Kunde verlangt NIS2-Nachweis: was Sie wirklich liefern können

Im Postfach liegt ein Fragebogen mit dem Betreff NIS2-Nachweis, dahinter ein Rahmenvertrag und zwei Wochen Frist. Verlangt werden ein Zertifikat, eine Bestätigung der Betroffenheit und eine Meldeklausel. Der wichtigste Satz vorweg: Ein NIS2-Zertifikat gibt es nicht, und aus dem BSIG folgt keine Pflicht, Ihrem Kunden etwas zu liefern. Hinter der Anfrage steht seine eigene Pflicht aus § 30 BSIG.

Woher die Forderung kommt: § 30 Abs. 2 Satz 2 Nr. 4 BSIG

§ 30 Abs. 1 Satz 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Ihr Kunde ist eine davon, und eine der Maßnahmen betrifft Sie: § 30 Abs. 2 Satz 2 Nr. 4 BSIG lautet Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.

Schriftlich läuft das ab, weil § 30 Abs. 1 Satz 3 BSIG die Dokumentation der Einhaltung verlangt: Der Fragebogen ist die Akte Ihres Kunden. Wie tief er fragen darf, entscheidet die Verhältnismäßigkeit nach § 30 Abs. 1 Satz 2 BSIG. Fernwartung und Normteile rechtfertigen nicht denselben Bogen.

Den Druck erklärt § 38 Abs. 1 BSIG: Die Geschäftsleitung muss die Maßnahmen nach § 30 BSIG umsetzen und überwachen und haftet nach Absatz 2 bei Pflichtverletzung ihrer Einrichtung. Vertieft in NIS2-Lieferkette und Geschäftsführerhaftung.

Den NIS2-Nachweis als Dokument gibt es nicht

Ein Zertifikat, das NIS2-Konformität bescheinigt, sieht das Gesetz nicht vor. § 30 Abs. 6 BSIG lässt die Pflicht, IKT-Produkte nur mit Cybersicherheitszertifizierung nach der Verordnung (EU) 2019/881 zu verwenden, nur durch Rechtsverordnung nach § 56 Abs. 3 BSIG zu.

Das Wort Nachweis steht im BSIG an einer Stelle, und die zielt woanders hin: § 39 BSIG trägt die Überschrift Nachweispflichten für Betreiber kritischer Anlagen und verlangt Audits, Prüfungen oder Zertifizierungen gegenüber dem Bundesamt, alle drei Jahre. Ein Nachweis gegenüber Kunden fehlt im Gesetz.

Daraus folgt die Haltung für die Antwort: nicht widersprechen, sondern einordnen. Drei Kategorien reichen: belegbar, freiwillig, gibt es nicht. Für die dritte gehört die Fundstelle dazu.

Erst die eigene Einstufung, dann die Antwort

Die einzige Angabe, die Sie mit einer Norm belegen können, ist Ihre eigene Einstufung. Sie hat zwei Bedingungen, die zusammenkommen müssen: Einrichtungsart und Größe. Den vollen Prüfweg zeigt der NIS2-Betroffenheits-Check.

Die Einrichtungsart steht in den Anlagen des BSIG: Anlage 1 mit sieben Sektoren, darunter Energie und Digitale Infrastruktur, Anlage 2 mit sieben weiteren, darunter Verarbeitendes Gewerbe und Chemie. Maßgeblich ist der Wirtschaftszweig, für Maschinenbau Abschnitt C Abteilung 28 der NACE Rev. 2.

• Wichtige Einrichtung (§ 28 Abs. 2 Nr. 3 BSIG): Anlage 1 oder 2 und mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro.
• Besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 4 BSIG): Anlage 1 und mindestens 250 Mitarbeiter oder über 50 Millionen Euro Umsatz und zudem über 43 Millionen Euro Bilanzsumme.

Zwei Fallen sind häufig. Das Finanzkriterium ist kumulativ, also Umsatz und Bilanzsumme; wer nur den Umsatz vergleicht, stuft sich strenger ein als das Gesetz. Und gerechnet wird nicht nach der Lohnbuchhaltung: § 28 Abs. 4 Satz 1 BSIG verweist auf die Empfehlung 2003/361/EG, ausgenommen Artikel 3 Absatz 4 des Anhangs.

Welche Fristen echt sind und welche verhandelt werden

Die zwei Wochen im Anschreiben sind keine gesetzliche Frist. Das BSIG kennt keine Frist, in der ein Anbieter einem Kunden zu antworten hätte; sie stammt aus dessen Beschaffung und ist verhandelbar. Anders die Fristen, die Sie selbst treffen.

Die Meldestufen stehen in NIS2-Meldung in 24 Stunden. Für die Verhandlung zählt die dritte Zeile: Läuft die erste Meldung Ihres Kunden 24 Stunden nach seiner Kenntnis ab, muss Ihre Information früher da sein.

Praxisbeispiel: 40 Mitarbeiter, Maschinenbau, Kunde aus der Energiewirtschaft

Ein Zulieferer fertigt Baugruppen im Maschinenbau, 40 Mitarbeiter, 8,5 Millionen Euro Jahresumsatz. Kunde ist ein Netzbetreiber mit rund 900 Beschäftigten aus dem Sektor Energie der Anlage 1 BSIG, also besonders wichtige Einrichtung nach § 28 Abs. 1 Nr. 4 BSIG. Verlangt werden Zertifikat, Selbstauskunft und Meldeklausel.

Die Rechnung ist kurz. Einrichtungsart: ja, Maschinenbau steht in Anlage 2 BSIG. Schwelle: nein, 40 liegt unter 50, und 8,5 Millionen Euro liegen unter den über 10 Millionen Euro, die § 28 Abs. 2 Nr. 3 BSIG zusammen mit einer ebenso hohen Bilanzsumme verlangt. Ergebnis: nicht betroffen.

Die Antwort trägt drei belegte Angaben: Einrichtungsart, Schwellenwerte zum Stichtag des letzten Jahresabschlusses, Ergebnis. Dazu, als freiwillig gekennzeichnet: Ansprechpartner für Sicherheitsfragen und Kontaktweg für Störungsmeldungen. Das Zertifikat wird mit § 30 Abs. 6 BSIG abgelehnt, nicht mit einem Nein.

Ein Jahr später hat der Betrieb 52 Mitarbeiter. Jetzt greift § 28 Abs. 2 Nr. 3 BSIG allein über die Mitarbeiterzahl, und aus der Selbstauskunft wird die Registrierungspflicht nach § 33 BSIG.

Beide Zustände bildet RegelWerk ab: Der Betroffenheits-Check nimmt Sektorgruppe, Mitarbeiterzahl, Umsatz und KI-System entgegen und gibt die Einstufung mit Ampel aus, im ersten Fall mit einer Maßnahme, der jährlichen Schwellenprüfung, im zweiten mit der Roadmap der wichtigen Einrichtung. Der Check kostet nichts.

Was die App nicht tut, gehört dazu. Sie arbeitet mit groben Sektorgruppen statt mit der Einrichtungsart der Anlagen 1 und 2; diese Zuordnung bleibt Ihre Aufgabe. Die Bilanzsumme fragt sie nicht ab, sondern weist sie als offenen Punkt aus, statt zu raten. Und die Horizonte von 30 und 90 Tagen sind Arbeitstakte, keine Gesetzesfristen, ebenso der jährliche Schulungspunkt: § 38 Abs. 3 BSIG verlangt regelmäßige Teilnahme ohne Intervall. Mehr dazu in NIS2-Pflichten konkret.

Häufige Fragen

Gibt es ein NIS2-Zertifikat?

Nein. Das BSIG kennt kein Zertifikat, das NIS2-Konformität bescheinigt. § 30 Abs. 6 BSIG lässt eine Pflicht zur Verwendung zertifizierter IKT-Produkte, IKT-Dienste und IKT-Prozesse nur zu, soweit eine Rechtsverordnung nach § 56 Abs. 3 BSIG das bestimmt. ISO 27001 oder TISAX kann ein Kunde vertraglich verlangen, gesetzlich vorgeschrieben ist beides nicht.

Muss ich meinem Kunden einen NIS2-Nachweis liefern?

Aus dem BSIG folgt keine Pflicht, einem Kunden Nachweise zu liefern. Die Lieferkettenmaßnahme des § 30 Abs. 2 Satz 2 Nr. 4 BSIG trifft Ihren Kunden, nicht Sie. Die einzige gesetzliche Nachweispflicht steht in § 39 BSIG: Betreiber kritischer Anlagen gegenüber dem Bundesamt, alle drei Jahre. Vertraglich kann eine Auskunft geschuldet sein.

Was schreibe ich, wenn wir nicht unter NIS2 fallen?

Drei Angaben genügen: die Einrichtungsart nach Anlage 1 oder 2 BSIG oder deren Fehlen, die Schwellenwerte nach § 28 BSIG mit Stichtag und das Ergebnis. Wichtige Einrichtung ist nach § 28 Abs. 2 Nr. 3 BSIG, wer einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeiter hat oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall – wenden Sie sich dafür an fachkundige Beratung.