Lieferantenfragebogen vom NIS2-Kunden beantworten: Ablauf, Antworten, Nachweise

Warum der Fragebogen kommt

Einrichtungen, die unter das BSI-Gesetz fallen, müssen Risikomanagementmaßnahmen ergreifen und deren Einhaltung dokumentieren; dazu gehört die Sicherheit der Lieferkette (§ 30 Abs. 1 und Abs. 2 Nr. 4 BSIG). Der Fragebogen an Sie ist ein Weg, das zu belegen. Was das Gesetz dazu sagt und was nicht, steht auf der Seite Was verlangt mein Kunde nach NIS2?.

Für die Beantwortung zählt der Fragebogen selbst: Welche Fragen gestellt werden und welche Nachweise Ihr Kunde sehen will, steht dort und nicht im Gesetz.

Drei Regeln vor der ersten Antwort

Die Antworthilfe im Lieferantenaudit-Paket (IS-AH-10 Antworthilfe für Lieferantenfragebögen) beginnt mit Regeln für das Beantworten. Drei davon betreffen jede einzelne Antwort:

Mit "Ja" wird nur beantwortet, was umgesetzt ist und belegt werden kann. Eine falsche Angabe fällt spätestens im Audit auf und wiegt schwerer als eine offen benannte Lücke.

Lücken werden offen benannt, mit Termin und verantwortlicher Rolle, und in die IS-NW-08 Maßnahmenübersicht zum Vorzeigen aufgenommen.

Fragen, die auf das Unternehmen nicht zutreffen, werden mit "nicht anwendbar" und einer kurzen Begründung beantwortet, zum Beispiel: "Nicht anwendbar, wir betreiben keine eigene Softwareentwicklung."

Dieselbe Vorlage legt fest, dass die Geschäftsleitung jeden Fragebogen vor dem Versand freigibt. Was im Fragebogen steht, sagt Ihr Unternehmen zu, und Ihr Kunde kann es später prüfen.

Ablauf bei knapper Frist

Für knappe Fristen schlägt die Antworthilfe diese Reihenfolge vor (Abschnitt 5):

1. Den Fragebogen einmal ganz lesen und jede Frage einem der sieben Themenblöcke zuordnen: Organisation, Zugriff, Datensicherung, Sicherheitsvorfälle, Endgeräte und mobiles Arbeiten, Unterauftragnehmer, Schulung.
2. Markieren, wo ein Nachweis verlangt wird.
3. Zuerst die Leitlinie anpassen und freigeben lassen (IS-LL-01 Informationssicherheitsleitlinie), weil alle anderen Dokumente des Pakets auf sie verweisen.
4. Dann die Richtlinien zu den Themen anpassen, die technisch schon gelöst sind, meist Zugriff (IS-RL-02 Richtlinie Zugriffskontrolle, Passwörter und MFA) und Datensicherung (IS-RL-03 Richtlinie Datensicherung).
5. Lücken mit Termin in die Maßnahmenübersicht aufnehmen (IS-NW-08 Maßnahmenübersicht zum Vorzeigen) und im Fragebogen offen benennen.
6. Reicht die Frist nicht, früh beim Kunden um Verlängerung bitten und einen Termin nennen.

Wer was tut, steht in der Rollentabelle der Antworthilfe: Die oder der Informationssicherheitsbeauftragte koordiniert und gleicht jede Antwort mit Richtlinien und Praxis ab. Die IT-Verantwortlichen liefern technische Angaben und Belege. Vertrieb oder Kundenbetreuung leiten den Fragebogen sofort weiter und klären Fristen mit dem Kunden. Die Geschäftsleitung gibt frei. In kleinen Betrieben kann eine Person mehrere Rollen wahrnehmen (IS-LL-01 Informationssicherheitsleitlinie, Abschnitt 4); die Freigabe durch die Geschäftsleitung entfällt dadurch nicht.

Antworten nach Umsetzungsstand, an einem Beispiel

Zu den meisten Fragen in Abschnitt 6 enthält die Antworthilfe einen Baustein für den umgesetzten und einen für den teilweise umgesetzten Stand. Am Beispiel Datensicherung, zuerst umgesetzt:

Geschäftskritische Daten werden automatisch [werktäglich] gesichert. Tägliche Sicherungen werden [30] Tage, Monatsstände [12] Monate aufbewahrt. Die Wiederherstellung wird [halbjährlich] getestet und protokolliert, zuletzt am [Datum].

Dann teilweise umgesetzt, mit Termin und Rolle:

Teilweise umgesetzt. Die Datensicherung läuft [werktäglich] und wird täglich kontrolliert. Ein protokollierter Wiederherstellungstest ist erstmals für [Datum] geplant. Abschluss geplant bis [Datum], verantwortlich: [Rolle]. Die Maßnahme ist in unserer Maßnahmenübersicht geführt.

Für Maßnahmen, die noch gar nicht umgesetzt sind, enthält Abschnitt 8 eine eigene Formulierung; dort steht auch die vierte, "nicht anwendbar" mit Begründung:

Derzeit nicht umgesetzt. Die Maßnahme ist mit Termin [Datum] in unserer Maßnahmenübersicht geplant. Bis dahin gilt ersatzweise: [Schutzmaßnahme].

Die Werte in eckigen Klammern sind die Vorlagenwerte der Richtlinien. Sie ersetzen sie durch Ihre eigenen, und zwar durch dieselben, die in Ihrer angepassten Richtlinie stehen. Steht im Fragebogen "halbjährlich" und in der beigefügten Richtlinie "jährlich", sieht Ihr Kunde den Widerspruch beim Lesen.

Typische Fragen und der Nachweis dazu

Acht Fragen aus der Antworthilfe, wörtlich, mit dem Dokument aus dem Paket, das die Antwort belegt:

Zu einigen häufigen Fragen hat das Paket keine eigene Richtlinie, etwa zum Schutz von Räumen und Servern vor unbefugtem Zutritt oder zur Verschlüsselung bei der Übertragung. Dort beschreiben Sie den tatsächlichen Stand; die Antworthilfe nennt dazu passende Belege aus dem Betrieb. Welche das sind, steht auf der Seite Nachweis Informationssicherheit für Kunden.

Was beim Lesen Ihrer Antworten auffällt

Wer Ihren Fragebogen auswertet, kann Antworten und Anlagen nebeneinanderlegen. Dabei fällt auf:

• ein "Ja" ohne Beleg oder ein Beleg, der etwas anderes sagt als die Antwort,
• eine Richtlinie ohne Datum, Version oder Freigabe (die Antworthilfe sieht vor, nur freigegebene Dokumente mit Datum und Version beizufügen),
• stehen gebliebene Platzhalter wie [Ihr Unternehmen] oder [Datum] in einer beigefügten Vorlage,
• eine Lücke ohne Termin oder ohne verantwortliche Rolle,
• eine Meldefrist für Sicherheitsvorfälle, die kürzer ist als die in Ihrer eigenen Richtlinie und ungeprüft zugesagt wurde,
• ein "nicht anwendbar" ohne Begründung.

Jeder dieser Punkte lässt sich vor dem Versand prüfen.

Die Vorlagen dazu

Das Lieferantenaudit-Paket enthält die Antworthilfe mit Formulierungsbausteinen für sieben Themenblöcke, die Informationssicherheitsleitlinie, fünf Richtlinien, die Maßnahmenübersicht in Excel, Meldewege und Notfallkontakte und den Schulungsnachweis: 10 Dokumente in Word und Excel für 490 € netto. Die Vorlagen müssen an Ihr Unternehmen angepasst werden und sind keine Rechtsberatung. Ob Ihr Kunde Ihre Antworten akzeptiert, entscheidet er; eine Zusage dafür ist mit dem Kauf nicht verbunden.