Wenn in den letzten Monaten ein Fragebogen zur IT-Sicherheit von einem deiner Auftraggeber kam: Du bist nicht allein, und du bist vermutlich auch nicht selbst von NIS2 betroffen. Der Fragebogen kommt trotzdem, und muss beantwortet werden. Dieser Text ordnet ein, warum das so ist und was du konkret vorbereiten solltest.
Vorweg: Das hier ist eine praktische Einordnung aus dem Alltag mit kleinen Betrieben, keine Rechtsberatung. Wenn du wissen musst, ob du selbst unter das Gesetz fällst, klär das mit einem Anwalt.
Kurz und ohne Panik: Was gilt seit wann
Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025. Es betrifft direkt rund 29.500 Unternehmen, im Kern solche ab 50 Mitarbeitern oder 10 Mio. € Umsatz in bestimmten Branchen: Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Abfall, Chemie, Lebensmittel und einige mehr.
Die gesetzliche Frist zur Registrierung beim BSI ist am 6. März 2026 abgelaufen. Das BSI hat danach noch eine Kulanzphase gewährt; die ist zum 31. Juli 2026 beendet.
Ein Missverständnis, das man immer wieder liest: Die Frist wurde nicht verlängert. Sie ist abgelaufen, und die Kulanzphase danach war eine Verwaltungspraxis, keine neue Rechtslage. Zum 30. Juni 2026 waren erst 17.729 Einrichtungen registriert, von rund 29.500. Ein erheblicher Teil der betroffenen Unternehmen hat sich also spät oder noch gar nicht gemeldet.
Das ist der Grund, warum das Thema gerade bei dir aufschlägt.
Warum du mit acht Mitarbeitern trotzdem betroffen sein kannst
NIS2 verlangt von den betroffenen Unternehmen eine Reihe von Maßnahmen. Eine davon ist Sicherheit in der Lieferkette. Im Klartext: Ein betroffenes Unternehmen muss die Sicherheit seiner Dienstleister und Zulieferer berücksichtigen und kann sich nicht darauf verlassen, dass die schon irgendwie sicher sind.
Was macht ein Unternehmen, das diese Pflicht erfüllen muss? Es fragt nach. Es verschickt Fragebögen an seine Lieferanten, lässt sich Zusagen geben und nimmt Anforderungen in neue Verträge auf.
Du bist damit nicht selbst NIS2-pflichtig. Aber dein Auftraggeber gibt seine Pflicht als Anforderung an dich weiter, und weil viele Unternehmen sich erst spät mit dem Thema befasst haben, kommen diese Fragebögen jetzt in Wellen.
Wenn du an einen Krankenhausbetreiber, ein Stadtwerk, einen Lebensmittelverarbeiter oder ein Logistikunternehmen lieferst: Rechne damit.
Wie das praktisch aussieht
Der typische Fragebogen ist zwei bis sechs Seiten lang, kommt als PDF oder Excel-Datei und stellt Fragen dieser Art:
- Setzen Sie auf allen Endgeräten und Servern eine Schutzsoftware ein? Wie stellen Sie sicher, dass sie aktiv und aktuell ist?
- Wie sichern Sie Ihre Daten? Wann haben Sie zuletzt eine Wiederherstellung getestet?
- Nutzen Sie Mehr-Faktor-Authentifizierung für den Zugriff auf E-Mail und Cloud-Dienste?
- Was ist Ihr Ablauf, wenn Sie einen Sicherheitsvorfall bemerken? Innerhalb welcher Frist informieren Sie uns?
- Wer ist bei Ihnen für IT-Sicherheit zuständig? Name und Kontakt.
- Haben Ihre Mitarbeiter eine Schulung zu Phishing und Social Engineering erhalten?
Was auffällt, wenn man ein paar davon gesehen hat: Es wird kaum nach Technik gefragt. Es wird nach Nachweisbarkeit gefragt. Nicht „haben Sie Virenschutz“, sondern „woher wissen Sie, dass er überall läuft“.
Was du beantworten können musst
Fünf Punkte decken den Großteil aller Fragebögen ab. Dazu jeweils eine ehrliche Einschätzung, was das an Aufwand bedeutet.
1. Virenschutz auf allen Geräten, und nachweisbar. Der erste Teil ist meistens erfüllt. Der zweite selten. „Nachweisbar“ heißt: Du kannst auf Nachfrage sagen, wie viele Geräte du hast und auf wie vielen davon der Schutz aktiv ist. Wer das nur aus dem Gedächtnis beantworten kann, hat genau die Lücke, nach der gefragt wird. Aufwand: gering, wenn zentral verwaltet. Hoch, wenn jedes Gerät einzeln nachgesehen werden muss.
2. Backup mit getesteter Wiederherstellung. Die Frage lautet fast nie „machen Sie Backups“, sondern „wann haben Sie zuletzt eine Wiederherstellung getestet“. Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung. Ein Test einmal im Jahr, kurz dokumentiert mit Datum und Ergebnis, reicht für die Antwort. Aufwand: ein halber Tag im Jahr.
3. Mehr-Faktor-Anmeldung. Mindestens für E-Mail und alle Cloud-Dienste. Bei Microsoft 365 und den meisten anderen Diensten ist das eine Einstellung, keine Anschaffung. Aufwand: gering, aber es braucht eine kurze Ansage an die Belegschaft.
4. Ein dokumentierter Ablauf bei einem Vorfall. Kein Handbuch. Eine Seite reicht: Wer wird als Erstes informiert, wer entscheidet über eine Abschaltung, wen müssen wir extern benachrichtigen und innerhalb welcher Frist, wo stehen die Zugangsdaten für den Notfall. Ausdrucken und in den Ordner: im Ernstfall funktioniert das Netzwerk vielleicht nicht mehr. Aufwand: zwei Stunden einmalig.
5. Ein benannter Ansprechpartner. Eine Person mit Namen und Telefonnummer, die für IT-Sicherheit zuständig ist. Das darf ein externer Dienstleister sein. Es darf nur nicht „der Chef, wenn er Zeit hat“ sein. Aufwand: eine Entscheidung.
Was du nicht brauchst
Dieser Abschnitt ist der wichtigste, weil hier das meiste Geld verbrannt wird.
Du brauchst keine Zertifizierung. Weder ISO 27001 noch TISAX noch sonst etwas mit Urkunde. Ein Fragebogen fragt nach Maßnahmen, nicht nach Zertifikaten. Wenn dir ein Anbieter erklärt, für NIS2-Konformität in der Lieferkette sei eine Zertifizierung nötig, verkauft er dir ein Projekt.
Du brauchst kein ISMS. Ein Informationssicherheits-Managementsystem ist für einen Betrieb mit acht Leuten ein Instrument ohne Zweck. Die fünf Punkte oben sind das, was gefragt wird.
Du brauchst keinen externen Auditor. Niemand kommt vorbei und prüft dich. Dein Auftraggeber will eine ausgefüllte Selbstauskunft, die plausibel ist und im Zweifel stimmt.
Du musst dich nicht beim BSI registrieren, solange du nicht selbst unter das Gesetz fällst. Die Registrierungspflicht trifft die betroffenen Einrichtungen, nicht deren Lieferanten.
Was du brauchst, ist die Fähigkeit, fünf Fragen wahrheitsgemäß und ohne langes Suchen zu beantworten. Mehr nicht.
Wenn du bei den ersten beiden Punkten ins Stocken kommst, ist das der übliche Fall und genau der Punkt, an dem betreuter Virenschutz einen Unterschied macht: nicht wegen besserer Erkennung, sondern weil jemand die Antwort auf die Frage hat. Wie ich das mache, steht auf der Seite zu Sicherheit as a Service.