Vorlage aus dem Lieferantenaudit-Paket
Die Arbeitshilfe ordnet typische Fragen aus Lieferanten-Selbstauskünften sieben Themenblöcken zu und liefert zu jeder Frage Antwortbausteine und den passenden Nachweis. Sie ist im Lieferantenaudit-Paket enthalten.
Das Dokument
Die Antworthilfe (Dokument IS-AH-10) ist eine Word-Vorlage für alle, die in Ihrem Unternehmen Anfragen von Kunden zur Informationssicherheit beantworten: Fragebögen, Selbstauskünfte, Anlagen zu Verträgen und die Vorbereitung von Kundenaudits. In Abschnitt 6 sind 16 typische Fragen nach sieben Themenblöcken geordnet: Organisation, Zugriff, Datensicherung, Sicherheitsvorfälle, Endgeräte und mobiles Arbeiten, Unterauftragnehmer und Schulung. Zu fast jeder Frage gibt es eine Antwort für den Fall, dass die Maßnahme umgesetzt ist, eine zweite für den Fall, dass sie nur teilweise umgesetzt ist, und den Nachweis aus dem Dokumentensatz, den Sie beifügen können.
Die Bausteine beschreiben den Stand, den die Richtlinien IS-RL-02 bis IS-RL-06 in ihrer Vorlagenfassung regeln, einschließlich der Zahlenwerte in eckigen Klammern wie Passwortlänge, Aufbewahrung der Sicherungen oder Frist für Sicherheitsupdates. Das Dokument verlangt ausdrücklich, jeden Baustein vor der Verwendung mit Ihrer angepassten Richtlinie und mit Ihrer Praxis abzugleichen. Abschnitt 7 behandelt acht weitere häufige Fragen, zu denen der Dokumentensatz keine eigene Richtlinie enthält, etwa Zutrittsschutz, Verschlüsselung bei der Übertragung oder Löschung nach Auftragsende, jeweils mit Hinweis zur Antwort und möglichem Nachweis aus dem Betrieb.
Die Rollentabelle verteilt die Arbeit: Die oder der ISB koordiniert die Beantwortung und gleicht jede Antwort mit Richtlinien und Praxis ab, die IT-Verantwortlichen liefern technische Angaben und Belege wie Bildschirmfotos von Einstellungen, der Vertrieb leitet Fragebögen sofort weiter und klärt Fristen, und die Geschäftsleitung gibt den ausgefüllten Fragebogen vor dem Versand frei.
Vorschau
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
IS-AH-10: Deckblatt mit Dokumentenlenkung
IS-AH-10: Inhalt und Änderungshistorie
Gliederung
Die Gliederung stammt aus der ausgelieferten Datei. Jedes Word-Dokument hat zusätzlich Deckblatt mit Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie.
Sieben Regeln: "Ja" nur bei Umsetzung mit Beleg, Lücken offen mit Termin und verantwortlicher Rolle, "nicht anwendbar" mit kurzer Begründung, vor der Weitergabe Vertraulichkeit und Schwärzungen prüfen, Freigabe durch die Geschäftsleitung, Ablage aller Anlagen und Nachhalten jeder Zusage.
Sechs Schritte von der Zuordnung der Fragen bis zur Bitte um Fristverlängerung. Die Leitlinie kommt zuerst, weil alle anderen Dokumente auf sie verweisen.
16 Fragen in sieben Themenblöcken, je mit Antwort bei voller und bei teilweiser Umsetzung und dem Nachweis mit Abschnittsangabe, zum Beispiel IS-RL-02 Abschnitt 5.2 und ein Bildschirmfoto der erzwungenen Einstellung zur Mehr-Faktor-Anmeldung.
Acht Fragen, zu denen der Dokumentensatz keine eigene Richtlinie, aber teils einzelne Regeln in anderen Richtlinien enthält, darunter Zertifizierung, Schutz vor Schadsoftware, Zutrittsschutz und Notfallplan, jeweils mit Hinweis zur Antwort und möglichem Nachweis.
Eine Antwort zu einer Lücke nennt nach der Vorlage Stand, Maßnahme, Termin und verantwortliche Rolle; vier Musterformulierungen zeigen den Ton. Wird ein Maßnahmenplan verlangt, kann ein Auszug aus der Maßnahmenübersicht beigefügt werden.
Auszug
Mit "Ja" wird nur beantwortet, was umgesetzt ist und belegt werden kann.
Eine offen benannte Lücke mit Plan ist eine bessere Antwort als ein "Ja", das nicht belegt werden kann.
Zusagen im Fragebogen (zum Beispiel "Abschluss bis Datum") werden nachgehalten.
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[Ablageort] | Wo der beantwortete Fragebogen mit allen Anlagen abgelegt wird. | IS-AH-10 |
[12] | Mindestlänge der Passwörter, wie sie in Ihrer angepassten Richtlinie zur Zugriffskontrolle steht. | IS-AH-10 |
[werktäglich] | Rhythmus Ihrer Datensicherung in der Antwort auf die Frage nach Sicherung und Wiederherstellungstest. | IS-AH-10 |
[24] | Frist in Stunden, in der Sie betroffene Kunden nach einem Sicherheitsvorfall informieren, sofern vertraglich keine kürzere vereinbart ist. | IS-AH-10 |
[vier Wochen] | Zeitraum nach Eintritt, in dem neue Beschäftigte geschult werden. | IS-AH-10 |
[Dienstleister und Leistung nennen oder "keine"] | Welche Dienstleister derzeit Zugriff auf die Daten des anfragenden Kunden haben. | IS-AH-10 |
Einsatz
Ein Kunde schickt einen Lieferantenfragebogen zur Informationssicherheit und setzt eine Frist. Abschnitt 5 beschreibt das Vorgehen bei knapper Frist in sechs Schritten: Fragebogen einmal ganz lesen und jede Frage einem Themenblock zuordnen, Nachweisforderungen markieren, zuerst die Informationssicherheitsleitlinie anpassen und freigeben lassen, dann die Richtlinien zu den technisch schon gelösten Themen anpassen, Lücken mit Termin in die Maßnahmenübersicht aufnehmen und früh um Verlängerung bitten, wenn die Frist nicht reicht.
Bei einem angekündigten Kundenaudit hilft das Dokument, Antworten und Nachweise vorab zusammenzuführen. Abschnitt 4 legt fest, dass mit "Ja" nur beantwortet wird, was umgesetzt ist und belegt werden kann, dass nur freigegebene Dokumente mit Datum und Version beigefügt werden und dass der beantwortete Fragebogen mit allen Anlagen abgelegt wird. Er ist die Grundlage für den nächsten Fragebogen und für Rückfragen im Audit.
Ob ein Kunde eine Antwort oder einen Maßnahmenplan akzeptiert, entscheidet der Kunde. Verlangt er eine Zertifizierung oder ein Branchen-Assessment, reichen Formulierungsbausteine und Richtlinien allein nicht aus. Auch das steht so im Geltungsbereich des Dokuments.
490 €netto, zzgl. USt. Einmalig, 10 Dokumente in Word und Excel
Häufige Fragen
Nein. Die Antworthilfe ist im Lieferantenaudit-Paket enthalten, zusammen mit Leitlinie, fünf Richtlinien, Meldewegen und Notfallkontakten, Maßnahmenübersicht und Schulungsnachweis. Das hat einen Grund: Die Bausteine nennen genau diese Dokumente als Nachweis. Im NIS2-Paket ist die Antworthilfe nicht enthalten.
Es ist eine bearbeitbare Word-Datei mit 11 Seiten, gegliedert in neun Abschnitte, mit Deckblatt, Dokumentenlenkung und Änderungshistorie. Kernstück sind die Tabellen in Abschnitt 6 mit Frage, in der Regel zwei Antwortbausteinen und Nachweis.
Erst nach dem Abgleich. Die Zahlenwerte entsprechen den Vorlagenwerten der Richtlinien und müssen mit Ihrer angepassten Richtlinie übereinstimmen. Ein Baustein ist nur dann eine richtige Antwort, wenn Ihr Unternehmen die Regel tatsächlich so umgesetzt hat. Wo das nicht der Fall ist, nutzen Sie die Formulierungen für Lücken aus Abschnitt 8.
Wahrheitsgemäß. Abschnitt 7 schlägt für Unternehmen ohne Zertifikat eine Antwort vor, die auf die eingeführten Leitlinien, Richtlinien und Nachweise verweist, und nennt als möglichen Nachweis die Dokumentenliste aus der Maßnahmenübersicht, Blatt Nachweise. Verlangt Ihr Kunde ausdrücklich ein Zertifikat, reicht die Antworthilfe allein nicht aus.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.
