Nachweis der Informationssicherheit für Ihren Kunden: was Sie vorlegen

Regel und Beleg

Eine Richtlinie belegt, dass Sie eine Regel festgelegt haben, nicht, dass sie umgesetzt ist. Deshalb nennt die Antworthilfe im Lieferantenaudit-Paket (IS-AH-10 Antworthilfe für Lieferantenfragebögen) bei mehreren Fragen zwei Nachweise: das Dokument und einen Beleg aus dem Betrieb. Für die Mehr-Faktor-Anmeldung sind das die Richtlinie und ein Bildschirmfoto der erzwungenen Einstellung.

Der dritte Teil ist der Plan für das, was noch fehlt: eine Übersicht der Maßnahmen mit Status, Termin und Verantwortlichen.

Was in die Nachweismappe gehört

Die Tabelle ordnet den Themen eines typischen Fragebogens die Regel aus dem Paket zu und den Beleg, den die Antworthilfe oder das genannte Dokument dafür nennt. Den Beleg erzeugen Sie selbst, aus Ihrem Betrieb.

Für die Leitlinie ist das freigegebene Dokument selbst der Nachweis, mit Freigabe durch die Geschäftsleitung, Name und Datum auf dem Deckblatt (IS-LL-01 Informationssicherheitsleitlinie). Für Sicherheitsvorfälle ist der Beleg der ausgehängte Aushang aus Anhang A von IS-NW-07 mit Ihrer Meldestelle.

Für Sicherheitsupdates nennt die Richtlinie für Endgeräte eine Frist (IS-RL-05 Richtlinie mobiles Arbeiten und Endgeräte, Abschnitt 4); für Server und Netzwerkgeräte beschreiben Sie den tatsächlichen Ablauf. Zum Zutritt hat das Paket keine eigene Richtlinie, dort zählt die Beschreibung Ihrer tatsächlichen Maßnahmen.

Was ein Dokument vorzeigbar macht

Bevor es um den Inhalt geht, zeigt ein Dokument, ob es freigegeben, aktuell und auf Ihr Unternehmen zugeschnitten ist. Jedes Word-Dokument im Paket beginnt mit einem Deckblatt zur Dokumentenlenkung mit diesen Angaben:

• Dokument-Nr. und Version,
• Gültig ab und Nächste Prüfung,
• Freigabe durch die Geschäftsleitung mit Name und Datum,
• Verantwortlich, als Rolle,
• Klassifizierung, in den Vorlagen "Intern".

Dazu kommen Geltungsbereich, Rollen und Änderungshistorie. Bevor Sie ein Dokument beifügen, prüfen Sie: Sind alle eckigen Klammern ersetzt? Steht ein Freigabedatum auf dem Deckblatt? Beschreibt das Dokument, was Ihr Betrieb tatsächlich tut?

Weitergeben, ohne zu viel preiszugeben

Beigefügt werden nur freigegebene Dokumente mit Datum und Version. Richtlinien sind als "Intern" eingestuft. Vor der Weitergabe wird geprüft, ob eine Vertraulichkeitsvereinbarung mit dem Kunden besteht und ob Details (Namen, Rufnummern, Systembezeichnungen) geschwärzt oder weggelassen werden.

Für Belege aus dem Betrieb gilt dasselbe. Ein Bildschirmfoto zeigt, dass die Mehr-Faktor-Anmeldung erzwungen wird; Benutzernamen und interne Adressen darauf können Sie schwärzen.

Ob Sie Dokumente als Datei schicken, in ein Portal Ihres Kunden hochladen oder im Termin zeigen, richtet sich nach dem Fragebogen und nach der Vereinbarung mit Ihrem Kunden.

Lücken zeigen statt verstecken

Eine offen benannte Lücke mit Plan ist eine bessere Antwort als ein "Ja", das nicht belegt werden kann.

Die Maßnahmenübersicht (IS-NW-08 Maßnahmenübersicht zum Vorzeigen) ist dafür gebaut. Das Blatt Übersicht führt jede Maßnahme mit den Spalten Nr., Maßnahme, Thema, Status, Nachweis, Verantwortlich, Termin, Bemerkung. Wird ein Plan verlangt, legen Sie einen Auszug bei:

Wird ein Maßnahmenplan verlangt, kann ein Auszug aus der IS-NW-08 Maßnahmenübersicht zum Vorzeigen mit den offenen Punkten, Terminen und Verantwortlichen beigefügt werden.

Was Sie dort zusagen, halten Sie nach: Ihr Kunde kann beim nächsten Fragebogen oder im Audit danach fragen.

Ohne Zertifikat ehrlich antworten

Fragt der Fragebogen nach einem Zertifikat, etwa nach ISO 27001, und Sie haben keines, schlägt die Antworthilfe diese Antwort vor:

Nein. Wir haben Leitlinie, Richtlinien und Nachweise zu den abgefragten Themen eingeführt und legen sie auf Wunsch vor.

Verlangt Ihr Kunde ausdrücklich eine Zertifizierung oder ein Branchen-Assessment, reichen Vorlagen und Richtlinien allein nicht aus. Das sagt die Antworthilfe auch selbst.

Ablegen für den nächsten Fragebogen

Der beantwortete Fragebogen wird mit allen Anlagen abgelegt: [Ablageort]. Er ist die Grundlage für den nächsten Fragebogen und für Rückfragen im Audit.

Mit gepflegter Maßnahmenübersicht und freigegebenen Richtlinien beantworten Sie den nächsten Fragebogen aus dem Bestand: Sie prüfen, ob die Angaben noch stimmen, statt neu zu schreiben. Wie Sie einen Fragebogen Schritt für Schritt beantworten, steht auf der Seite Lieferantenfragebogen beantworten.

Die Vorlagen dazu

Das Lieferantenaudit-Paket enthält die Antworthilfe mit Formulierungsbausteinen für sieben Themenblöcke, die Informationssicherheitsleitlinie, fünf Richtlinien, die Maßnahmenübersicht in Excel, Meldewege und Notfallkontakte und den Schulungsnachweis: 10 Dokumente in Word und Excel für 490 € netto. Die Vorlagen müssen an Ihr Unternehmen angepasst werden und sind keine Rechtsberatung. Ob Ihr Kunde Ihre Antworten akzeptiert, entscheidet er; eine Zusage dafür ist mit dem Kauf nicht verbunden.