Einordnung und VorgehenDen Nachweis entlang der vereinbarten Leistung aufbauen.
01Die Kundenanforderung der Leistung zuordnen
Bezieht sich die Frage auf einen bestimmten Auftrag, eine Wartungsleistung, einen Standort oder das gesamte Unternehmen? Der Wortlaut wird mit dem Vertragsbezug festgehalten. Ein allgemeiner Sicherheitsbericht beantwortet nicht automatisch jede Lieferantenfrage. Vor dem Test wird geklärt, welche Aussage benötigt wird und welche Art von Beleg der Empfänger verlangt.
02Standorte und Betreiber auseinanderhalten
Werk, Lager und Verwaltungsbüro können unterschiedliche Gesellschaften, Netze und Betreuer haben. Der Auftrag benennt diese Einheiten, die freigegebenen Systeme und verantwortlichen Kontakte. Eine zentrale Verbindung begründet keine pauschale Berechtigung zur Prüfung aller Endpunkte. Bereiche, die nicht einbezogen werden können, erscheinen ausdrücklich als Grenze des Berichts.
03Produktionsbedingungen in die Methode einbeziehen
Für ein Lagerterminal gelten möglicherweise andere Voraussetzungen als für eine Maschinensteuerung. Betriebsverantwortliche und Fachbetreuer entscheiden mit, welche Untersuchung geeignet ist. Unterlagenprüfung, Bestandsaufnahme und aktive technische Tests werden voneinander getrennt. Ein enger Zeitplan des Kunden rechtfertigt keine ungeklärten Eingriffe in laufende oder sicherheitsrelevante Anlagen.
04Gemeinsame und lokale Befunde getrennt auswerten
Ein zentraler Dienst kann mehrere Standorte betreffen; eine lokale Ausnahme möglicherweise nur einen Bereich. Der Bericht benennt die Reichweite jedes Befunds. Eine einzelne geprüfte Niederlassung wird nicht als vollständig repräsentativ für alle Standorte ausgegeben. So können Leitung und IT erkennen, welche Maßnahmen zentral und welche vor Ort bearbeitet werden müssen.
05Lieferkette und eigene NIS2-Pflichten unterscheiden
Kunden können vertragliche Sicherheitsanforderungen stellen. Die eigene gesetzliche Einordnung nach dem BSIG richtet sich dagegen nach den einschlägigen Kriterien für die konkrete Einrichtung. Die Lieferung an einen betroffenen Kunden macht einen Zulieferer nicht allein deshalb automatisch selbst zu einer wichtigen Einrichtung. Die technische Belegarbeit unterstützt konkrete Fragen, ersetzt aber diese Einordnung nicht.
06Die Antwort vor Übergabe prüfen
Der technische Detailbericht und eine geeignete Kundenfassung werden dem richtigen Empfänger zugeordnet. Umfang, Datum und offene Maßnahmen bleiben auch in der Zusammenfassung sichtbar. Interne Betriebsgeheimnisse werden nicht unnötig verbreitet. Die verantwortliche Person prüft die Antwort; eine Akzeptanz durch Einkauf oder Auditor wird nicht aufgrund einer Ampelfarbe oder eines Produktnamens versprochen.