Lieferantenfragebogen: Was er ist und wie Sie ihn beantworten, ohne den Auftrag zu verlieren
Wenn Sie danach gesucht haben, haben Sie wahrscheinlich gerade einen in einem anderen Tab geöffnet.
Ein Lieferantenfragebogen (Sicherheitsfragebogen) ist das Formular — meist eine Excel- oder PDF-Datei mit 100 bis 200 Fragen —, das ein Kunde Ihnen schickt, um zu prüfen, wie Sie Informationen und Systeme schützen, die Sie zur Leistungserbringung nutzen. Der Kunde verschickt ihn, weil sein eigenes Unternehmen zur Steuerung des Lieferkettenrisikos verpflichtet ist — und Sie Teil dieser Kette sind.
Der häufigste Auslöser ist derzeit die NIS2-Richtlinie (EU) 2022/2555, in Deutschland umgesetzt durch das NIS2UmsuCG (in Kraft seit dem 6. Dezember 2025, ohne Übergangsfrist, betrifft rund 29.500 Unternehmen, zuständige Behörde: das BSI). Große Unternehmen müssen das Cybersicherheitsrisiko ihrer Lieferkette steuern, nicht nur ihr eigenes — und geben diese Pflicht über einen Fragebogen und meist eine Vertragsklausel weiter.
Was der Fragebogen inhaltlich verlangt, ist immer dasselbe: Nachweise — eine Richtlinie, ein Screenshot, ein Vertrag, ein Bericht —, dass angemessene Maßnahmen bestehen, etwa bei Zugriffskontrolle, Datensicherung, Reaktion auf Sicherheitsvorfälle und der Bewertung der eigenen Lieferanten.
Für wen gilt das?
Sie erhalten diesen Fragebogen, wenn Sie ein Unternehmen beliefern, das selbst durch NIS2UmsuCG/BSIG oder eine interne Risikorichtlinie zur Lieferantenbewertung verpflichtet ist — unabhängig davon, ob Ihr eigenes Unternehmen direkt in den Anwendungsbereich fällt. Die Pflicht erreicht Sie über den Vertrag, nicht über das Gesetz.
Typisches Profil: ein mittelständisches Industrie- oder Dienstleistungsunternehmen mit 30 bis 200 Mitarbeitenden, ohne eigene Sicherheitsabteilung, das plötzlich präzise zu RTO, Netzwerksegmentierung oder Schwachstellenmanagement Auskunft geben muss.
Typische Fragen
Existiert eine dokumentierte Informationssicherheitsrichtlinie?
Art. 21.2.a
Ist Multi-Faktor-Authentifizierung (MFA) für den Fernzugriff verpflichtend?
Art. 21.2.j
Wie häufig werden Schwachstellenscans durchgeführt?
Art. 21.2.e
Existiert ein dokumentierter Notfallplan zur Reaktion auf Sicherheitsvorfälle?
Art. 21.2.b
Werden Lieferanten vor Beauftragung sicherheitstechnisch bewertet?
Art. 21.2.d
Erforderliche Nachweise
- Unterschriebene, aktuelle Sicherheitsrichtlinie
- Screenshot der MFA-Konfiguration
- Letzter Schwachstellenscan-Bericht
- Notfallplan (Incident Response)
- Verfahren zur Lieferantenbewertung
Haben Sie den Fragebogen schon vorliegen?
Laden Sie ihn hoch und wissen Sie in einer Minute, was abgedeckt ist, wo Lücken bestehen und welche Nachweise fehlen. Verarbeitung im Browser — die Datei verlässt Ihren Rechner nicht.
Fragebogen kostenlos analysierenFAQ
Zertifiziert mich das für NIS2?
Nein — NIS2 kennt keine offizielle Prüfung oder Zertifizierung. Real existiert der Fragebogen Ihres Kunden, und genau dabei helfen wir mit echten Nachweisen.
Was passiert mit der hochgeladenen Datei?
Die Datei selbst verlässt nie Ihren Browser. Zur Klassifizierung der Fragen wird ausschließlich der Text jeder Frage verarbeitet — nie das Dokument, nie Firmennamen und nie eine bereits ausgefüllte Antwort. Es wird nichts gespeichert, außer Sie fordern den Bericht an.