Ein Ein-Personen-Unternehmen ist fast nie direkt an NIS2 gebunden. Das deutsche BSIG gilt für mittlere und große Organisationen mit 50 oder mehr Beschäftigten oder einem Umsatz und einer Bilanzsumme von mehr als 10 Millionen Euro sowie für bestimmte Einrichtungen unabhängig von der Größe. Der Auftraggeber ist jedoch gebunden. Gemäß § 30 Abs. 2 Nr. 4 BSIG muss der Auftraggeber die Sicherheit der Lieferkette steuern, einschließlich der sicherheitsrelevanten Aspekte der Beziehungen zu direkten Lieferanten. Ein Freelancer mit Admin-Zugang zu Firewalls ist genau der Lieferant, den diese Klausel meint. NIS2 erreicht den Freelancer über den Vertrag, die Kette der Vermittler und Sicherheitsfragebögen, nicht durch ein direktes BSI-Mandat.
Ich arbeite als selbstständiger Firewall- und Netzwerk-Security-Contractor in deutschen Unternehmen, meist über eine Agentur. Genau dort kommen diese Anhänge an. Dies ist ein Praxisleitfaden aus dieser Perspektive, keine Rechtsberatung.
Warum die Klausel trotzdem bei Ihnen landet
Die Geschäftsführung des Auftraggebers trägt die gesetzliche Pflicht, die Lieferkette abzusichern. Der einfachste Weg, dies einem Auditor nachzuweisen, ist ein unterzeichneter Lieferantenanhang von jedem Dienstleister mit Systemzugriff. Da die meisten Freelancer über eine Agentur arbeiten, kopiert diese den Sicherheitsanhang des Kunden meist unverändert in Ihren Vertrag. In der Lieferantenklassifizierung von Beratern wie SECJUR ist ein Firewall-Administrator Tier A. Diese Stufe umfasst Lieferanten mit direktem Zugriff auf IT-Systeme oder vertrauliche Daten. Tier-A-Lieferanten erhalten die tiefste Risikobewertung und in diesem Modell eine jährliche Überprüfung.
Während der Auftraggeber seine eigene Compliance regelt, etwa die NIS2-Registrierung beim BSI, verschiebt er die operative Beweislast auf den Contractor. Wenn Sie Zugriff auf produktive Systeme haben, sind Sie standardmäßig ein kritischer Lieferant.
Ein praktischer Schritt vor der Unterschrift: Fragen Sie die Agentur nach dem Original-Anhang des Kunden, nicht nach der Zusammenfassung der Agentur. Vermittler verschärfen Formulierungen manchmal auf dem Weg zu Ihnen, und die Version, die Sie unterschreiben, ist diejenige, die Sie bindet.
Die fünf Klauseln, die Sie sehen werden
- Referenz auf Sicherheitsstandards: Anforderungen an die Einhaltung anerkannter Standards wie ISO 27001 oder BSI IT-Grundschutz. Für einen Freelancer bedeutet dies, zu dokumentieren, dass die eigene Arbeitsweise mit diesen Kontrollen übereinstimmt.
- Zuverlässigkeitsprüfung des Personals: Klauseln zur Qualifikation und Zuverlässigkeit des Personals des Lieferanten. Als Einzelunternehmer heißt das: Ihr eigener Lebenslauf, Ihre Zertifikate und oft ein Führungszeugnis.
- Audit-Recht und Nachweise: Das Recht des Auftraggebers, die Sicherheit über Fragebögen, Berichte Dritter oder Vor-Ort-Audits zu prüfen.
- 24-Stunden-Meldepflicht: Die Pflicht, Sicherheitsvorfälle innerhalb von 24 Stunden zu melden. Dies ist ein enges Zeitfenster, das einen definierten Meldeweg erfordert. Aus Ihrer Sicht ist ein Vorfall ein verlorener oder gestohlener Laptop, ein per Phishing übernommenes Konto, Malware auf einer Maschine, die Sie für den Kunden nutzen, oder offengelegte Zugangsdaten. Schreiben Sie diese Liste in Ihre Notizen, damit Sie nicht um 2 Uhr morgens entscheiden müssen, ob die Uhr bereits läuft.
- Weitergabe an Subunternehmer: Die Forderung, alle Sicherheitsanforderungen an etwaige Subunternehmer weiterzugeben. Für Freelancer, die alleine arbeiten, ist dies meist eine Formalität.
Was man unterschreibt, wo man widerspricht
| Klausel | Unterschreiben, wenn | Widersprechen, wenn |
|---|---|---|
| 24-Stunden-Meldung | Die Frist beginnt, wenn Sie Kenntnis vom Ereignis erlangen. | Meldung „jedes vermuteten Ereignisses“ ohne klare Definition gefordert ist. |
| Audit-Recht | Der Umfang auf das Projekt beschränkt ist und eine Vorankündigung erfolgt. | Audits Ihres gesamten Geschäftsbetriebs oder unbegrenzte Häufigkeit gefordert sind. |
| Verweis auf ISO 27001 | Die Anforderung „ausgerichtet an“ oder „folgt den Prinzipien von“ lautet. | Eine Zertifizierung zwingend gefordert ist; bieten Sie stattdessen eine Selbstauskunft an. |
| Weitergabe (Flow-down) | Sie keine Subunternehmer haben und dies schriftlich bestätigen. | Die Verwaltung einer komplexen Kette von Dritten gefordert ist, die Sie nicht beschäftigen. |
| Haftung | Die Haftung auf ein Niveau begrenzt ist, das durch Ihre Berufshaftpflicht gedeckt ist. | Sie den Kunden von dessen eigenen NIS2-Bußgeldern freistellen sollen. |
Den Umfang einschränken, bevor Sie den Fragebogen ausfüllen
Der effizienteste Weg, Risiken zu reduzieren, besteht darin, sie gar nicht erst zu halten. Fordern Sie vor dem Ausfüllen eines Sicherheitsfragebogens einen vom Kunden gestellten Laptop oder eine VDI an. Arbeiten Sie mit Kunden-Accounts mit MFA. Wenn Kundendaten und Administrations-Tools niemals auf Ihrer eigenen Hardware liegen, können Sie die meisten Punkte des Fragebogens beantworten, indem Sie angeben, dass das Risiko durch die Kontrollen des Kunden abgehandelt wird.
Eine einseitige Sicherheits-Selbstauskunft bereithalten
Vermeiden Sie es, für jede Agentur ein neues Dokument zu schreiben. Führen Sie eine einzelne Seite, die Ihre Basis-Kontrollen auflistet:
- MFA in jedem Account aktiviert.
- Festplattenverschlüsselung auf allen Geräten.
- Aktuelle und gepatchte Betriebssysteme.
- Nutzung eines Passwort-Managers.
- Strikte Trennung der Geräte oder VDI pro Kunde.
- Definierter Prozess zur Meldung von Vorfällen (wen Sie wie benachrichtigen).
- Bestätigung, dass keine Subunternehmer eingesetzt werden.
Beantworten Sie dies einmal und hängen Sie dieselbe Seite an jeden Fragebogen von Kunden und Agenturen an. Das macht aus einem zweistündigen Formular einen zehnminütigen Querverweis.
Nach namentlichen Admin-Accounts fragen
Die Klausel, die Sie am meisten schützt, ist eine, nach der Sie eventuell fragen müssen: ein persönlicher, namentlicher Admin-Zugang auf jeder Firewall und jedem Managementsystem, mit MFA und ohne geteilte Logins. Unter einem Lieferantenanhang kann jede Änderung, die Sie vornehmen, in einem Incident-Review landen. Ein namentlicher Account mit einem Change-Ticket hinter jedem Commit ist Ihr Beweis, dass Sie nur das getan haben, was genehmigt wurde. Ein Login, das Sie mit drei anderen Ingenieuren teilen, ist kein Beweis für irgendetwas.
Der Papierkram ist abrechenbare Zeit
Das Ausfüllen detaillierter Sicherheitsfragebögen und die Teilnahme an Reviews nehmen mehrere Stunden in Anspruch. Klären Sie im Vorfeld, ob dieser administrative Aufwand abrechenbar ist. Ein Contractor, der diese Kosten stillschweigend übernimmt, schafft einen Präzedenzfall, der die Last für alle anderen Freelancer in der Kette erhöht.
NIS2 hat Freelancer nicht zu regulierten Einrichtungen gemacht. Es hat sie zu dem Teil der Lieferkette des Kunden gemacht, der am einfachsten schriftlich fixiert werden kann. Lesen Sie den Anhang, widersprechen Sie, wo er zu weit geht, und bewahren Sie die Nachweise auf, dass Sie Ihren Teil erledigt haben.
Weitere Praxisnotizen: