NIS2 2026 – Lieferanten-Cyberzertifikat, Abweichung & Überprüfung | Word/PDF/Excel

Ihr wichtiger Systemlieferant sagt, dass die Sicherheit gut ist – aber Sie können keinen aktuellen Test von Administratorkonten, Sicherheitsupdates oder Wiederherstellung vorweisen. Wie dokumentieren Sie die Abweichung, stellen Sie angemessene Anforderungen, erhalten Sie einen echten erneuten Test und berichten Sie dem verantwortlichen Management über das Risiko? Dieses NIS2-Spezialistenpaket enthält Vorlagen für die risikobasierte Cybersicherheitskontrolle von Lieferanten – von der faktenbasierten Selbstauskunft bis zum Maßnahmenbescheid, erneuten Test und zur Entscheidung.

Rechtlich aktuell: Das schwedische Cybersicherheitsgesetz (2025:1506) trat am 15. Januar 2026 in Kraft. In Kapitel 2, § 4 wird die Sicherheit in der Lieferkette als einer der Bereiche für angemessene und verhältnismäßige Sicherheitsmaßnahmen für von dem Gesetz erfasste Betreiber genannt. Gemäß Artikel 21.2 d und 21.3 der NIS2-Richtlinie müssen die Risiken im Verhältnis zu direkten Lieferanten und Dienstleistern bewertet werden, insbesondere ihre spezifischen Schwachstellen und ihre Cybersicherheitspraktiken. MCFFS 2026:11 gilt ab dem 1. Oktober 2026 und präzisiert die Sicherheitsmaßnahmen für die betroffenen Betreiber. Cybersicherheitsgesetz ansehen und die geltende Vorschrift des NCSC.

Wichtige Abgrenzung: Nicht alle schwedischen Unternehmen oder deren Lieferanten fallen automatisch unter das Cybersicherheitsgesetz. Der betroffene Betreiber muss zunächst seinen eigenen rechtlichen Anwendungsbereich und die konkreten Lieferantenrisiken bewerten. Es gibt keine allgemeine, verbindliche, von einer Behörde ausgestellte „NIS2-Lieferantenzertifizierung“ und keine universellen 14- oder 30-Tage-Fristen für gewöhnliche private Maßnahmenbescheide. Ein ausgefülltes Formular zertifiziert keine Cybersicherheit und ersetzt keinen technischen Test.

Kompletter digitaler ZIP für 79 SEK: fünf schwedische Arbeitsvorlagen sowie ein schwedischer und ein englischer Benutzerleitfaden – alle in bearbeitbarem Word-Format (DOCX) und als durchsuchbare, druckbare A4-PDF-Dateien. Darüber hinaus eine Excel-Arbeitsmappe (XLSX) mit neun Reitern, 612 administrativen Formeln und 36 geprüften Szenariotests. Insgesamt 7 DOCX + 7 PDF + 1 XLSX = 15 Kundendateien. Fünf schwedische Arbeitsdokumente, zwei Leitfäden, sieben eigenständige Dokumente; die PDF-Kopien sind nicht interaktiv ausfüllbar.

Für wen eignet sich die NIS2-Lieferantenkontrolle?

Für Unternehmen, die geprüft haben, dass sie unter das Cybersicherheitsgesetz fallen – beispielsweise bestimmte Akteure in den Bereichen Energie, Transport, Lebensmittel, digitale Infrastruktur und andere relevante gesellschaftlich wichtige Sektoren – und die IT-Betrieb, SaaS, Cloud-, Systementwicklungs-, Sicherheitsdienste oder andere Lieferanten beauftragen, die Netzwerke und Informationssysteme beeinflussen können. Die Zielgruppen sind insbesondere CISO, IT-Sicherheitsverantwortliche, Einkauf, Compliance, Risikomanagement und Geschäftsführung, interne Revision und Einkaufsverantwortliche.

Es kann auch von einem Lieferanten verwendet werden, der eine konkrete Grundlage für einen NIS2-regulierten Kunden vorbereiten muss, wobei der Lieferant nicht behaupten darf, dass der Kunde oder der Lieferant automatisch zertifiziert wurde. Der Vertrag selbst und etwaige sektorspezifische Vorschriften müssen geprüft werden.

Genaue Dateiliste – 15 Kundendateien

Excel – neun Reiter und 36 geprüfte Funktionstests

Die Arbeitsmappe enthält Läs mig, Översikt, Leverantörer, Intyg, Kontroller, Avvikler, Omtest, Beslut och Källor. Jeder Vorgang wird mit einer eindeutigen internen ID und tatsächlichen Nachweisreferenzen verknüpft. Das Register wird bei Lieferung zurückgesetzt und enthält keine Kundendaten oder Beispieldaten.

Die 612 Formeln können administrative Warnhinweise wie „PRÜFE DIE LIEFERANTENKETTE“, „PRÜFE DIE ANWENDBARKEIT“, „VERIFIZIERE DEN QUELLENNACHWEIS“, „PRÜFUNG FEHLT“, „SICHERHEITSMANGEL“, „KLÄRE DEN VERTRAG“, „SETZE DIE FRIST MANUELL“, „DOKUMENTIERE DEN VERSAND“, „VERBLEIBENDER FEHLER“ und „ESKALIER HOHE RISIKEN ausgeben. Bei vollständigen Eingaben wird stattdessen eine Grundlage für eine manuelle Prüfung angezeigt, niemals „NIS2-genehmigt“.

36 von 36 technischen Szenariotests bestanden nach der Korrektur eines Fehlers in der Mengenverwaltung der Übersicht. Ein Test verifiziert insbesondere, dass ein hohes Risiko nicht als automatisch abgeschlossen markiert werden kann, selbst wenn alle Entscheidungs- und Bestätigungsfelder ausgefüllt sind und der Benutzer den Vorgang schließen möchte. Die 12 Übersichtswerte des Kunden sind 0, bevor der erste tatsächliche Lieferant registriert wird.

Praktischer Arbeitsablauf für einen Lieferanten mit Sicherheitsmangel

1. Den Anwendungsbereich bewerten. Fällt Ihr Unternehmen nach dem Cybersicherheitsgesetz unter die Kategorien wesentlicher oder wichtiger Betreiber? Dokumentieren Sie Entscheidung, Branche und Quelle im Formular 01.
2. Den relevanten Dienst abgrenzen. Identifizieren Sie den direkten Vertragspartner, die vom Lieferanten erfassten Systeme, die betroffenen Daten und die Folgen einer Cyberstörung.
3. Verhältnismäßige Sicherheitsnachweise anfordern. Fragen Sie nach der tatsächlichen Version und Nachweisen für MFA, privilegierten Zugriff, Schwachstellenroutinen, Backups oder Vorfallreaktionen, abhängig vom identifizierten Risiko.
4. Einen eventuellen Nachweis bewerten. Eine unterzeichnete Ja-Antwort, eine ISO-Aussage oder eine Lieferantenrichtlinie ist nicht dasselbe wie ein verifizierter Test des jeweiligen Systems.
5. Konkrete Maßnahmenanforderungen senden. Geben Sie an, auf welchem Vertrag und welchem sachlichen Kontrollergebnis die Anforderung basiert. Legen Sie eine realistische Frist gemäß dem Vertrag fest; erfinden Sie keine universelle gesetzliche Antwortfrist.
6. Erneuten Test durchführen und die Nachweiskette sichern. Überprüfen Sie tatsächliche Konfigurationen, durchgeführte Maßnahmen, Datum und verbleibende Risiken. Teilen Sie keine geheimen Schlüssel oder Passwörter in offenen Tabellenkalkulationen.
7. Separat entscheiden. Der berechtigte Risikoinhaber entscheidet über Fortführung des Betriebs, kompensatorische Schutzmaßnahmen, Eskalation, Vertragsänderung oder Austritt – ohne automatische positive Entscheidung durch Excel.

Rechtliche Grundlage – was die Regeln tatsächlich bedeuten

Cybersicherheitsgesetz (2025:1506), Kapitel 2, § 3: Technische, organisatorische und betriebsbezogene Sicherheitsmaßnahmen müssen angemessen, verhältnismäßig und risikobasiert sein. Punkt 4 befasst sich mit der Sicherheit in der Lieferkette und Punkt 6 mit der Bewertung der Wirksamkeit von Sicherheitsmaßnahmen. Volltext beim schwedischen Parlament lesen.

NIS2-Richtlinie Artikel 21.2 d und 21.3: Lieferantenspezifische Schwachstellen und die Qualität der Sicherheitsarbeit direkter Lieferanten, einschließlich sicherer Entwicklung, müssen berücksichtigt werden. Dies ist die Grundlage für eine risikobasierte Kontrolle – nicht ein gesetzlich vorgeschriebenes universelles Formular für alle Lieferanten. Offizielle EU-Richtlinie.

MCFFS 2026:11: Vorschriften und allgemeine Ratschläge zu Sicherheitsmaßnahmen und der Schulung des Managements für wesentliche und wichtige Betreiber gelten seit dem 1. Oktober 2026. Verifizieren Sie auch die relevanten sektorspezifischen Vorschriften. Offizielle NCSC-Quelle.

Verantwortungsgrenze: dass ein Lieferant bestimmte Kontrollen bestätigt, entbindet den Kunden nicht davon, selbst zu bewerten, ob die eigene Sicherheit ausreichend ist. Neben NIS2 können beispielsweise die DSGVO, Branchenvorschriften, Verträge oder sektorspezifische EU-Regeln andere Verpflichtungen mit sich bringen. Dieses Paket ist keine Meldung eines Vorfalls, kein Behördenformular, kein Penetrationstest-Dienst und keine Sanktionsentscheidung.

Unterschied zu anderen Produkten von Mallbutiken

NIS2-Vorlagenpaket – Cybersicherheitsgesetz 2026 ist ein umfassenderes Material für die Cybersicherheitssteuerung der eigenen Organisation. Lieferantenprüfung & Lieferantenaudit ist eine allgemeine Lieferanten-/Qualitätskontrolle. DORA-IT-Lieferantenvertrag hat eine finanzielle DORA-Anwendung. Dieses neue Produkt konzentriert sich speziell auf NIS2-relevante Cybersicherheitsnachweise, schriftliche Maßnahmenanforderungen und verifizierte erneute Tests bei einem bestimmten Lieferanten.

Häufig gestellte Fragen zum NIS2-Cybersicherheitsnachweis des Lieferanten

Müssen alle Lieferanten ein NIS2-Nachweisformular unterzeichnen?

Nein. Es gibt keine universelle offizielle Lieferantenzertifizierung, die alle Lieferanten ausfüllen müssen. Das Unternehmen wählt angemessene und verhältnismäßige Kontrollmaßnahmen auf Basis des tatsächlichen Risikos und der anwendbaren Verträge aus.

Ist ein kleiner SaaS-Lieferant automatisch NIS2-pflichtig, wenn der Kunde erfasst ist?

Nein. Die eigenen Verpflichtungen des Lieferanten müssen separat geprüft werden. Ein NIS2-regulierter Kunde kann dennoch vertragliche und risikobasierte Sicherheitsanforderungen stellen.

Kann die Vorlage als ISO 27001-Zertifikat verwendet werden?

Nein. Die Selbstauskunft eines Lieferanten oder ein ausgefülltes Frageformular ist keine ISO 27001-Zertifizierung, kein unabhängiges Audit und keine formelle Behördenbewertung.

Was passiert, wenn der Lieferant sagt, dass eine Abweichung behoben wurde?

Dokumentieren Sie die Aussage des Lieferanten und überprüfen Sie den tatsächlichen Nachweis und den erneuten Test anhand des richtigen Systems/der richtigen Version. Verbleibende Fehler werden markiert und erfordern eine separate Stellungnahme.

Muss der Lieferant innerhalb von 30 Tagen auf die Maßnahmenanforderung antworten?

Nein. Die allgemeinen Lieferantenanforderungen des Cybersicherheitsgesetzes sehen keine solche universelle Frist für private Maßnahmenbescheide vor. Orientieren Sie sich an Verträgen, der tatsächlichen Sicherheitslage und einem realistischen Zeitplan.

Kann Excel die Sicherheit des Lieferanten automatisch genehmigen?

Nein. Die Formeln identifizieren administrativen Kontrollbedarf und können niemals „rechtlich genehmigt“ oder „zertifiziert“ anzeigen. Eine tatsächliche technische und rechtliche Prüfung ist erforderlich.

Ist eine Meldung eines Vorfalls an die Behörde enthalten?

Nein. Wenn ein schwerwiegender Cybervorfall eingetreten ist, müssen die Vorfallsvorschriften des Gesetzes und die Vorschriften separat bewertet werden. Dieses Paket dient der Lieferantenkontrolle, nicht der offiziellen Meldung eines Vorfalls.

Sind alle Vorlagen auf Englisch?

Nein. Fünf Arbeitsvorlagen, ein schwedischer Leitfaden und Excel sind auf Schwedisch. Ein English User Guide zur Verwendung ist enthalten, stellt jedoch keine vollständige Übersetzung der fünf Hauptvorlagen dar.

Sind die PDF-Dateien digital ausfüllbar?

Nein. Die PDF-Dateien sind durchsuchbare und druckbare A4-Versionen. Bearbeiten Sie die Word-Dateien, wenn Sie eigene Daten eingeben.

Offizielle Rechtsquellen und Transparenz

Quellen: Cybersicherheitsgesetz 2025:1506; Cybersicherheitsverordnung 2025:1507; NIS2-Richtlinie 2022/2555; MCFFS 2026:11; NCSC-Leitfaden zu Sicherheitsmaßnahmen.

Version 1.0. KI-unterstützte Rechtsquellenkontrolle und technische Datei-QA am 9. November 2026. Kein externer Jurist, keine Behörde, kein Zertifizierer und kein technischer Revisor hat das Material genehmigt. Der PDF-Text und alle 14 A4-Seiten wurden geprüft, Excel enthält 612 Formeln und 36/36 Szenariotests sind geprüft, und die ZIP-Datei wurde auf Integrität geprüft. Verwenden Sie die Vorlagen als Grundlage für tatsächliche, separate Entscheidungen über Anwendbarkeit, Sicherheit, Verträge und Risiken.