Warum Sie den Fragebogen bekommen
Unternehmen mit eigenem Managementsystem für Informationssicherheit bewerten in der Regel auch ihre Dienstleister und Zulieferer. Für Einrichtungen, die unter das BSI-Gesetz fallen, gehört die Sicherheit der Lieferkette ausdrücklich zu den Risikomanagementmaßnahmen (§ 30 Abs. 2 Nr. 4 BSIG). Der Fragebogen ist das übliche Werkzeug dafür.
Für Sie heißt das: Auch wenn Ihr Betrieb selbst nicht reguliert ist, erreichen Sie die Anforderungen über Ihre Kunden. Wer nicht oder ausweichend antwortet, riskiert Rückfragen, ein Audit vor Ort oder eine schlechtere Lieferantenbewertung.
Die typischen Themenblöcke
Die Fragebögen unterscheiden sich im Umfang, die Themen wiederholen sich. Viele orientieren sich an den Themen der ISO 27001 oder, in der Automobilbranche, an denen des VDA-ISA-Katalogs.
| Themenblock | Typische Frage | Nachweis, der erwartet wird |
|---|---|---|
| Organisation | Gibt es eine von der Geschäftsleitung freigegebene Leitlinie? Wer ist verantwortlich? | Informationssicherheitsleitlinie mit Datum und Freigabe |
| Zugriff | Wie werden Berechtigungen vergeben und entzogen? Gilt Mehr-Faktor-Anmeldung? | Richtlinie Zugriffskontrolle, Passwörter und MFA |
| Datensicherung | Wie oft wird gesichert, und wird die Wiederherstellung getestet? | Richtlinie Datensicherung, Protokoll eines Wiederherstellungstests |
| Sicherheitsvorfälle | Gibt es einen Prozess? Wie schnell wird der Kunde informiert? | Richtlinie Sicherheitsvorfälle, Meldewege mit Kontakten |
| Endgeräte und mobiles Arbeiten | Sind Notebooks verschlüsselt? Sind private Geräte erlaubt? | Richtlinie mobiles Arbeiten und Endgeräte |
| Unterauftragnehmer | Welche Dienstleister haben Zugriff auf Kundendaten, und wie werden sie geprüft? | Richtlinie Lieferanten und Dienstleister, Dienstleisterliste |
| Schulung | Werden Beschäftigte regelmäßig geschult? | Schulungsnachweis mit Inhalten, Datum und Teilnehmern |
Was Prüfer an einem Dokument sehen wollen
Ein "Ja" im Fragebogen zählt wenig ohne Beleg. Wer die Antworten auswertet, schaut bei einem beigefügten Dokument auf wenige Merkmale:
- Ist es datiert, versioniert und von der Geschäftsleitung oder einer benannten Person freigegeben?
- Hat es einen klaren Geltungsbereich (welche Standorte, welche Systeme, welche Personen)?
- Nennt es Verantwortliche mit Rolle, nicht nur "die IT"?
- Passt es zum Unternehmen? Eine Richtlinie, die ein Rechenzentrum beschreibt, das es bei Ihnen nicht gibt, schadet mehr als sie nützt.
- Gibt es einen Nachweis, dass die Regel gelebt wird (Protokoll, Liste, Screenshot, Schulungsnachweis)?
Ehrlich antworten, auch bei Lücken
Beantworten Sie nur mit "Ja", was Sie belegen können. Eine falsche Angabe fällt spätestens im Audit auf und wiegt schwerer als eine offene Lücke. Für Lücken eignet sich eine Formulierung wie "teilweise umgesetzt, Abschluss geplant bis (Datum)", zusammen mit einem kurzen Maßnahmenplan. Ob ein solcher Plan ausreicht, entscheidet Ihr Kunde.
Halten Sie Ihre Antworten fest. Der nächste Kunde fragt Ähnliches, und mit einer gepflegten Maßnahmenübersicht beantworten Sie den zweiten Fragebogen deutlich schneller.
Eine sinnvolle Reihenfolge bei knapper Frist
- Fragebogen einmal ganz lesen und jede Frage einem Themenblock zuordnen.
- Markieren, wo ein Nachweis verlangt wird.
- Zuerst die Leitlinie erstellen und freigeben lassen, weil alle anderen Dokumente auf sie verweisen.
- Dann die Richtlinien zu den Themen, die Sie technisch schon gelöst haben (meist Zugriff und Datensicherung).
- Lücken mit Termin in die Maßnahmenübersicht aufnehmen und im Fragebogen offen benennen.
Vorlagen statt leerem Blatt
Das Lieferantenaudit-Paket enthält zehn Dokumente zu diesen Themenblöcken als Word- und Excel-Vorlagen, darunter eine Antworthilfe mit Formulierungsbausteinen für typische Fragen. Die Vorlagen müssen an Ihr Unternehmen angepasst werden und sind keine Rechtsberatung. Eine Zusage, dass Ihr Kunde die Antworten akzeptiert, ist damit nicht verbunden.
Kommt der Fragebogen von einem Kunden, der unter das BSI-Gesetz fällt: Was das Gesetz dazu sagt, steht unter Was verlangt mein Kunde nach NIS2?, welche Belege Sie beifügen, unter Nachweis Informationssicherheit für Kunden.
Fällt Ihr Unternehmen selbst unter das BSI-Gesetz, lesen Sie weiter beim NIS2-Paket und im Ratgeber FitNIS2-Navigator ausgefüllt: was jetzt?.
Dieser Ratgeber gibt einen Überblick und ist keine Rechtsberatung.