NIS2 in der Praxis für KMU: wenn der Kunde einen 14-Seiten-Fragebogen schickt

· 7 Min. Lesezeit · SilverData-Team

NIS2 — die EU-Richtlinie zur Cybersicherheit — gilt formal für mittlere und große Einrichtungen in kritischen Sektoren. In der Praxis erreicht sie ein kleines Unternehmen anders: als vierzehnseitiger Fragebogen, per E-Mail vom Großkunden, mit einer Frist von sechs Wochen.

Seit Anfang 2025 sehen wir dieses Szenario fast monatlich. Eine 20–40-Personen-Firma, Lieferant oder Subunternehmer eines Konzerns, bekommt einen Anhang namens „Cybersicherheits-Bewertung des Lieferanten". Dutzende Fragen, ein Großteil zu Dingen, die im Unternehmen nie jemand als „Richtlinie" bezeichnet hat. Erste Reaktion: Panik. Zweite: Beraterin suchen. Dritte, wenn diese Beraterin ehrlich ist: eine ruhige Liste von fünf bis acht Maßnahmen, die meist Arbeitsstunden kosten — nicht Zehntausende Złoty.

Dieser Text handelt davon, wie man sich keine Enterprise-Lösung andrehen lässt, wenn man eigentlich solide Grundlagen braucht.

Wer direkt unter NIS2 fällt

Die NIS2-Richtlinie (2024 als Novelle des polnischen Cybersicherheitsgesetzes ins nationale Recht übernommen) erfasst grundsätzlich „mittlere und größere" Einrichtungen — vereinfacht: über 50 Beschäftigte und 10 Mio. Euro Umsatz — in Sektoren wie Energie, Verkehr, Gesundheit, Bankwesen, digitale Infrastruktur, öffentliche Verwaltung, Wasser- und Abwasserwirtschaft, Chemie- und Lebensmittelproduktion sowie ICT-Dienstleister.

Wer einen 25-Personen-Fertiger, ein Buchhaltungsbüro, einen Baustoffgroßhandel oder eine Marketingagentur führt, fällt mit hoher Wahrscheinlichkeit nicht direkt unter NIS2. Das ist die gute Nachricht.

Die schlechte: NIS2 verpflichtet zum Lieferketten-Risikomanagement. Jede große Einrichtung im Geltungsbereich muss ihre Lieferanten prüfen. Auch Sie. Und hier beginnt das eigentliche Gespräch.

Wie NIS2 ein kleines Unternehmen erreicht

Ein typischer Fall der letzten Monate. Eine 30-Personen-Logistikfirma, die Transportdienste für eine Handelskette erbringt, bekommt eine E-Mail. Anhang: ein 14-seitiger Fragebogen. Konkrete Fragen — gibt es eine dokumentierte Informationssicherheitsrichtlinie, ein Verfahren zur Meldung von Vorfällen mit 24-Stunden-Reaktionszeit, ist das Netzwerk segmentiert, werden Backups durch tatsächliche Wiederherstellungen geprüft, gibt es ein Register der Dienstleister mit Datenzugriff, durchlaufen Mitarbeitende Phishing-Schulungen.

Frist: 6 Wochen. Folge bei Nichtbeantwortung: Risiko, dass der Vertrag im Januar nicht verlängert wird.

Der Ausgangszustand war typisch. Antivirus — ja, derselbe seit vier Jahren. Backup — auf einem NAS im Serverraum, einmal nachts. Vorfallverfahren — keines. Netzwerksegmentierung — keine, ein flaches Netz für alle. Lieferantenregister — eine zwei Jahre alte Excel-Datei. Security-Awareness-Schulungen — niemand erinnert sich.

Nach drei Monaten Arbeit haben sie den Fragebogen ehrlich beantwortet. Von 13 geforderten Bereichen waren 8 wirklich geschlossen: MFA für E-Mail und Admin-Konten aktiviert, Basis-Segmentierung eingeführt (eigenes VLAN für die Buchhaltung und eigenes für die Flotte), ein einseitiges Vorfallverfahren niedergeschrieben, der erste Backup-Wiederherstellungstest durchgeführt (er ergab, dass eine vollständige Wiederherstellung 9 Stunden dauert, nicht 2, wie man angenommen hatte), ein Passwortmanager ausgerollt und eine einstündige Phishing-Schulung für das ganze Team. Die übrigen 5 Bereiche — vollständige Richtlinie, Lieferantenregister, Phishing-Simulationen, DLP und formale Klauseln in Subunternehmerverträgen — gingen in eine Roadmap für die folgenden 9 Monate.

Der Kunde hat den Vertrag verlängert. Wichtig dabei: nicht, weil der Lieferant alles hatte. Der Kunde erwartete von einem KMU in der Lieferkette keine Bank-Reife. Er erwartete, dass der Lieferant weiß, wo er steht, wohin er will und wie er dorthin kommt. Das sind zwei verschiedene Fragen, und nur eine davon ist für ein kleines Unternehmen realistisch.

Was in Fragebögen üblicherweise abgefragt wird

Unabhängig von Branche und konkreter Kundenpolitik kreisen die Fragen um acht Bereiche. Es lohnt, sie zu kennen — das sind nämlich auch genau jene Themen, die ein Cyber-Versicherer sehen will, falls Sie irgendwann eine Police abschließen.

Keiner dieser Bereiche lässt sich allein durch eine Lizenz erledigen. Es sind Prozesse, keine Produkte.

Womit anfangen — fünf Schritte mit kleinem Budget

Wenn der Fragebogen gerade auf dem Schreibtisch gelandet ist, hier fünf Dinge, die hauptsächlich Zeit kosten und dem Kunden guten Willen zeigen:

  1. Schreiben Sie auf, was Sie haben. Eine IT-Inventur — Hardware, Software, Dienstleister mit Zugriff — in einer Excel-Datei. Zwei bis vier Stunden Arbeit. Ohne sie ergibt keine Richtlinie Sinn, weil niemand weiß, worauf sie sich bezieht.
  2. MFA überall aktivieren, wo es noch fehlt. E-Mail, Admin-Panels, RDP, VPN. Microsoft 365 und Google Workspace haben das im Preis. Ein halber Tag IT-Arbeit plus eine kurze Mitteilung an die Belegschaft.
  3. Ein einseitiges Vorfallverfahren schreiben. Wer ruft wen an, wann ziehen wir die Kabel, wen informieren wir in den ersten 24 und 72 Stunden. Eine A4-Seite ist besser als ein 80-seitiges ISO-ähnliches Dokument, das niemand um drei Uhr nachts liest.
  4. Einen Wiederherstellungstest aus dem Backup machen. Nicht erst, wenn der Server ausfällt, sondern jetzt — Freitag, 14:00 Uhr — mit einer Notiz, wie lange es dauerte und was wirklich zurückkam.
  5. Eine Person für Sicherheit benennen. Keine Vollzeitstelle — eine Funktion. Das kann die IT-Leitung, die Geschäftsführung oder ein externer Berater sein, aber es muss ein Name sein, mit einem Quartalsreview im Kalender.

Diese fünf Schritte beantworten in einem typischen Lieferantenfragebogen meist 60–70 % der Fragen. Die übrigen 30 % sind eine Roadmap, die man dem Kunden ehrlich zeigen kann.

Was man nicht tun sollte

Als Reaktion auf NIS2 werden mehrere Anbieter mit fertigen Angeboten anklopfen. „Umfassende NIS2-Compliance in einem Paket" — typischerweise für 30.000–80.000 PLN im Jahr, gebaut um eine Enterprise-GRC-Plattform, die in einem 25-Personen-Unternehmen niemand betreiben kann. Es ist keine schlechte Software. Es ist schlechte Software für diese Größenordnung.

Für ein KMU in der Lieferkette ist echte Compliance solide Grundarbeit: dokumentierte Richtlinie, MFA, Segmentierung, getestete Backups, Vorfallverfahren, Schulungen. Drei bis fünf Beratertage, ein paar Dutzend interne Arbeitsstunden, zwei bis drei Kalendermonate. Die Kosten liegen im Tausenderbereich, nicht im Zehntausender.

Zweitens: nicht im Fragebogen lügen. Ein Kunde, der Lieferanten unter NIS2 prüft, fragt zunehmend nach Belegen — eine Kopie der Richtlinie, ein Schulungs-Log, ein Screenshot der MFA-Konfiguration. „Ja, haben wir" ohne Dokument im Hintergrund ist schlechter als ein ehrliches „haben wir noch nicht, geplant für Q3, hier die Roadmap".

Was tun

NIS2 ist für ein 10–50-Personen-Unternehmen keine aus Brüssel auferlegte Last. Es ist das Gespräch, das Ihre Kunden ohnehin mit Ihnen geführt haben — nur hat es jetzt einen offiziellen Namen und ein gemeinsames Vokabular. Wenn die Grundlagen sauber sitzen, beantwortet dieselbe Arbeit die meisten Lieferantenfragebögen — egal ob der Kunde NIS2, ISO 27001, DORA oder seine eigene Richtlinie zitiert.

Wenn gerade ein Fragebogen eingegangen ist und Sie nicht wissen, wo Sie anfangen sollen — eine halbe Stunde Gespräch reicht oft, um zu sehen, wo wirklich Lücken sind und wo sie nur noch keinen Namen haben.

Der Kunde erwartet nicht, dass ein kleiner Lieferant alles hat. Er erwartet, dass der Lieferant weiß, wo er steht, wohin er will und wie er dorthin kommt.

← Zurück zum Blog