Vorlage für Betreiber, Einkauf und Technik
Zehn Fragen an Ihre Maschinenlieferanten.
Jede mit Fundstelle, jede in einem Satz beantwortbar. Zum Kopieren in Ihre Lieferantenfragebögen, Ausschreibungen oder Audits. Frei verwendbar, auch ohne uns zu nennen.
A
Wofür das gedacht ist
Sie kaufen Maschinen. Seit dem 11. September 2026 treffen deren Hersteller Meldepflichten, und ob die eingehalten werden, merken Sie erst im Ernstfall. Diese Fragen bringen es vorher ans Licht.
Sie erfahren es sonst zu spät
Wenn in einer Komponente Ihrer Anlage eine Schwachstelle ausgenutzt wird, muss der Hersteller melden. Ob und wie er Sie dabei informiert, entscheidet sich vorher, nicht im Ernstfall.
Sie brauchen es für sich selbst
Wer unter NIS2 fällt oder in einem regulierten Bereich arbeitet, muss die Sicherheit der eigenen Lieferkette belegen können. Diese Fragen sind Teil davon.
Es kostet nichts, sie zu stellen
Ein gut aufgestellter Lieferant beantwortet alle zehn ohne Mühe. Die Antworten sagen Ihnen mehr über ihn als jede Selbstauskunft.
B
Die zehn Fragen
Alles ab hier können Sie unverändert übernehmen.
- 01
Fällt die von Ihnen gelieferte Maschine in den Anwendungsbereich der Verordnung (EU) 2024/2847?
Verordnung (EU) 2024/2847, Artikel 2
Warum das zählt: Erfasst sind Produkte mit digitalen Elementen, deren Zweck eine Datenverbindung einschliesst. Eine Steuerung mit Netzwerkanschluss genügt.
- 02
Handelt es sich um ein wichtiges oder kritisches Produkt im Sinne der Anhänge III oder IV?
Verordnung (EU) 2024/2847, Artikel 7, Anhänge III und IV
Warum das zählt: Davon hängt ab, welches Konformitätsbewertungsverfahren gilt und ob eine notifizierte Stelle eingebunden werden muss.
- 03
Wer ist Hersteller im Sinne der Verordnung, und wer ist in der Union erreichbar?
Verordnung (EU) 2024/2847, Artikel 3 Nummer 13, Artikel 17 bis 20
Warum das zählt: Bei Lieferanten aus Drittstaaten ist das oft nicht dieselbe Stelle. Im Ernstfall müssen Sie wissen, an wen Sie sich wenden.
- 04
Wie lang ist der Unterstützungszeitraum für die gelieferte Maschine, und wann endet er?
Verordnung (EU) 2024/2847, Artikel 13 Absatz 8
Warum das zählt: Er beträgt mindestens fünf Jahre und läuft je ausgelieferter Einheit. Danach gibt es keine Sicherheitsaktualisierungen mehr.
- 05
Auf welchem Weg informieren Sie uns über Schwachstellen in Ihrem Produkt?
Verordnung (EU) 2024/2847, Anhang I Teil II Nummer 2, Artikel 13 Absatz 8
Warum das zählt: Sie brauchen einen benannten Kanal und einen Ansprechpartner, nicht die allgemeine Servicenummer.
- 06
Stellen Sie eine Software-Stückliste bereit, und in welchem Format?
Verordnung (EU) 2024/2847, Anhang I Teil II Nummer 1
Warum das zählt: Ohne sie können Sie bei einer Meldung zu einer Fremdkomponente nicht prüfen, ob Ihre Anlage betroffen ist. Übliche Formate sind CycloneDX und SPDX.
- 07
An welches CSIRT melden Sie, und ist die Registrierung auf der ENISA-Plattform eingerichtet?
Verordnung (EU) 2024/2847, Artikel 14 Absatz 7
Warum das zählt: Bei Herstellern ohne Niederlassung in der Union entscheidet eine Reihenfolge über die Zuständigkeit. Die Registrierung dauert, und im Ernstfall ist dafür keine Zeit.
- 08
Innerhalb welcher Frist stellen Sie Sicherheitsaktualisierungen bereit?
Verordnung (EU) 2024/2847, Anhang I Teil II Nummern 2 und 8
Warum das zählt: Die Verordnung verlangt unverzügliche Behebung. Was das bei Ihrem Lieferanten praktisch bedeutet, sollte vor dem Kauf feststehen.
- 09
Wie werden Aktualisierungen bei uns eingespielt, und was kostet das?
Verordnung (EU) 2024/2847, Anhang I Teil II Nummer 8
Warum das zählt: Bei Anlagen im Dauerbetrieb ist der Einspielweg die eigentliche Hürde, nicht die Verfügbarkeit des Updates.
- 10
Liegt eine EU-Konformitätserklärung vor, und welche Rechtsakte nennt sie?
Verordnung (EU) 2024/2847, Artikel 28, Anhang V
Warum das zählt: Ab dem 11. Dezember 2027 muss sie auch die Cyberresilienzverordnung nennen. Heute zeigt die Antwort, wie weit Ihr Lieferant ist.
Ein Hinweis zum Ton: Diese Fragen sind keine Prüfung und kein Misstrauensvotum. Viele Hersteller beschäftigen sich gerade zum ersten Mal damit, und ein sachlich gestellter Fragebogen hilft ihnen mehr, als er sie belastet. Wer heute noch keine Antwort hat, hat oft schon jemanden daran sitzen.
Und falls Sie selbst Maschinen bauen.
Dann sind das die Fragen, die Ihnen Ihre Kunden demnächst stellen. Wir haben ein Werkzeug gebaut, das die Antworten je Baureihe und je ausgelieferter Maschine zusammenhält.