Answer a NIS2 supplier request

Preview

# Selbstauskunft zur Informationssicherheit
# Antwort auf eine NIS2-Lieferantenanfrage

Erzeugt mit dem Generator von deveca GRC. Bitte vor Versand fachlich prüfen. Keine Rechtsberatung.

Lieferant / Auftragnehmer: …
Auftraggeber / anfragendes Unternehmen: 

Datum: 14.11.2026

Hinweis: Viele Auftraggeber, die selbst unter das BSIG / NIS2 fallen, müssen Risiken in der Lieferkette steuern (§ 30 BSIG). Diese Vorlage strukturiert übliche Fragen – sie ersetzt keine vertragliche Vereinbarung.

## Ansprechpartner

Frage: Wer ist bei Ihnen für Informationssicherheit und Vorfälle erreichbar?

[Bitte ergänzen]

## Zugriffsschutz

Frage: Wie steuern Sie Zugriffe auf Systeme und Kundendaten (Rollen, Least Privilege, MFA)?

[Bitte ergänzen]

## Verschlüsselung

Frage: Welche Verschlüsselung nutzen Sie für Übertragung und Speicherung?

[Bitte ergänzen]

## Backup und Wiederherstellung

Frage: Wie sichern Sie Daten, und wie oft testen Sie die Wiederherstellung?

[Bitte ergänzen]

## Incident-Meldung

Frage: Wie und in welcher Frist informieren Sie den Auftraggeber über Sicherheitsvorfälle?

[Bitte ergänzen]

## Patches und Schwachstellen

Frage: Wie spielen Sie Sicherheitsupdates ein, und wie gehen Sie mit bekannten Schwachstellen um?

[Bitte ergänzen]

## Dienstleister / Unterauftragnehmer

Frage: Welche Unterauftragnehmer verarbeiten Kundendaten, und wo stehen die Daten?

[Bitte ergänzen]

## Awareness

Frage: Wie schulen Sie Mitarbeitende zu Phishing, Geheimnissen und sauberem Umgang mit Kundendaten?

[Bitte ergänzen]

## Physische und organisatorische Sicherheit

Frage: Welche Maßnahmen gelten für Büros, Homeoffice und den Umgang mit Papier bzw. Geräten?

[Bitte ergänzen]

## Nachweise

Frage: Welche Zertifikate, Audits oder internen ISMS-Dokumente können Sie vorlegen?

[Bitte ergänzen]

## Erklärung

Die Angaben entsprechen unserem Kenntnisstand zum oben genannten Datum. Änderungen wesentlicher Unterauftragnehmer, Standorte oder Sicherheitsvorfälle, die Kundendaten betreffen, teilen wir über den genannten Meldeweg mit.

Control what matters. — deveca GRC