Vorhaben besprechen

TOOLBOX · DOWNLOAD

Lieferkettesicherbewerten.

Die Sicherheit der Lieferkette gehört zu den Mindestmaßnahmen nach § 32 NISG 2026, und die Durchführungsverordnung (EU) 2024/2690 beschreibt im Detail, was Einrichtungen bei der Auswahl, im Vertrag und in der laufenden Überprüfung ihrer Anbieter regeln müssen. Diese Vorlage übersetzt das in einen Fragebogen, den Sie IT-Dienstleistern, Softwareherstellern und Zulieferern schicken können: mit Fragen zu Organisation, Technik, Vorfällen und Vertragsende, einer Einstufung der Lieferanten nach Bedeutung, einem Verzeichnis zum Ausfüllen und den acht Vertragspunkten der DVO. Sie nutzt die Umsetzungshinweise der ENISA vom Juni 2025.

PDF herunterladen (8 Seiten)Was drinsteht

Kostenloses PDF · Vorlage

Lieferanten-Sicherheitsfragebogen: Vorlage für NIS2 und die Lieferkette

Thema
NIS2 & Compliance
Format
PDF, A4
Umfang
8 Seiten
Größe
105 KB
Stand
25.10.2026
Quellen
7
Nutzung
Anpassen für den eigenen Gebrauch erlaubt, Weitergabe unverändert
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

Fragen zu Organisation, Technik, Vorfällen und Vertragsende, mit Einstufung, Verzeichnis der Anbieter und Vertragspunkten nach DVO (EU) 2024/2690.

  • Einkauf und Vertragsmanagement, die IT-Dienstleister und Zulieferer auswählen
  • Informationssicherheitsbeauftragte wesentlicher und wichtiger Einrichtungen
  • Geschäftsführung, die für die Risikomanagementmaßnahmen verantwortlich ist
  • Lieferanten, die solche Fragebögen beantworten und sich vorbereiten wollen

7 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    Was NISG 2026 und DVO verlangen

    Lieferkette als Pflichtmaßnahme und die Einzelheiten der Durchführungsverordnung

  • 02

    Lieferanten einstufen und erfassen

    Prüfumfang nach Bedeutung des Lieferanten, Verzeichnis nach DVO Nr. 5.2

  • 03

    Fragebogen Teil 1: Organisation und Nachweise

    Wer beim Lieferanten verantwortlich ist und was er nachweisen kann

  • 04

    Fragebogen Teil 2: Technik und Betrieb

    Zugriffe, Schwachstellen, Entwicklung, Daten und Ausfallsicherheit

  • 05

    Fragebogen Teil 3: Vorfälle, Prüfung, Vertragsende

    Was im Ernstfall gilt und wie die Zusammenarbeit endet

  • 06

    Antworten bewerten und nachverfolgen

    Vom ausgefüllten Fragebogen zur dokumentierten Entscheidung

  • 07

    Vertragspunkte nach DVO Anhang Nr. 5.1.4

    Was Verträge mit Anbietern soweit angemessen festlegen

AUSZUG

Fragebogen Teil 1: Organisation und Nachweise

Fragebogen von [Unternehmen] an [Lieferant], ausgefüllt von [Name, Funktion] am [Datum]. Bitte beantworten Sie jede Frage und nennen Sie einen Nachweis, etwa ein Dokument, Zertifikat oder Prüfbericht.

Teil 1: Organisation
Nr.FrageAntwortNachweis
1.1Wer ist bei Ihnen für Informationssicherheit verantwortlich (Name, Funktion, Kontakt)?____________________
1.2Haben Sie ein dokumentiertes Sicherheitskonzept oder Managementsystem? Welche Zertifikate besitzen Sie, mit welchem Geltungsbereich und bis wann?____________________
1.3Sind Sie selbst wesentliche oder wichtige Einrichtung nach NIS2, oder fallen Ihre Produkte unter den Cyber Resilience Act?____________________
1.4Wem gehört Ihr Unternehmen, und welchem Recht unterliegen Sie?____________________
1.5Hatten Sie in den letzten drei Jahren Sicherheitsvorfälle, die Kunden betrafen? Was haben Sie daraus geändert?____________________
1.6Wie schulen Sie Ihre Mitarbeitenden in Sicherheit, und welche Qualifikationen haben die Personen, die für uns arbeiten?____________________
1.7Überprüfen Sie die Zuverlässigkeit der Mitarbeitenden, die Zugang zu unseren Systemen oder Daten haben?____________________
1.8Setzen Sie Unterauftragnehmer ein? Welche, wo, und gelten für sie dieselben Sicherheitsanforderungen?____________________

Grundlagen: Auswahlkriterien und Zertifizierungen, Schulung und Zuverlässigkeitsprüfung, Unterauftragnehmer (DVO Anhang Nr. 5.1.2 und 5.1.4 lit. b, c, g); Rechtsordnung, Eigentümer, Vorgeschichte bei Vorfällen und Regulierung nach NIS2 oder Cyber Resilience Act nennt die ENISA als Kriterien.

Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. NISG 2026, BGBl. I Nr. 94/2025, geltende Fassung im RIS (öffnet in neuem Tab)§ 32 Abs. 4 lit. c, d, h, j und § 33 Abs. 1, gelesen am 25.10.2026
  2. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), deutsche Fassung auf EUR-Lex (öffnet in neuem Tab)Art. 21 Abs. 2 lit. d und Abs. 3, gelesen am 25.10.2026
  3. Durchführungsverordnung (EU) 2024/2690, deutsche Fassung auf EUR-Lex (öffnet in neuem Tab)Anhang Nr. 5.1, 5.2, 6.1.2 und 6.7.2, gelesen am 25.10.2026
  4. NISV 2026, BGBl. II Nr. 290/2026 (öffnet in neuem Tab)§ 2 Anwendbarkeit der DVO, § 3 Risikokategorien, gelesen am 25.10.2026
  5. DSGVO, deutsche Fassung auf EUR-Lex (öffnet in neuem Tab)Art. 28 Abs. 3, gelesen am 25.10.2026
  6. ENISA: Technical Implementation Guidance, Version 1.0 (Juni 2025) (öffnet in neuem Tab)Kapitel 5 Supply Chain Security, gelesen am 25.10.2026
  7. ENISA: Good Practices for Supply Chain Cybersecurity (Juni 2023) (öffnet in neuem Tab)Executive Summary und Abschnitt 2.1, gelesen am 25.10.2026

Diese Vorlage ist an Ihre Einrichtung, Ihre Lieferanten und Ihre Risiken anzupassen und ersetzt keine Rechtsberatung. Die Fragen und die Einstufung sind Empfehlungen von TOMORIS. Maßgeblich sind NISG 2026, NISV 2026 und die DVO (EU) 2024/2690 in der geltenden Fassung; für die Auftragsverarbeitung zusätzlich Art. 28 DSGVO.

TOOLBOX

Passend
dazu.

NIS2 & COMPLIANCE

Mehr zum
Thema.

Weitere kostenlose PDFs aus dem Bereich NIS2 & Compliance.

Alle Downloads zu NIS2 & Compliance

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads