Kostenlos · ohne Anmeldung · ohne E-Mail-Adresse
Der Lieferanten-Fragebogen nach NISG 2026, vollständig und offen
Das NISG 2026 verlangt, dass Sie die Sicherheit Ihrer Lieferkette bewerten und belegen (§ 32 Abs. 4 lit. d). Hier ist der Fragebogen, mit dem das NIS2 Cockpit genau das tut: jede Frage, ihr Gewicht im Score und ihre Zuordnung zu ISO/IEC 27001:2022 und CIS Controls v8. Nehmen Sie ihn mit, als PDF für Ihre Lieferanten oder als CSV für Ihre eigene Tabelle.
- Fassung
- 2026.4dieselbe wie im Produkt
- Fragen
- 67in Themenblöcken
- Zuordnung
- ISO · CISje Frage, mit Kontrollnummer
- Kosten
- 0 €ohne Konto, ohne Rückruf
Alle Fragen der Fassung 2026.4
Lieferanten-Fragebogen nach NISG 2026 · Fassung 2026.4 · supplycheck.tomoris.io/fragebogen
01 Identität & Zugriff8 Fragen
- IAM-01
Ist Multi-Faktor-Authentifizierung (MFA) für ALLE Fernzugriffe (VPN, Remote Desktop) verpflichtend?
- IAM-02
Ist MFA für ALLE Administrator- und privilegierten Konten verpflichtend?
- IAM-03
Ist MFA für alle Cloud-Dienste und E-Mail-Postfächer (z. B. Microsoft 365) aktiviert?
- IAM-04
Wird phishing-resistente MFA (FIDO2/Passkey/App statt SMS) für privilegierte Zugänge eingesetzt?
- IAM-05
Werden Zugriffsrechte nach dem Least-Privilege-Prinzip vergeben und regelmäßig überprüft?
- IAM-06
Gibt es einen definierten Prozess, der Konten bei Austritt von Mitarbeitenden zeitnah deaktiviert?
- IAM-07
Werden privilegierte Zugänge über ein Privileged-Access-Management (PAM) oder separate Admin-Konten verwaltet?
- ACC-01
Greifen Sie auf Systeme des Kunden nur auf dessen Freigabe im Einzelfall zu, befristet und protokolliert (z. B. Fernwartung)?
02 Endpoint & Schadsoftware3 Fragen
- EDR-01
Ist auf allen Arbeitsplätzen UND Servern eine EDR-/Next-Gen-Endpoint-Lösung (nicht nur klassisches Antivirus) im Einsatz?
- EDR-02
Werden Sicherheitswarnungen rund um die Uhr (24/7) durch internes SOC oder einen MDR-Dienst überwacht und bearbeitet?
- EDR-03
Sind sämtliche produktiv genutzten Systeme frei von End-of-Life-/nicht mehr unterstützter Software (Betriebssysteme, Anwendungen)?
03 Backup & Wiederherstellung3 Fragen
- BCK-01
Werden regelmäßige Backups aller geschäftskritischen Systeme und Daten durchgeführt?
- BCK-02
Existiert mindestens eine unveränderliche (immutable) oder physisch getrennte Offline-Kopie der Backups?
- BCK-03
Wird die Wiederherstellbarkeit der Backups regelmäßig getestet und das Testdatum dokumentiert?
04 Patch- & Schwachstellen3 Fragen
- PATCH-01
Gibt es ein dokumentiertes Patchmanagement mit definierten Fristen für sicherheitskritische Updates?
- PATCH-02
Werden kritische Schwachstellen innerhalb von 14 Tagen (Server/Clients) behoben?
- PATCH-03
Werden regelmäßig Schwachstellen-Scans oder Penetrationstests durchgeführt?
05 Netzwerk & Perimeter3 Fragen
- NET-01
Sind Firewalls im Einsatz und ist kein Remote-Desktop (RDP) direkt aus dem Internet erreichbar?
- NET-02
Ist das Netzwerk segmentiert (z. B. Trennung von Server-, Client- und Gastnetzen)?
- NET-03
Werden sicherheitsrelevante Logs zentral gesammelt und ausgewertet (z. B. SIEM)?
06 E-Mail-Sicherheit2 Fragen
- MAIL-01
Ist ein Spam-/Phishing-Filter mit Schadsoftware-Erkennung für eingehende E-Mails aktiv?
- MAIL-02
Sind SPF, DKIM und DMARC (mit Enforcement) für Ihre Domains eingerichtet?
07 Vorfallsmanagement5 Fragen
- IR-01
Existiert ein dokumentierter Incident-Response-Plan mit Meldewegen und Verantwortlichkeiten?
- IR-02
Wurde der Incident-Response-Plan in den letzten 12 Monaten geübt (z. B. Tabletop-Übung)?
- IR-03
Werden Sicherheitsvorfälle, die Kunden betreffen können, unverzüglich und mit definierter Frist an diese gemeldet?
- IR-04
Gibt es eine benannte Sicherheitskontaktstelle, über die Kunden Vorfälle und Schwachstellen jederzeit melden und erfragen können?
- IR-05
Bewahren Sie sicherheitsrelevante Protokolle für einen festgelegten Zeitraum auf und unterstützen Sie Kunden bei der Untersuchung eines Vorfalls?
08 Notfall & Kontinuität2 Fragen
- BCP-01
Existiert ein Business-Continuity-/Notfallplan mit definierten Wiederanlaufzielen (RTO/RPO)?
- BCP-02
Wird der Notfallplan regelmäßig getestet und aktualisiert?
09 Personal & Awareness4 Fragen
- HR-01
Erhalten Mitarbeitende regelmäßige Security-Awareness-Schulungen mit dokumentierter Teilnahme?
- HR-02
Werden simulierte Phishing-Tests durchgeführt?
- HR-03
Bestehen verbindliche Sicherheitsrichtlinien, die von Mitarbeitenden zu akzeptieren sind?
- HR-04
Werden Beschäftigte vor dem Zugang zu Kundensystemen oder Kundendaten überprüft (z. B. Referenzen, Strafregisterauszug, soweit rechtlich zulässig)?
10 Datenschutz & Verschlüsselung4 Fragen
- DAT-01
Sind Datenträger von Notebooks und mobilen Geräten verschlüsselt (Full-Disk-Encryption)?
- DAT-02
Werden Daten bei der Übertragung durchgängig verschlüsselt (TLS) und ggf. auch ruhend (at rest)?
- DAT-03
Besteht ein DSGVO-konformes Datenschutzmanagement (Verzeichnis der Verarbeitungstätigkeiten, AV-Verträge)?
- DAT-04
Werden Kundendaten ausschließlich innerhalb der EU/EWR verarbeitet und gespeichert?
11 Governance & Compliance6 Fragen
- GRC-01
Ist Ihr Unternehmen nach ISO/IEC 27001 zertifiziert?
- GRC-02
Verfügt Ihr Unternehmen über das Cyber-Trust-Austria-Label, SOC 2, TISAX oder ein vergleichbares Nachweisverfahren?
- GRC-03
Gibt es eine benannte verantwortliche Person für Informationssicherheit (CISO/ISB)?
- GRC-04
Wird mindestens jährlich eine strukturierte Risikobewertung der Informationssicherheit durchgeführt?
- GRC-05
Fällt Ihr Unternehmen selbst unter NIS2 bzw. das NISG, und erfüllen Sie die entsprechenden Pflichten?
- GRC-06
Wer ist Eigentümer Ihres Unternehmens (Konzern), und welchem Recht unterliegt die angebotene Leistung?
12 Lieferkette & Subunternehmer4 Fragen
- SUB-01
Setzen Sie Subunternehmer oder Cloud-Dienste mit Zugriff auf Kundendaten oder -systeme ein?
- SUB-02
Falls ja: Werden diese vertraglich zu gleichwertigen Sicherheitsmaßnahmen verpflichtet und regelmäßig bewertet?
- SUB-03
Führen Sie ein aktuelles Verzeichnis Ihrer wesentlichen Dienstleister/Unterauftragnehmer?
- EXIT-01
Geben Sie bei Vertragsende alle Kundendaten in einem offenen Format zurück, löschen Sie nachweislich und unterstützen Sie eine Übergangsfrist?
13 Versicherung & Historie2 Fragen
- INS-01
Besteht für Ihr Unternehmen eine Cyber-Versicherung?
- INS-02
Gab es in den letzten 24 Monaten meldepflichtige Sicherheitsvorfälle oder Datenschutzverletzungen?
14 Software & CRA11 Fragen
- CRA-01
Stellen Sie für Ihre Software-Produkte eine maschinenlesbare SBOM (Software Bill of Materials, z. B. CycloneDX oder SPDX) bereit?
- CRA-02
Gibt es einen dokumentierten, öffentlich auffindbaren Prozess für Schwachstellenmeldungen (Coordinated Vulnerability Disclosure, z. B. security.txt)?
- CRA-03
Werden bekannte Schwachstellen in Ihren Produkten mit definierten Fristen behoben und Sicherheitsupdates kostenlos bereitgestellt?
- CRA-04
Ist ein verbindlicher Support-/Patch-Zeitraum je Produktversion zugesagt und das Support-Ende dokumentiert?
- CRA-05
Sind Sicherheitsupdates signiert und wird ihre Integrität beim Update-Prozess geprüft?
- CRA-06
Bereiten Sie die Konformität Ihrer Produkte mit dem EU Cyber Resilience Act (CRA) vor bzw. erfüllen Sie sie bereits?
- CRA-07
Welche SBOM-Formate unterstützen Sie und wo finden Kunden Ihre Security-Advisories?
- CRA-08
Stellen Sie eine Dokumentation zur sicheren Konfiguration und Härtung Ihrer Produkte bereit?
- CRA-09
Können Sie Nachweise zur Sicherheit Ihres Entwicklungsprozesses oder Ihrer Produkte vorlegen (z. B. IEC 62443-4-1, EU-Konformitätserklärung)?
- CRA-10
Sichern Sie zu, dass Ihre Produkte keine undokumentierten Zugänge, fest eingebauten Zugangsdaten oder versteckten Funktionen enthalten?
- CRA-11
Haben Sie einen Prozess, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle fristgerecht nach Art. 14 CRA zu melden (Pflicht seit 11.09.2026)?
15 Sichere Entwicklung4 Fragen
- SDL-01
Ist ein sicherer Entwicklungsprozess (Secure Development Lifecycle) für Ihre Produkte dokumentiert und verbindlich?
- SDL-02
Werden für neue oder wesentlich geänderte Produkte und Funktionen Bedrohungsmodellierungen durchgeführt?
- SDL-03
Werden vor jeder Freigabe Sicherheitstests durchgeführt (statische und dynamische Codeanalyse, Penetrationstests)?
- SDL-04
Werden eingesetzte Open-Source- und Drittkomponenten inventarisiert und laufend auf bekannte Schwachstellen überwacht?
16 Ergänzende Angaben3 Fragen
- FREE-01
Beschreiben Sie kurz Ihre wichtigsten technischen und organisatorischen Sicherheitsmaßnahmen.
- FREE-02
Falls es in den letzten 24 Monaten Sicherheitsvorfälle mit Kundenauswirkung gab: Ablauf und getroffene Maßnahmen.
- FREE-03
Welche Zertifizierungen/Nachweise können Sie auf Anfrage vorlegen (inkl. Gültigkeit)?
Gewicht heißt: so viele Punkte trägt die Frage im Score des NIS2 Cockpits, „Teilweise“ zählt die Hälfte, abgerundet auf ganze Punkte. Fragen mit „Info“ fließen nicht in den Score ein. Der Fragebogen ist eine Arbeitshilfe, keine Rechtsberatung, und bescheinigt keine NIS2-Konformität.
Was der Fragebogen allein nicht schafft
Ein Fragebogen ist der leichte Teil. Schwer wird es ab dem zehnten Lieferanten: Antworten kommen als PDF, als Excel und als Mail, Nachweise fehlen, Fristen laufen ab, und am Prüfungstag soll jede Bewertung mit Datum und Quelle vorliegen. Genau diesen Teil übernimmt das NIS2 Cockpit.
- Einmal-Link statt Mail-PingpongJeder Lieferant bekommt einen persönlichen Link mit Ablaufdatum, füllt aus und lädt seine Nachweise hoch. Ohne Konto, mit automatischer Erinnerung.
- Gewertet nach festem SchemaDieselben Gewichte wie oben, dazu die externe Prüfung aus öffentlichen Quellen. Gleiche Daten ergeben immer denselben Wert von 0 bis 100.
- Belegt für die PrüfungBericht, Lieferantenregister und ein signiertes Paket mit Datum, Quelle und Fassung. Alte Stände bleiben erhalten.