIG, in Österreich § 32 Abs. 4 lit. c NISG 2026). Diese drei Fragen entscheiden, ob ein Ausfall beim Lieferanten für Sie eine Störung oder eine Betriebsunterbrechung wird.

Frage 38 ist die eigentliche Prüffrage der Sektion: Ein Restore-Test mit protokolliertem Ergebnis unterscheidet ein geübtes Verfahren von einer Absichtserklärung, und erst die gemessene Wiederherstellungsdauer lässt sich gegen die RTO Ihres eigenen Geschäftsprozesses halten, der auf dem Lieferanten aufsetzt. Liegt sie darüber, trägt die Zusage des Lieferanten Ihren Prozess nicht.

Sektion H: Compliance + Audit (2 Fragen)

Sektion H sichert den Nachweis — Ihren eigenen, nicht den des Lieferanten. § 30 Abs. 1 BSIG verlangt, dass die Einhaltung der Risikomanagementmaßnahmen dokumentiert wird; die Geschäftsleitung muss die Maßnahmen nach § 38 Abs. 1 BSIG umsetzen und ihre Umsetzung überwachen und haftet ihrer Einrichtung nach § 38 Abs. 2 BSIG für schuldhaft verursachte Schäden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts. In Österreich haben die Leitungsorgane die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 NISG 2026); eine ausdrückliche Innenhaftungsregel nach dem Vorbild des § 38 Abs. 2 BSIG enthält das NISG 2026 nicht.

Vom Befund zur Entscheidung — Praxisempfehlung für die Auswertung: Ein einzelner Befund ist eine Maßnahme mit Verantwortlichem und Frist, kein Ausschluss. Ausschlussrelevant sind die sieben schweren Befunde, die die häufig gestellten Fragen einzeln benennen. Trifft einer davon zu, ist ein Tier-1-Status nicht vertretbar; es bleiben ein alternativer Lieferant, ein Ausgleich durch eigene technische Schutzmaßnahmen oder eine dokumentierte Risiko-Akzeptanz mit Freigabe der Geschäftsleitung, die die Umsetzung der Risikomanagementmaßnahmen ohnehin zu überwachen hat (§ 38 Abs. 1 BSIG).

Damit ist der Audit-Trail Teil der Compliance und nicht Beiwerk. Praxisempfehlung für die Ablage je Lieferant: ausgefüllter Fragebogen mit Datum und antwortender Person, Ihre Bewertung, die daraus abgeleitete Maßnahme mit Verantwortlichem, die Wiedervorlage — und eine Aufbewahrung der Audit-Ergebnisse über sechs Jahre (Praxisempfehlung, keine gesetzliche Aufbewahrungsfrist). In Österreich kommt eine eigene Deklarationsstufe hinzu: Wesentliche und wichtige Einrichtungen übermitteln der Cybersicherheitsbehörde innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht strukturiert Informationen zu den umgesetzten Risikomanagementmaßnahmen (§ 33 Abs. 1 NISG 2026); den Nachweis durch eine unabhängige Stelle kann die Behörde frühestens zwei Jahre nach Inkrafttreten verlangen (§ 33 Abs. 2 NISG 2026).