Auftraggeber verlangt NIS2-Nachweis: Was Sie wirklich liefern müssen

Der Brief kommt meist vom größten Kunden. Ein Fragebogen mit 60 bis 120 Fragen, ein Anhang mit neuen Vertragsklauseln, eine Zeile über ISO 27001, ein Audit-Recht, eine 24-Stunden-Meldepflicht. Dazu eine Frist von vier Wochen. Sie haben 45 Mitarbeitende, ein gewachsenes Microsoft 365 und einen IT-Dienstleister, der Ihren Betrieb zuverlässig am Laufen hält. Ein Informationssicherheits-Managementsystem haben Sie nicht. Die erste Reaktion ist fast immer eine von zweien: alles unterschreiben, damit der Auftrag nicht wackelt. Oder gar nicht antworten und hoffen, dass es sich erledigt. Beides ist teuer.

Wer ist hier eigentlich verpflichtet?

In aller Regel nicht Sie, sondern Ihr Auftraggeber. § 30 Abs. 1 BSIG verlangt von regulierten Einrichtungen „geeignete, verhältnismäßige und wirksame” technische und organisatorische Maßnahmen. Deren Einhaltung ist zu dokumentieren. § 30 Abs. 2 Nr. 4 nennt darunter ausdrücklich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern”.

Das Wort „unmittelbar” ist wichtig. Ihr Auftraggeber muss seine direkten Lieferanten in den Griff bekommen, nicht die gesamte Kette bis zum Rohstoff. Und weil das Gesetz ihm kein Instrument gibt, Sie zu verpflichten, greift er zum einzigen Mittel, das er hat: den Vertrag. Die Gesetzesbegründung zu § 30 BSIG beschreibt genau diesen Weg. Gemeint sind vertragliche Vereinbarungen mit Zulieferern zu Risikomanagement, Vorfallbewältigung und Patchmanagement.

Daraus folgt eine Unterscheidung, die in Verhandlungen viel wert ist: Sie werden durch diesen Vertrag nicht zur regulierten Einrichtung. Sie unterliegen keiner Registrierungspflicht beim BSI, keiner Meldepflicht gegenüber der Aufsicht, keinem Bußgeldrisiko nach dem BSIG. Was Sie eingehen, ist eine zivilrechtliche Zusage gegenüber einem Kunden. Die haftungsrechtlichen Folgen richten sich allein nach dem, was dort steht.

Zwei Punkte sollten Sie prüfen, bevor Sie sich darauf verlassen. Erstens: Sind Sie selbst in einem Sektor der Anlagen 1 oder 2 des BSIG tätig und haben mindestens 50 Beschäftigte oder überschreiten Jahresumsatz und Jahresbilanzsumme jeweils 10 Mio. Euro (beides zusammen, nicht eines von beiden)? Dann sind Sie ohnehin direkt betroffen. Zweitens: Erbringen Sie selbst IT-Dienstleistungen wie Cloud-, Managed- oder Managed-Security-Services? Diese Tätigkeiten sind im BSIG eigens gelistet. Wenn Sie damit selbst in den Anwendungsbereich fallen, also eine Tätigkeit nach Anlage 1 oder 2 ausüben und die Schwellenwerte erreichen, kommt die unmittelbar anwendbare Durchführungsverordnung (EU) 2024/2690 hinzu. Sie macht für diese Anbietergruppe sehr konkrete technische Vorgaben. Bleiben Sie unter den Schwellenwerten, gilt sie für Sie nicht und dient allenfalls als nützlicher inhaltlicher Maßstab.

Was darf Ihr Auftraggeber verlangen?

Rechtlich: alles, worauf Sie sich einlassen. Es gibt keine gesetzliche Liste, die er abarbeiten müsste, und keine, die Sie schützt. Es gilt Vertragsfreiheit.

Praktisch gibt es aber einen Maßstab, und der steht in seinem eigenen Gesetz. § 30 Abs. 1 BSIG bindet die Angemessenheit der Maßnahmen an das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Ein Auftraggeber, der von einem Zulieferer ohne jeden Systemzugang ein vollständiges ISMS-Audit verlangt, erfüllt seine Pflicht damit nicht besser. Er verteilt sie nur um.

Drei Fragen entscheiden, wie tief Ihr Fall wirklich liegt:

• Haben Sie oder Ihre Systeme technischen Zugang zu den Systemen des Auftraggebers (Fernwartung, Schnittstellen, Portalzugänge, EDI)?
• Verarbeiten Sie vertrauliche Daten des Auftraggebers?
• Kann ein Ausfall bei Ihnen die Leistungsfähigkeit des Auftraggebers spürbar beeinträchtigen?

Dreimal Nein heißt: Der Fragebogen ist zu groß für Ihren Fall, und das ist sagbar. Einmal Ja heißt: Es geht um Substanz statt um Formalien, und dann sollten Sie liefern.

Es gibt kein NIS2-Zertifikat

Das ist der wichtigste Satz für Ihre Antwort. Weder das BSI noch eine andere Behörde vergibt ein „NIS-2-Zertifikat”. Was unter diesem Namen verkauft wird, sind private Konformitätsbescheinigungen ohne amtlichen Status.

Auch ISO/IEC 27001 löst das Problem nicht automatisch. Das BSI stellt selbst klar, dass eine ISO-27001-Zertifizierung nicht bedeutet, dass ein Unternehmen NIS-2-konform ist: Der Geltungsbereich lässt sich auf einzelne Bereiche beschränken, die Norm erlaubt Risikoakzeptanz und Risikotransfer, und Melde-, Registrierungs- sowie Schulungspflichten sind darin schlicht nicht enthalten.

Und die turnusmäßige Nachweispflicht mit Audit alle drei Jahre? Die steht in § 39 BSIG und trifft ausschließlich Betreiber kritischer Anlagen. Wichtige und besonders wichtige Einrichtungen unterliegen ihr nicht. Wenn Ihr Auftraggeber sie zitiert, um Druck aufzubauen, ist das mit hoher Wahrscheinlichkeit ein Missverständnis auf seiner Seite.

Welche Nachweise praktisch gefordert werden

Fast alle Fragebögen kreisen um dieselben acht Punkte. Ob eine Antwort durchgeht oder eine Rückfragerunde auslöst, entscheidet selten der Reifegrad. Es entscheidet der Beleg.

Wer diese acht Punkte mit Datum, Zahl und Screenshot beantworten kann, hat den Nachweis erbracht und braucht dafür kein Zertifikat. Wer sie mit „ja, ist vorhanden” beantwortet, bekommt den Fragebogen zurück.

Drei Klauseln, über die Sie verhandeln sollten

Das Audit-Recht. Ein uneingeschränktes Vor-Ort-Prüfrecht auf Zuruf ist für ein Unternehmen Ihrer Größe unkalkulierbar. Verhandelbar sind: Nachweis durch Selbstauskunft statt Begehung, Begrenzung auf einmal jährlich, Vorlaufzeit von 20 Werktagen, Beschränkung auf den Bereich, der die Leistung erbringt, und Kostentragung durch den Prüfenden bei anlasslosen Prüfungen.

Die Meldefrist. Verhandeln Sie die 24 Stunden nicht weg. Ihr Auftraggeber braucht sie, weil er nach § 32 BSIG selbst binnen 24 Stunden eine Erstmeldung abgeben muss, gefolgt von einer Meldung nach 72 Stunden und einer Abschlussmeldung nach einem Monat. Verhandeln Sie stattdessen den Auslöser: „erheblicher Sicherheitsvorfall mit Bezug zur erbrachten Leistung” statt „jeder Sicherheitsvorfall”. Sonst melden Sie jede blockierte Phishing-Mail.

Die pauschale Konformitätszusicherung. Eine Klausel wie „Der Auftragnehmer sichert die Einhaltung der NIS-2-Anforderungen zu” ist für Sie nicht erfüllbar, weil es für ein nicht reguliertes Unternehmen keinen definierten Zielzustand gibt. Ersetzen Sie sie durch eine benannte Maßnahmenliste als Anlage plus die Pflicht, wesentliche Änderungen daran mitzuteilen. Das ist prüfbar und begrenzt Ihre Haftung auf das, was Sie tatsächlich zugesagt haben.

Ergänzend sinnvoll: Weitergabepflichten an Unterauftragnehmer auf den tatsächlich relevanten Kreis begrenzen und die Haftung der Höhe nach deckeln.

So ordnen Sie sich in zehn Minuten ein

• Sind wir selbst betroffen (Sektor nach Anlage 1 oder 2 und Schwellenwerte nach § 28 BSIG)? Wenn ja, ist der Fragebogen der kleinere Teil des Problems.
• Erfüllen wir mindestens eines der drei Risikokriterien (Systemzugang, vertrauliche Daten, Verfügbarkeitsrelevanz)?
• Können wir die acht Punkte aus der Tabelle mit Datum und Zahl belegen, heute und ohne Vorbereitung?
• Steht im Vertragsentwurf eine pauschale Konformitätszusicherung oder ein unbegrenztes Auditrecht?
• Gibt es einen benannten, außerhalb der Geschäftszeiten erreichbaren Ansprechpartner für Sicherheitsvorfälle?

Wer bei den ersten drei Punkten Klarheit hat, verhandelt sachlich, mit Belegen und ohne den Reflex, alles zu unterschreiben. Der praktische Engpass liegt fast immer beim dritten Punkt: Die Maßnahmen existieren, nur der Beleg fehlt. Genau dort lässt sich am schnellsten etwas ändern: Aus den acht Zeilen der Tabelle werden belegbare Aussagen, sobald jemand sie einmal gegen die tatsächlichen Einstellungen prüft und das Ergebnis mit Datum festhält. Das ist eine Fleißarbeit von Tagen und keine Zertifizierung von Monaten.

Quellen

• § 30 Abs. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen; die Einhaltung ist zu dokumentieren. Die Verhältnismäßigkeit bemisst sich unter anderem nach Risikoexposition, Größe der Einrichtung und Umsetzungskosten. (gesetze-im-internet.de)
• § 30 Abs. 2 Nr. 4 BSIG nennt als Mindestmaßnahme die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern. (gesetze-im-internet.de)
• Die Gesetzesbegründung zu § 30 BSIG nennt als Lieferkettenmaßnahmen vertragliche Vereinbarungen mit Zulieferern zu Risikomanagement, Bewältigung von Cybersicherheitsvorfällen und Patchmanagement. (bsi-gesetz.de)
• Das BSI empfiehlt regulierten Unternehmen, Sicherheitsanforderungen gegenüber Lieferanten vertraglich zu verankern (unter anderem Service Level Agreements zu Risikomanagement, Vorfallbewältigung und Patchmanagement); eine unmittelbare Regulierung der Lieferanten selbst folgt daraus nicht. (bsi.bund.de)
• Eine Zertifizierung nach ISO/IEC 27001 bedeutet laut BSI nicht automatisch NIS-2-Konformität: Der Geltungsbereich kann eingeschränkt werden, die Norm erlaubt Risikoakzeptanz und -transfer, und Melde-, Registrierungs- sowie Schulungspflichten nach §§ 32, 33, 38 BSIG sind nicht enthalten. (bsi.bund.de)
• Ein amtliches NIS-2-Zertifikat existiert nicht; weder das BSI noch eine andere Behörde vergibt eines. Am Markt angebotene NIS-2-Zertifizierungen sind private Konformitätsbescheinigungen ohne amtlichen Status. (ing-ism.de)
• Die turnusmäßige Nachweispflicht mit Sicherheitsaudits, Prüfungen oder Zertifizierungen alle drei Jahre nach § 39 BSIG trifft ausschließlich Betreiber kritischer Anlagen, nicht wichtige oder besonders wichtige Einrichtungen. (gesetze-im-internet.de)
• Als wichtige Einrichtung gilt nach § 28 Abs. 2 BSIG, wer in einem Sektor der Anlagen 1 oder 2 tätig ist und mindestens 50 Beschäftigte hat oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweist (kumulativ). (gesetze-im-internet.de)
• § 32 BSIG sieht für regulierte Einrichtungen eine Meldekaskade vor: Erstmeldung unverzüglich, spätestens binnen 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussmeldung nach einem Monat. (gesetze-im-internet.de)
• Die Durchführungsverordnung (EU) 2024/2690 konkretisiert die Anforderungen des Art. 21 NIS2 für bestimmte Anbietergruppen, darunter Anbieter von Cloud-Computing-Diensten, Anbieter verwalteter Dienste (Managed Service Provider) und Managed-Security-Service-Provider; sie setzt voraus, dass die Einrichtung überhaupt in den Anwendungsbereich fällt. (eur-lex.europa.eu)
• Das BSI ordnet die Durchführungsverordnung (EU) 2024/2690 als unmittelbar anwendbare Konkretisierung der Risikomanagementanforderungen für Anbieter digitaler Infrastrukturen und digitaler Dienste ein. (bsi.bund.de)
• In Microsoft Purview Audit (Standard) beträgt die Standard-Aufbewahrung für Auditprotokolle 180 Tage; längere Aufbewahrung erfordert eine konfigurierte Aufbewahrungsrichtlinie und entsprechende Lizenzierung. (learn.microsoft.com)
• Die Anmelde- und Verzeichnisprotokolle von Microsoft Entra ID werden unabhängig davon nur 7 Tage (Entra ID Free) beziehungsweise 30 Tage (Entra ID P1/P2) vorgehalten; längere Aufbewahrung erfordert Export in einen Speicher- oder Analysedienst. (learn.microsoft.com)