NIS2 und Lieferkette: Was Kunden von Zulieferern verlangen (EU)

Was NIS2 von der Lieferkette verlangt

Art. 21 Abs. 2 Buchst. d der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) zählt die “Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern” zu den Maßnahmen, die eine wesentliche oder wichtige Einrichtung ergreifen muss. Ihre Beziehung zum Kunden ist damit selbst Gegenstand der Vorschrift. Die Pflicht greift jedoch nicht für jede eingestufte Einrichtung: Gilt für sie ein sektorspezifischer Unionsrechtsakt mit in ihrer Wirkung zumindest gleichwertigen Anforderungen, sind die einschlägigen Bestimmungen der Richtlinie nach Art. 4 Abs. 1 nicht anzuwenden (Einzelheiten und Maßstab der Gleichwertigkeit nach Art. 4 Abs. 2 im folgenden Abschnitt).

Art. 21 Abs. 3 sagt für die Einrichtungen, deren Pflicht Art. 4 Abs. 1 nicht verdrängt, worauf der Kunde dabei sehen muss: auf die spezifischen Schwachstellen des einzelnen unmittelbaren Anbieters und auf die Gesamtqualität seiner Produkte und seiner Cybersicherheitspraxis, einschließlich der Sicherheit seiner Entwicklungsprozesse. Außerdem muss er die Ergebnisse koordinierter Risikobewertungen kritischer Lieferketten nach Art. 22 Abs. 1 berücksichtigen. Aus dieser Prüfpflicht stammt der Fragebogen.

Anknüpfungspunkt der Pflicht ist Ihre Leistung an ihn, Ihre eigenen Vorlieferanten sind es nicht unmittelbar. Mittelbar können sie doch einbezogen werden: Für die in der Durchführungsverordnung (EU) 2024/2690 genannten Einrichtungen verlangt deren Anhang Nr. 5.1.4 Buchst. g Vertragsanforderungen an die Unterauftragsvergabe und Cybersicherheitsanforderungen an Unterauftragnehmer; ein Kunde, der dieser Vorgabe folgt oder sie als Maßstab nimmt, kann Anforderungen an Ihre Unterauftragsvergabe in den Vertrag mit Ihnen aufnehmen. Wie der Kunde prüft, entscheidet er: Selbstauskunft, Fragebogen, Prüfberichte oder Audit. Die Richtlinie legt keinen festen Fragebogenumfang fest; Art. 21 Abs. 1 verlangt von der Einrichtung, sofern Art. 4 Abs. 1 sie nicht verdrängt, geeignete und verhältnismäßige Maßnahmen und nennt für deren Bewertung das Ausmaß ihrer Risikoexposition, ihre Größe sowie die Wahrscheinlichkeit und Schwere von Sicherheitsvorfällen.

Wen die Pflicht trifft – und wen nicht

Erfasste Einrichtungen sind nach Art. 2 Abs. 1 der Richtlinie mittlere und große Unternehmen der in den Anhängen I und II genannten Art, die ihre Dienste in der Union erbringen oder dort tätig sind; wesentlich oder wichtig sind sie nach Art. 3. Für die Pflicht Ihres Kunden zählen sein Sektor und seine Größe, nicht das ERP, das er einsetzt.

Ihren Betrieb treffen eigene Pflichten, wenn er zu den Arten der Anhänge I oder II gehört und die Größenordnung eines mittleren oder großen Unternehmens erreicht; dann ist er nach Art. 3 wesentliche oder wichtige Einrichtung. Unabhängig von der Größe gilt die Richtlinie außerdem für die Fälle des Art. 2 Abs. 2 bis 4: Art. 2 Abs. 2 erfasst Einrichtungen einer in Anhang I oder II genannten Art, die Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste, Vertrauensdiensteanbieter, TLD-Namenregister oder DNS-Diensteanbieter sind (Buchst. a), ferner Einrichtungen, die in einem Mitgliedstaat der einzige Anbieter eines Dienstes sind, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist (Buchst. b), Einrichtungen, deren Störung sich wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte (Buchst. c) oder zu einem wesentlichen Systemrisiko führen könnte (Buchst. d), Einrichtungen, die für ihren Sektor oder ihre Dienstart auf nationaler oder regionaler Ebene kritisch sind (Buchst. e), und Einrichtungen der öffentlichen Verwaltung nach Buchst. f, nämlich Einrichtungen der Zentralregierung nach nationalem Recht (Ziffer i) sowie Einrichtungen der öffentlichen Verwaltung auf regionaler Ebene, die nach einer risikobasierten Bewertung Dienste erbringen, deren Störung erhebliche Auswirkungen auf kritische gesellschaftliche oder wirtschaftliche Tätigkeiten haben könnte (Ziffer ii), wobei die Mitgliedstaaten Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene nach Art. 2 Abs. 5 Buchst. a einbeziehen können und die Richtlinie nach Art. 2 Abs. 7 nicht für Einrichtungen der öffentlichen Verwaltung in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung gilt; Art. 2 Abs. 3 erfasst kritische Einrichtungen nach der Richtlinie (EU) 2022/2557, Art. 2 Abs. 4 Einrichtungen, die Domänennamen-Registrierungsdienste erbringen. Mit der Erfassung allein ist noch keine Einstufung als wesentliche oder wichtige Einrichtung verbunden: Wer ausschließlich Domänennamen-Registrierungsdienste erbringt, ist nach Art. 2 Abs. 4 zwar erfasst, aber nicht schon deshalb wesentliche oder wichtige Einrichtung; für ihn gilt die Liste der Einrichtungen nach Art. 3 Abs. 3 und 4 und die Übermittlung der Angaben nach Art. 27 Abs. 2 (Frist 17. Januar 2025) sowie die Datenbank der Domänennamen-Registrierungsdaten nach Art. 28, während sich Art. 21 und 23 nur an wesentliche und wichtige Einrichtungen richten. Registrierung, Risikomanagement nach Art. 21 und Meldung nach Art. 23 folgen für die Fälle des Art. 2 Abs. 1 bis 3 aus dem nationalen Umsetzungsrecht; die Einstufung als wesentliche oder wichtige Einrichtung nehmen die Mitgliedstaaten für die Fälle des Art. 2 Abs. 2 Buchst. b bis e nach Art. 3 Abs. 1 Buchst. e und Abs. 2 vor; Einrichtungen der öffentlichen Verwaltung nach Art. 2 Abs. 2 Buchst. f Ziffer i sind nach Art. 3 Abs. 1 Buchst. d wesentliche Einrichtungen. Trifft nichts davon zu, ist Ihr Kunde alleiniger Adressat der Pflicht; eine Antwortpflicht für Sie kann dann der Vertrag oder die Einkaufsbedingung des Kunden begründen.

Die Einstufung allein trägt die Pflichten nicht. Für Einrichtungen, für die ein sektorspezifischer Unionsrechtsakt der Union Maßnahmen zum Cybersicherheitsrisikomanagement oder die Meldung erheblicher Sicherheitsvorfälle verlangt und dessen Anforderungen in ihrer Wirkung den Verpflichtungen dieser Richtlinie zumindest gleichwertig sind, gelten die einschlägigen Bestimmungen der Richtlinie nicht, einschließlich der Bestimmungen über Aufsicht und Durchsetzung in Kapitel VII (Art. 4 Abs. 1 Unterabs. 1). Gleichwertig sind solche Anforderungen, wenn die Maßnahmen zum Cybersicherheitsrisikomanagement den Maßnahmen nach Art. 21 Abs. 1 und 2 mindestens gleichwertig sind oder der sektorspezifische Rechtsakt den CSIRTs, den zuständigen Behörden oder den zentralen Anlaufstellen unmittelbaren, gegebenenfalls automatischen und direkten Zugang zu den Vorfallmeldungen verschafft und die Meldepflichten den Anforderungen nach Art. 23 Abs. 1 bis 6 mindestens gleichwertig sind (Art. 4 Abs. 2). Gelten solche sektorspezifischen Rechtsakte nicht für alle Einrichtungen eines bestimmten Sektors, bleiben die einschlägigen Bestimmungen der Richtlinie für die Einrichtungen anwendbar, die sie nicht erfassen (Art. 4 Abs. 1 Unterabs. 2).

Nach den Leitlinien der Kommission zur Anwendung des Art. 4 (Amtsblatt C 328/2 vom 18. September 2023, 2023/C 328/02) gehört die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz (DORA) zu diesen sektorspezifischen Rechtsakten; nach Auffassung der Kommission sollten die Mitgliedstaaten die Bestimmungen der Richtlinie über Cybersicherheitsrisikomanagement, Meldepflichten sowie Aufsicht und Durchsetzung nicht auf Finanzunternehmen nach Art. 2 Abs. 1 Buchst. a bis t dieser Verordnung anwenden. Als Arten von Einrichtungen, die zugleich wesentliche oder wichtige Einrichtungen nach der Richtlinie sind, nennt die Leitlinie Kreditinstitute, Handelsplätze und zentrale Gegenparteien. An die Stelle der Richtlinie treten für diese Unternehmen die Bestimmungen der Verordnung, unter anderem zum IKT-Risikomanagement, zur Meldung schwerwiegender IKT-bezogener Vorfälle und zu Risiken durch IKT-Drittanbieter (Art. 28 ff.). Fragt ein solches Finanzunternehmen seinen IKT-Dienstleister ab, stützt sich die Prüfung damit auf diese Vorgaben und nicht auf Art. 21 Abs. 2 Buchst. d der Richtlinie.

Beispiel (erfunden, ohne Fallquelle): Ein Zulieferer mit 30 Mitarbeitenden liefert Bauteile an einen Maschinenbauer, der als wichtige Einrichtung erfasst ist. Der Zulieferer ist selbst nicht erfasst. Er bekommt den Fragebogen trotzdem, weil der Maschinenbauer seine Pflicht aus Art. 21 Abs. 2 Buchst. d erfüllen und dafür etwas über seinen Lieferanten wissen muss – sofern für ihn kein gleichwertiger sektorspezifischer Unionsrechtsakt gilt (Art. 4 Abs. 1).

Frage, Nachweis, Zuständigkeit: der Fragebogen in der Praxis

Die Tabelle ordnet jede Frage dem Nachweis zu, der sie trägt, und der Rolle, die ihn verantwortet; die Fragen folgen Art. 21 Abs. 2 Buchst. a bis j. Die Nachweise stellt Ihr Betrieb; die gesetzliche Pflicht hinter der Frage liegt bei Ihrem Kunden und entfällt, soweit für ihn ein in seiner Wirkung zumindest gleichwertiger sektorspezifischer Unionsrechtsakt gilt (Art. 4 Abs. 1).

Frage im Fragebogen des Kunden	Nachweis, der die Frage trägt	Zuständig
Sind Sie von NIS2 erfasst?	Notiz zur Einordnung nach Sektor und Größe, zu den größenunabhängigen Fällen des Art. 2 Abs. 2 bis 4, zur Einstufung nach Art. 3 und zum Vorrang eines sektorspezifischen Unionsrechtsakts mit gleichwertigen Anforderungen (Art. 4) mit Datum; bei Erfassung die Registrierung nach nationalem Recht	Geschäftsführung
Gibt es eine Sicherheitsleitlinie, und wer hat sie gebilligt?	Informationssicherheitsleitlinie mit Version, Datum und Freigabevermerk der Leitung (Art. 20 Abs. 1)	Geschäftsführung
Wer verantwortet die Sicherheit, und wie ist die Vertretung geregelt?	Rollenbeschreibung, Kontaktblatt, Schulungsnachweis der Leitung (Art. 20 Abs. 2)	Geschäftsführung
Wie bewerten Sie Risiken?	Risikoanalyse mit Datum, Betrachtungsbereich (ERP, Schnittstellen, Fernzugriff) und Behandlungsplan (Art. 21 Abs. 2 Buchst. a)	IT-Leitung
Wie stellen Sie den Betrieb nach einem Ausfall wieder her?	Sicherungskonzept, Restore-Testprotokoll, Notfallplan (Art. 21 Abs. 2 Buchst. c)	IT-Leitung
Wie melden Sie Vorfälle an uns?	Meldeweg mit Ansprechstelle und Frist; zusätzlich die gesetzliche Meldung nach Art. 23, wenn Sie selbst wesentliche oder wichtige Einrichtung sind und für Sie kein in seiner Wirkung zumindest gleichwertiger sektorspezifischer Unionsrechtsakt gilt (Art. 4 Abs. 1)	Betriebsleitung
Wie gehen Sie mit Schwachstellen und Patches um?	Patch- und Updateprozess mit Testschritt, Reaktionsfristen und Bezugsquelle der Software (Art. 21 Abs. 2 Buchst. e)	IT-Leitung
Wer hat Zugriff auf unsere Daten?	Rollen- und Rechtematrix, getrennte Administrationskonten, Mehrfaktor-Authentifizierung für den Fernzugriff, Protokolle (Art. 21 Abs. 2 Buchst. i und j)	IT-Leitung
Welche Unterauftragnehmer und Standorte sind beteiligt?	Liste der Unterauftragnehmer mit Leistung, Land und Datenstandort, dazu eine Änderungsmitteilung im Vertrag	Einkauf
Welche Zertifikate und Prüfberichte legen Sie vor?	Zertifikat oder Prüfbericht mit Geltungsbereich, Aussteller und Laufzeit	Qualitätsmanagement
Wie lange liefern Sie Sicherheitsupdates?	Support- und Versionsplan mit dem Datum des Supportendes und dem Weg für Schwachstellenmeldungen	Produktmanagement
Was geschieht bei Vertragsende?	Regelung zu Rückgabe und Löschung der Daten und zum Entzug von Zugängen	Geschäftsführung

Die Richtlinie verlangt kein Zertifikat: Art. 24 erlaubt den Mitgliedstaaten nur, in festgelegten Fällen zertifizierte IKT-Produkte, -Dienste oder -Prozesse zu verlangen; die Kommission kann diese Kategorien nach Art. 24 Abs. 2 durch delegierten Rechtsakt bestimmen. Welche Nachweise bei Hosting und Rechenzentren aussagekräftig sind, steht in Rechenzentrum und Zertifikate prüfen.

Die Nachweisablage: zehn Ordner, ein Namensschema

Legen Sie die Ablage an, bevor der erste Fragebogen kommt. Die Ordner folgen den Maßnahmen, nicht den Kunden; je Kunde gibt es einen eigenen Ordner mit der Antwort und einer Verweisliste.

nachweise-lieferkette/
├─ 00-betroffenheit/          Einordnung, Registrierung (falls erfasst)
├─ 01-leitlinien/             Leitlinie, Freigabe, Rollen und Vertretung
├─ 02-risikoanalyse/          Analyse, Behandlungsplan, Prüftermin
├─ 03-verfuegbarkeit/         Sicherungskonzept, Restore-Test, Notfallplan
├─ 04-vorfaelle/              Meldeweg, Kontaktblatt, Formulare
├─ 05-schwachstellen/         Patchprozess, Versionsstand, Release Notes
├─ 06-zugriffe/               Rollen, MFA, Administrationskonten, Protokolle
├─ 07-dritte/                 Unterauftragnehmer, Standorte, Verträge
├─ 08-zertifikate/            Zertifikate und Prüfberichte Dritter
└─ 09-kunden/<kunde>-<datum>/  Fragebogen, Antwort, Verweisliste

• Der Dateiname trägt Thema, Stand und Verantwortliche: patchprozess_2026-10-14_it-leitung.pdf.
• Die Verweisliste im Kundenordner nennt zu jeder Frage die Datei, die sie beantwortet, und die Lücke, die bleibt.
• Jeder Nachweis trägt ein Datum der nächsten Prüfung; die allgemeinen Ordner enthalten keine Daten einzelner Kunden.

Schreiben Sie Lücken auf, statt sie zu übergehen: “Kein Restore-Test im Testsystem; Nachholung bis 30. November 2026, Verantwortung IT-Leitung.” Dazu gehört die kompensierende Maßnahme, die bis dahin gilt. Für Vorfallmeldungen nennen Sie eine erreichbare Stelle mit Vertretung außerhalb der Geschäftszeiten, nicht ein Postfach. Wer antwortet und wer freigibt, halten Sie vorab fest (redaktioneller Vorschlag: zehn Arbeitstage).

Seit wann das gilt

Stichtag	Was gilt
16. Januar 2023	Die Richtlinie (EU) 2022/2555 tritt in Kraft (Art. 45; Veröffentlichung am 27. Dezember 2022).
18. September 2023	Die Kommission veröffentlicht nach Art. 4 Abs. 3 ihre Leitlinien zur Anwendung des Art. 4 Abs. 1 und 2 (2023/C 328/02, Amtsblatt C 328/2). Sie geben die Auffassung der Kommission wieder.
17. Oktober 2024	Frist für die Mitgliedstaaten, die erforderlichen Vorschriften zu erlassen und zu veröffentlichen (Art. 41 Abs. 1 Satz 1).
18. Oktober 2024	Ab diesem Tag wenden die Mitgliedstaaten diese Vorschriften an; die Richtlinie (EU) 2016/1148 ist aufgehoben (Art. 41 Abs. 1 Satz 2, Art. 44).
7. November 2024	Die Durchführungsverordnung (EU) 2024/2690 tritt in Kraft (Art. 16; Veröffentlichung im Amtsblatt am 18. Oktober 2024).
17. April 2025	Frist für die Listen der wesentlichen und wichtigen Einrichtungen und der Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, in den Mitgliedstaaten (Art. 3 Abs. 3).
26. Juni 2025	ENISA veröffentlicht den technischen Umsetzungsleitfaden; er bindet nicht.
Juni 2026	Die NIS-Kooperationsgruppe veröffentlicht das Referenzdokument zu den Sicherheitsmaßnahmen; es bindet nicht.

Was bei einem Verstoß droht

Die Geldbußen treffen Ihren Kunden. Für Verstöße gegen Art. 21 oder Art. 23 sieht Art. 34 Abs. 4 gegen wesentliche Einrichtungen einen Höchstbetrag von mindestens 10 Millionen Euro oder von mindestens 2 Prozent des weltweiten Umsatzes des Unternehmens im vorangegangenen Geschäftsjahr vor, dem die Einrichtung angehört, je nachdem welcher Betrag höher ist; gegen wichtige Einrichtungen einen Höchstbetrag von mindestens 7 Millionen Euro oder von mindestens 1,4 Prozent nach derselben Maßgabe (Art. 34 Abs. 5). “Mindestens” bezieht sich auf den Höchstbetrag: Das nationale Recht darf höhere Höchstbeträge vorsehen. Art. 34 steht in Kapitel VII; soweit Art. 4 Abs. 1 die einschlägigen Bestimmungen der Richtlinie zugunsten eines gleichwertigen sektorspezifischen Unionsrechtsakts verdrängt, gilt auch diese Sanktionsvorschrift nicht.

Daher der Fragebogen: Die Aufsichtsbehörde kann von einer wesentlichen Einrichtung dokumentierte Cybersicherheitskonzepte, Zugang zu Daten und Unterlagen und Nachweise über die Umsetzung verlangen, einschließlich der Ergebnisse von Sicherheitsprüfungen durch qualifizierte Prüfer (Art. 32 Abs. 2 Buchst. e bis g; für wichtige Einrichtungen Art. 33 Abs. 2 Buchst. d bis f). Was der Kunde nicht belegen kann, verlangt er von seinen Lieferanten.

Wo die Grenzen liegen

Die Richtlinie verpflichtet Einrichtungen, nicht Produkte. Für Produkte mit digitalen Elementen gilt die Cyberresilienz-Verordnung (EU) 2024/2847: Sie erfasst unter anderem Hersteller im Sinne des Art. 3 Nr. 13 und gilt ab 11. Dezember 2027; früher gelten Kapitel IV (Art. 35 bis 51) über die Notifizierung von Konformitätsbewertungsstellen ab 11. Juni 2026 und die Meldepflichten der Hersteller nach Art. 14 ab 11. September 2026 (Art. 2 Abs. 1, Art. 71 Abs. 2).

Der ENISA-Leitfaden und das Referenzdokument der NIS-Kooperationsgruppe sind nach ihren eigenen Angaben nicht rechtsverbindlich; sie beschreiben, welche Unterlagen eine Maßnahme belegen, und sind eine Ordnungshilfe für Ihre Ablage.

Die Detailanforderungen der Durchführungsverordnung (EU) 2024/2690 gelten nur für die dort genannten Einrichtungen: DNS- und TLD-Dienste, Cloud- und Rechenzentrumsdienste, Inhaltszustellnetze, verwaltete Dienste und verwaltete Sicherheitsdienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. Ihr Anhang Nr. 5 verlangt von ihnen ein Lieferkettenkonzept, Auswahlkriterien, Vertragsklauseln, Vertragsanforderungen an die Unterauftragsvergabe und ein Verzeichnis der direkten Anbieter; für andere Branchen ist das ein Maßstab, keine Pflicht.

Ob Sie selbst erfasste Einrichtung sind, regelt das nationale Umsetzungsrecht über die Listen und die Registrierungswege: NIS2 in Deutschland und NIS2 in Österreich. Für Betriebe mit Sitz außerhalb der Union entscheidet der Bezug zur Union: Erfasst sind Einrichtungen, die ihre Dienste in der Union erbringen oder dort tätig sind (Art. 2 Abs. 1). Welcher Mitgliedstaat zuständig ist, regelt Art. 26: grundsätzlich der Staat, in dem die Einrichtung niedergelassen ist; für Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste der Staat, in dem sie ihre Dienste erbringen, und für die in Art. 26 Abs. 1 Buchst. b genannten Dienste – etwa DNS-Dienste, Cloud- und Rechenzentrumsdienste, verwaltete Dienste, Online-Marktplätze, Suchmaschinen und soziale Netzwerke – der Staat ihrer Hauptniederlassung in der Union (Art. 26 Abs. 1 und 2). Eine Einrichtung dieser Dienste ohne Niederlassung in der Union, die dort Dienste anbietet, muss einen Vertreter in einem der Staaten benennen, in denen sie tätig ist, und unterliegt der Zuständigkeit dieses Staates (Art. 26 Abs. 3). Für die Schweiz siehe Cyberangriffe in der Schweiz melden.

Für den Nachweis der Wiederherstellung gehören ein Backup-Konzept mit RPO und RTO und ein Restore-Test im Testsystem dazu; für den Ernstfall Cyberangriff auf das ERP: die ersten 24 Stunden und IT-Sicherheit rund ums ERP.

Was geplant ist (noch nicht in Kraft)

Die Kommission hat am 20. Januar 2026 den Entwurf einer Richtlinie zur Änderung der Richtlinie (EU) 2022/2555 vorgelegt (COM(2026) 13 final, Verfahren 2026/0012 (COD)). Er sieht vor, dass die Kommission Leitlinien zur Anwendung der Lieferkettenanforderungen erlässt, die erfasste Einrichtungen an ihre Lieferanten weitergeben, damit gleichartige Auskünfte nicht wiederholt in wechselnden Formen verlangt werden und keine Pflichten auf nicht erfasste Betriebe übergehen. Weiter würde er Zertifikate aus europäischen Zertifizierungsschemata als Nachweis der Maßnahmen nach Art. 21 zulassen, die Vertreterpflicht des Art. 26 Abs. 3 auf alle nicht in der Union niedergelassenen erfassten Einrichtungen erstrecken und kleine Midcap-Unternehmen als wichtige Einrichtungen einordnen. Er ist kein Gesetz; es gilt der Amtsblatttext vom 27. Dezember 2022.

Checkliste für Ihren Betrieb

• Ordnen Sie Ihren Betrieb nach Sektor und Größe, die größenunabhängigen Fälle des Art. 2 Abs. 2 bis 4 und die Einstufung als wesentliche oder wichtige Einrichtung nach Art. 3 ein, prüfen Sie, ob für Ihre Tätigkeit ein sektorspezifischer Unionsrechtsakt mit gleichwertigen Anforderungen gilt (Art. 4), und halten Sie das Ergebnis mit Datum fest.
• Legen Sie die Nachweisablage an, bevor der erste Fragebogen kommt, und benennen Sie je Ordner eine verantwortliche Rolle.
• Prüfen Sie Vertrag und Einkaufsbedingungen auf Auskunfts-, Audit- und Meldeklauseln, bevor Sie antworten.
• Bestätigen Sie nur, was ein Nachweis trägt; benennen Sie Lücken mit Nachholtermin und kompensierender Maßnahme.
• Nennen Sie für Vorfallmeldungen eine erreichbare Stelle mit Vertretung außerhalb der Geschäftszeiten.
• Halten Sie Supportende, Patchweg und Bezugsquelle Ihrer Produkte schriftlich fest.
• Prüfen Sie die Ablage jährlich und bei jedem Wechsel von Unterauftragnehmern oder Standorten.