Cyber-Sicherheit in Catenis – Fragebogen und NIS-2-Modul einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/cyber-sicherheit

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Der Cyber-Fragebogen (Standard und Premium) holt Nachweise zu Klassifizierung, Schutzmaßnahmen, Resilienz, Incident Response und Partnern ein. Premium ergänzt IAM, Logging, SBOM/CRA und DORA-nahe Drittanbieterfragen. NIS-2 ist das gesetzliche Modul; der Fragebogen bedient daneben Kunden- und Auditfragen.

Im Produkt sind das zwei Werkzeuge. Das NIS-2-Modul dokumentiert die eigene Pflicht: Maßnahmen, Leitlinien, Vorfallstatus, GF-Freigabe, Lieferketten-Ampel. Der Fragebogen dokumentiert Aussagen und Dateien von Lieferanten – oder die eigene Antwort an einen Kunden. Wer beides in eine Excel wirft, verliert Freigabe und Frist.

Standard reicht für viele Partner mit begrenztem Zugang. Premium zielt auf kritische IKT, Software und SaaS: tiefere IAM- und Logging-Fragen, SBOM/CRA, DORA-nahe Drittfragen. Catenis führt kein DORA-Modul. Die nahen Punkte sitzen im Bogen, die Finanzaufsicht bleibt außen.

Klassifizierung, Schutz, Resilienz und Incident Response sind die Gerüste im Bogen, nicht ein eigenes Gütesiegel. Eine ausgefüllte Antwort ist ein Nachweisbaustein. Die Risikoentscheidung, ob der Partner bleiben darf, trifft der Mensch.

Premium ist kein zweites Gesetz. Es ist die tiefere Abfrage für Partner, bei denen ein Ausfall oder ein Zugang weh tut. Wer Standard und Premium durcheinander an denselben Kreis schickt, erzeugt Doppelarbeit und trotzdem Lücken bei IAM und SBOM. Catenis hält beide Bögen; die Zuordnung bleibt Einkauf und IT.

Das Nachweispaket bündelt Modulstand und Bogenstand für Audit oder Kunden. Es zeigt Lücken. Es bescheinigt keine Konformität. Wer das Pack als „NIS-2 erledigt“ weiterleitet, verkauft eine Arbeitsakte als Bescheid.

Geltungsbereich

Das Modul gilt, wenn das Unternehmen die NIS-2-Pflicht (über das BSIG) abbildet. Der Fragebogen gilt, sobald Kunden oder die eigene Lieferkettenmaßnahme ihn verlangen – auch ohne eigene Erfassung. Mittelstand ohne BSIG-Pflicht nutzt oft nur den Bogen.

ISO 27001, DSGVO-Auftragsverarbeitung und Kunden-Audits überlappen thematisch. Derselbe Nachweis kann mehrere Fragen füttern. Ein Zertifikat ohne Datum und ohne Scope füttert keine. DORA und CRA bleiben eigene Regime; der Premium-Bogen fragt Ausschnitte, bewertet Konformität nicht.

Grün im Fragebogen ist Arbeitsstand. Grün im NIS-2-Modul heißt dokumentiert. Keines von beiden ist ein Behördenbescheid oder eine Freigabe der Software.

Kunden-Audits und IATF-Fragen können dieselben Dateien verlangen: Leitlinie, MFA-Nachweis, Vorfallweg. Dann spart die gemeinsame Akte Zeit. Ein eigener Cyber-Ordner neben Catenis verdoppelt den Aufwand und driftet. Die Plattform ersetzt das Audit vor Ort nicht.

Wer nur Lieferant ist und selbst nicht unter das BSIG fällt, braucht das Modul nicht zu spielen. Der Bogen reicht für die Kundenanfrage. Wer beides ist, führt beides, sonst fehlt intern die Freigabe und nach außen die Datei.

Was zu tun ist

Klären, welches Werkzeug die Lage trägt: eigene Pflicht → Modul; Partner oder Kundenanfrage → Bogen; oft beides. In Catenis hängen Lieferantenampel und Fragebogen zusammen, die GF-Freigaben sitzen im Modul.

Partner priorisieren, bevor Premium an alle geht. Kritische IKT und Software zuerst. Standard für den breiteren Kreis mit Zugang. Offene Antworten mit Frist, nicht als ewige 60 Prozent.

Interne Maßnahmen nicht durch gesammelte Lieferanten-PDFs ersetzen. Die eigene Leitlinie, der eigene Vorfallstatus und die eigene MFA bleiben eigene Zeilen.

Reviews setzen. Bögen und Maßnahmen veralten. Der Evidence-Pack zeigt Lücken für Audit oder Kunden, ohne die rechtliche Bewertung zu sein.

Filter und Pflicht im Lieferantenstamm so setzen, dass der richtige Bogen den richtigen Kreis erreicht. Ein deaktivierter Premium-Bogen bei kritischer IKT ist eine stille Lücke. Ein aktiver Premium-Bogen bei Büromaterial ist Lärm.

Offene Antworten und ablaufende Nachweise in derselben Fristensicht halten wie die LkSG-Akte. Cyber veraltet genauso. Wer nur die Menschenrechtsbögen mahnt und die Cyber-Bögen liegen lässt, hat die Lieferkettenmaßnahme offen.

Standard und Premium nicht parallel an denselben Partner ohne Grund. Doppelte Bögen erzeugen Widersprüche. Eine Version, ein Datum, eine Datei. Wechselt die Kritikalität, den Bogen wechseln und die alte Antwort archivieren.

Typischer Fehler

Der häufigste Fehler: NIS-2 „erledigt“ zu nennen, weil der Cyber-Bogen an drei Lieferanten ging. Der eigene Katalog bleibt offen. Der zweite: Premium an alle, Standard an den MSP. Der dritte: DORA-Konformität aus ein paar Premium-Antworten abzuleiten. Dafür gibt es im Produkt kein Modul.

Wer Antworten ohne Datum und ohne Datei akzeptiert, hat eine Meinung, keinen Nachweis.

Der vierte: intern ein Schatten-ISMS in Folien und in Catenis eine leere Maßnahmeliste. Der Prüfer nimmt die Plattform oder nichts. Der fünfte: den Evidence-Pack ohne GF-Freigabe an die Aufsicht zu schicken und zu glauben, die Ampel ersetze die Unterschrift. Wer Premium deaktiviert, weil „Standard reicht für alle“, lässt IAM und SBOM bei genau den Partnern aus, die sie brauchen.

Grenze

Das Lexikon bewertet keine Architektur und keine Konformität zu NIS-2, DORA oder CRA.

Catenis dokumentiert Maßnahmen, Fragebögen und Vorfallstatus. BSI-Portal, Behördenmeldung, Einordnung und DORA-Aufsicht bleiben extern. Eine Ampel ist Arbeitsansicht, kein Bescheid. NIS-2 ist das gesetzliche Modul; der Fragebogen bedient Kunden- und Auditfragen daneben. Premium bleibt Abfrage, kein zweites Gesetz. Eine Antwort ohne Datum und Datei ist kein Nachweis.