NIS2 und Ihre Website: Was Ihre Kunden Sie als Lieferanten fragen werden

Die E-Mail kommt von einem Kunden, mit dem Sie seit Jahren arbeiten. Im Anhang liegt ein Sicherheitsfragebogen für Lieferanten: Dutzende Fragen zu Verschlüsselung, Patches, Backups und Vorfällen, Abgabe bis Monatsende. Sie führen eine kleine Firma. Sie sind keine Bank, kein Krankenhaus und kein Energieversorger. Woher also das plötzliche Interesse?

Weil Ihr Kunde sehr wahrscheinlich unter NIS2 fällt, die EU-Richtlinie zur Cybersicherheit, und sie ihn für die Sicherheit seiner Lieferkette verantwortlich macht. Ihnen selbst legt sie keine direkte Pflicht auf. Mit dem Fragebogen erfüllt Ihr Kunde seine eigene Pflicht und hält das schriftlich fest.

Dieser Artikel behandelt, was das Gesetz sagt, welche dieser Fragen Ihre öffentliche Website und Ihre E-Mail-Domain für Sie beantworten und wie Sie Nachweise sammeln, bevor jemand danach fragt. Er ist keine Rechtsberatung. Wenn Sie nicht sicher sind, ob Ihr eigenes Unternehmen unter NIS2 fällt, lesen Sie zuerst die Hinweise Ihrer nationalen Behörde.

Woher die Fragen kommen

Die Richtlinie (EU) 2022/2555, bekannt als NIS2, zählt in Artikel 21 die Risikomanagementmaßnahmen im Bereich der Cybersicherheit auf, die wesentliche und wichtige Einrichtungen ergreifen müssen. Absatz 2 Buchstabe d lautet: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“.

Absatz 3 geht weiter. Bei der Wahl dieser Maßnahmen müssen die Einrichtungen die spezifischen Schwachstellen jedes unmittelbaren Anbieters und Diensteanbieters berücksichtigen sowie die Gesamtqualität ihrer Produkte und ihrer Cybersicherheitspraxis.

Ihr Kunde kann Ihre Cybersicherheitspraxis nicht beurteilen, ohne zu fragen. Also reicht er einen Teil der Pflicht in der Kette nach unten weiter, über Fragebögen, Vertragsklauseln und Bitten um Nachweise. Liefern Sie Software, Hosting oder IT-Support oder haben Sie Zugang zu seinen Systemen, rechnen Sie mit einer langen Liste. Verkaufen Sie etwas ganz anderes, fällt die Liste vielleicht kürzer aus, sie kann aber trotzdem kommen, weil es für eine Einkaufsabteilung einfacher ist, jedem Lieferanten dasselbe Formular zu schicken.

Es gibt auch einen ganz gewöhnlichen Grund, warum Ihre Domain zählt. Sie sind eine der Adressen, von denen Ihr Kunde Rechnungen erhält. Kann jemand eine E-Mail senden, die aussieht wie Ihre, kann er eine gefälschte Rechnung mit anderer Bankverbindung schicken. Für Ihren Kunden ist das ein Risiko in der Lieferkette, auch wenn Sie seine Server nie berühren.

Warum gerade jetzt

Eine Richtlinie verpflichtet Unternehmen nicht von selbst. Jedes EU-Land überträgt sie in nationales Recht, nach eigenem Zeitplan. Polen zum Beispiel hat das mit einem Gesetz vom 23. Januar 2026 getan, das sein Gesetz über das nationale Cybersicherheitssystem ändert (Dz.U. 2026 Pos. 252, auf Polnisch), in Kraft seit dem 3. April 2026. Der geänderte Artikel 8 dieses Gesetzes zählt die Sicherheit und Kontinuität der IKT-Lieferkette zu den Maßnahmen, die ein erfasstes Unternehmen umsetzen muss.

Das polnische Digitalministerium gibt Unternehmen (auf Polnisch), die die Kriterien bereits beim Inkrafttreten erfüllten, bis zum 3. Oktober 2026 Zeit für die Registrierung und bis zum 3. April 2027 für die Umsetzung ihrer Pflichten. Andere Länder haben eigene Termine. Wo auch immer Ihr Kunde sitzt, das Muster ist dasselbe: Je näher seine Frist rückt, desto gründlicher arbeiten sich seine Sicherheits- und Einkaufsabteilung durch die Lieferantenliste.

Fragen, die Ihre Website und Ihre E-Mail beantworten

Ein Teil jedes Fragebogens betrifft Dinge, die jeder in wenigen Minuten von außen prüfen kann. Ihr Kunde oder sein Auditor kann das tun, ohne Sie zu fragen, also ist es besser, wenn Sie die Antworten vorher kennen.

Verschlüsselung bei der Übertragung. Meist formuliert als „Werden Daten bei der Übertragung verschlüsselt?“ oder „Welche TLS-Versionen unterstützen Sie?“ Eine gute Antwort: Die Website läuft nur über HTTPS, http:// leitet auf https:// weiter, das Zertifikat ist gültig, und die alten Protokollversionen TLS 1.0 und 1.1 sind abgeschaltet. Der kostenlose SSL-Zertifikat-Check (auf Englisch) zeigt all das.

E-Mail-Authentifizierung. „Nutzen Sie SPF, DKIM und DMARC?“ Diese Frage kommt oft, weil es darum geht, dass sich jemand als Ihr Unternehmen ausgibt. Eine gute Antwort sind alle drei in Ihrem DNS, mit DMARC auf p=quarantine oder p=reject. Ein Eintrag mit p=none beobachtet nur und stoppt nichts. Prüfen Sie Ihre Domain mit dem Check für SPF, DKIM und DMARC (auf Englisch), und wenn Ihnen die Abkürzungen neu sind, erklärt dieser Artikel sie.

Patches. „Wie verwalten Sie Sicherheitsupdates?“ „Wie schnell spielen Sie kritische Patches ein?“ Ihre Website verrät mehr, als Sie vielleicht denken. WordPress und seine Plugins zeigen ihre Versionsnummern oft im Seitencode, und ein Scanner kann sie mit bekannten Sicherheitslücken abgleichen. Läuft auf Ihrer Website ein Plugin mit einer veröffentlichten Lücke, übersteht „wir patchen zeitnah“ die erste Prüfung nicht.

Öffentlich liegende Dateien. Auch Fragen zu Datenschutz und Backups haben eine Seite, die man von außen sieht. Liegt irgendwo ein backup.zip, ein Datenbank-Dump oder eine Konfigurationsdatei mit Passwörtern, die jeder herunterladen kann? Bots probieren diese Adressen auf jeder Website, die sie erreichen. Mehr dazu unter das vergessene Backup auf Ihrem Server.

Sicherheits-Header. Selten beim Namen genannt, aber sie stecken hinter Fragen zur Härtung von Webanwendungen. Ein fehlender HSTS- oder Content-Security-Policy-Header bedeutet nicht, dass die Website offen steht. Er zeigt aber, ob sich jemand um sie kümmert. Der Check der Sicherheits-Header (auf Englisch) listet auf, was vorhanden ist und was fehlt.

Meldung einer Sicherheitslücke. Manche Fragebögen wollen wissen, wie ein Außenstehender Ihnen ein Sicherheitsproblem melden kann. Die einfachste Antwort ist eine Sicherheitskontaktadresse in einer Datei /.well-known/security.txt auf Ihrer Website.

Fragen, die Ihre Website nicht beantworten kann

Der Rest ist von außen unsichtbar. Wer Adminzugang zu Ihrer Website, Ihrer E-Mail und Ihrer Domain hat und ob diese Personen die Zwei-Faktor-Anmeldung nutzen. Wo Ihre Backups liegen und ob schon einmal jemand eines wiederhergestellt hat. Was Sie nach einem Vorfall tun und wie schnell Sie den Kunden informieren. Ob Ihre Mitarbeiter eine Phishing-Mail erkennen würden.

Dabei hilft kein Scanner. Es helfen kurze, wahre Antworten und ein Dokument, das sie belegt.

Kreuzen Sie nicht überall „ja“ an. Antworten aus Fragebögen landen oft als Zusicherungen im Vertrag, und eine unwahre ist schlechter als ein ehrliches „in Arbeit, erledigt bis Dezember“. Ihr Kunde braucht Lieferanten, deren Risiko er steuern kann. Lieferanten ganz ohne Risiko erwartet er nicht.

Die Nachweise vorbereiten

Legen Sie vor Ihrer Antwort einen Ordner an, mit dem Datum in jedem Dateinamen.

1. Ein Bericht über Ihre Website und Domain. Er zeigt den Zustand von Zertifikat, E-Mail-Einträgen, Headern und offen liegenden Dateien an einem bestimmten Tag. Musste etwas behoben werden, legen Sie einen zweiten Bericht nach der Behebung dazu. Ein Vorher-nachher-Paar sagt dem Kunden mehr als ein einzelnes Ergebnis.
2. Ihr Ergebnis für SPF, DKIM und DMARC. Ein datierter Screenshot genügt.
3. Eine Seite zu Updates. Wer die Website und Ihre anderen Systeme aktualisiert, wie oft und wie schnell kritische Patches eingespielt werden.
4. Eine Seite zu Backups. Wo sie liegen, wie oft sie laufen und wann zuletzt jemand aus einem wiederhergestellt hat.
5. Eine Zugangsliste. Wer Administratorkonten für Website, E-Mail, Domain-Registrar und Hosting hat und ob jedes dieser Konten die Zwei-Faktor-Anmeldung nutzt.
6. Ein Kontakt für Vorfälle. Name, E-Mail-Adresse und Telefonnummer der verantwortlichen Person und wie schnell Sie den Kunden über einen Vorfall informieren, der ihn betrifft.

Schreiben Sie die Punkte 3 bis 6 gemeinsam mit dem, der Ihre Website und Ihre IT betreut. Wenn Sie nicht wissen, wie Sie dieses Gespräch beginnen, sind die fünf Fragen am Ende dieses Artikels ein guter Anfang.

Wiederholen Sie die Prüfung der Website jedes Quartal und nach jeder größeren Änderung. Ihr Kunde wird mit einem weiteren Fragebogen wiederkommen, und ein Bericht von vor zwei Jahren beweist nichts.

Was Sie diese Woche tun

Wenn der Fragebogen schon auf Ihrem Tisch liegt:

1. Prüfen Sie Ihre Website und Domain von außen. Das dauert Minuten, und das Ergebnis kann einige Ihrer Antworten ändern.
2. Erledigen Sie die schnellen Dinge: DMARC von p=none auf quarantine umstellen, Backup-Dateien aus dem Web-Ordner entfernen, HTTPS erzwingen, alte TLS-Versionen abschalten. Wenn SPF und DKIM bereits funktionieren, sind das meist Stunden Arbeit, nicht Wochen.
3. Beschreiben Sie den Rest ehrlich: was funktioniert, was in Arbeit ist und wann es fertig sein wird.

Den ersten Schritt können Sie mit ShieldWave erledigen. Geben Sie Ihre Adresse ein, und in etwa 90 Sekunden prüft es von außen Zertifikat, Header, SPF, DKIM und DMARC, Softwareversionen und offen liegende Dateien und erklärt das Ergebnis in einfachen Worten, mit einer fertigen Aufgabenbeschreibung für Ihren Entwickler. Die erste Prüfung ist kostenlos, und ein einmaliger vollständiger Scan mit dem kompletten Bericht für Ihren Ordner kostet 9 US-Dollar.