Der Konzern will Ihr Profil. Der Fachbereich will Sie buchen. Der Einkauf stellt die entscheidende Frage: Wie weisen Sie als Freelancer Ihre Cybersicherheit nach?
Genau hier kippen lukrative Projekte.
Als Einzelkämpfer in der IT-Beratung haben Sie kein Security-Team, keinen Compliance-Officer und kein voll ausgerolltes ISMS nach ISO 27001. Trotzdem erwarten NIS2-regulierte Auftraggeber belastbare Nachweise. Nicht irgendwann. Vor Vertragsabschluss.
Ohne prüffähige Antworten landen Sie im Vendor-Risiko. Dann gewinnt nicht der bessere Berater. Dann gewinnt der Anbieter mit der besseren Compliance-Akte.
Wie NIS2 über Lieferketten auf Freelancer wirkt
NIS2 trifft nicht nur Betreiber kritischer oder wichtiger Einrichtungen. Über Lieferkettenpflichten wirkt NIS2 auch auf mittelbar beteiligte Unternehmen.
Das BSI formuliert den Druck klar: „Auch mittelbar wirkt die NIS-2-Richtlinie auf zahlreiche Unternehmen: Direkt regulierte Einrichtungen müssen ihre Lieferkette absichern, etwa durch vertragliche Anforderungen an die betriebliche Cybersicherheit.“
Für Sie bedeutet das in der Praxis:
- Der Konzern muss Sie als Lieferant bewerten.
- Der Einkauf muss Risiken dokumentieren.
- Die IT-Security muss Ihre Zugriffe, Geräte, Prozesse und Subdienstleister prüfen.
- Der Datenschutz will wissen, wie Sie mit Kundendaten umgehen.
- Legal will Klauseln zu Meldepflichten, Sicherheitsmaßnahmen und Auditrechten.
Das ist keine theoretische Regulierung. Das ist Beschaffungsrealität.
Ihr Problem ist nicht NIS2 selbst. Ihr Problem ist der Nachweis gegenüber dem Auftraggeber.
Wenn Sie keinen strukturierten Sicherheitsnachweis liefern, wirken Sie wie ein Risiko. Auch wenn Sie technisch sauber arbeiten.
Und genau dort entsteht der Vertragsverlust.
Warum Enterprise-Compliance-Ansätze für Einzelberater nicht passen
Die typische Antwort am Markt ist untauglich:
- „Machen Sie ISO 27001.“
- „Kaufen Sie ein ISMS-Template.“
- „Installieren Sie eine neue Firewall.“
- „Buchen Sie ein Enterprise-GRC-Tool.“
Für eine 1-Mann-IT-Beratung ist das oft ein Papier-Tiger.
Zu teuer. Zu schwerfällig. Zu weit weg von der Audit-Realität im Einkauf.
Ein Konzern fragt Sie nicht, ob Sie ein 200-seitiges ISMS-Handbuch besitzen. Er fragt konkret:
- Nutzen Sie MFA?
- Sind Ihre Endgeräte verschlüsselt?
- Wie patchen Sie Ihre Systeme?
- Haben Sie ein Backup-Konzept?
- Wie melden Sie Sicherheitsvorfälle?
- Welche Cloud-Dienste nutzen Sie?
- Wer hat Zugriff auf Kundendaten?
- Gibt es eine Vertraulichkeits- und Löschroutine?
- Können Sie Sicherheitsmaßnahmen vertraglich zusichern?
Genau das verschweigt die Konkurrenz: Freelancer brauchen keine Enterprise-Compliance-Simulation. Sie brauchen Lightweight-Compliance, die Vendor-Audits besteht.
Nicht mehr. Aber auch nicht weniger.
Der Fehler vieler IT-Freelancer: Sie reagieren erst, wenn der Fragebogen kommt. Dann wird hektisch improvisiert. Screenshots. Halbe Richtlinien. Widersprüchliche Antworten. Kein roter Faden.
Das sieht der Konzern sofort.
Und dann sind Sie raus. Nicht wegen mangelnder Kompetenz. Sondern wegen mangelnder Nachweisfähigkeit.
Schritte zu einem prüffähigen Sicherheitsnachweis für Freelancer
Erstellen Sie eine Freelancer-Sicherheitsakte: Legen Sie eine zentrale PDF- oder Datenraum-Struktur an. Inhalt: Geräteübersicht, eingesetzte Tools, MFA-Nachweis, Verschlüsselung, Patch-Rhythmus, Backup-Verfahren, Cloud-Dienste, Subdienstleister, Löschroutine, Incident-Prozess. Keine Romane. Prüffähige Fakten. Ein Auditor muss in 15 Minuten verstehen, dass Sie kontrolliert arbeiten.
Formulieren Sie 8 verbindliche Sicherheitsregeln für Ihre 1-Mann-Firma: Schreiben Sie knapp auf, was tatsächlich gilt. Beispiel: keine Kundendaten auf privaten Geräten, MFA für alle relevanten Konten, Festplattenverschlüsselung, monatliche Patch-Prüfung, Passwortmanager, getrennte Kundenablagen, verschlüsselte Backups, Meldung von Sicherheitsvorfällen innerhalb definierter Frist. Nur Regeln, die Sie beweisen können. Alles andere ist Haftungsmasse.
Bereiten Sie Vendor-Audit-Antworten vor, bevor der Einkauf fragt: Erstellen Sie Standardantworten für typische Konzernfragebögen. Nicht ausweichend. Nicht übertrieben. Juristisch sauber. Technisch konkret. Wenn Sie kein ISO-27001-Zertifikat haben, sagen Sie nicht „in Vorbereitung“, wenn es nicht stimmt. Sagen Sie: „Kein geprüftes ISMS; angemessene technische und organisatorische Sicherheitsmaßnahmen gemäß dokumentierter Freelancer-Sicherheitsakte vorhanden.“ Das ist belastbarer als Compliance-Theater.
Checkliste: NIS2-Lieferkettenanforderungen für IT-Freelancer und Einzelberater
Die Checkliste gibt einen strukturierten Überblick, welche Sicherheitsnachweise für Freelancer im Rahmen von Vendor-Audits typischerweise relevant sind und wie eine prüffähige Dokumentation ohne Enterprise-Overhead aufgebaut werden kann. Sie dient der internen Vorbereitung und ersetzt keine rechtliche oder vertragliche Fachberatung.