Sicherheitsfragebogen eines regulierten Kunden beantworten

1. Für welche Leistung beantworten Sie die Fragen?

Ein Fragebogen aus dem Lieferantenmanagement kann ein ganzes Unternehmen, einen bestimmten Dienst oder einen einzelnen Standort betreffen. Klären Sie den Bezug, bevor Sie Antworten aus früheren Ausschreibungen übernehmen.

• Welche Leistung wird angeboten oder bereits erbracht?
• Welche Systeme, Informationen, Standorte und Unterauftragnehmer gehören dazu?
• Welche Aufgaben erledigen Sie selbst, welche übernimmt der Kunde?
• Geht es um eine Vorprüfung, eine Vertragsanlage oder die laufende Lieferantenüberwachung?
• Welche Anforderungen sind verbindlich, und welche Fragen dienen zusätzlich der Risikobewertung?

Der Kunde sollte bestätigen, für welchen Umfang Ihre Antworten gelten. Für Unternehmen, Organisationen und Behörden können unterschiedliche fachliche und rechtliche Anforderungen hinzukommen. Ein Standardfragebogen bildet diese Unterschiede nicht immer passend ab.

Eine Kundenanforderung ist nicht automatisch eine eigene gesetzliche Pflicht

Für Einrichtungen, die § 30 BSIG unterliegen, gehört die Sicherheit der Lieferkette zu den Risikomanagementmaßnahmen der deutschen NIS-2-Umsetzung. Daraus können Anforderungen an Anbieter entstehen. Ob Ihre Organisation selbst unmittelbar erfasst ist, muss getrennt geprüft werden. Ein Kundenfragebogen ersetzt keine dokumentierte Betroffenheitsanalyse.

Bei Finanzunternehmen können DORA-Anforderungen an IKT-Dienstleistungen und deren vertragliche Absicherung eine Rolle spielen. Das bedeutet nicht, dass jeder Lieferant denselben Pflichten wie ein Finanzunternehmen unterliegt. Fragen Sie nach dem Bezug zur Leistung und nach der konkreten Anforderung.

2. Die Bearbeitung auf wenige klare Schritte verteilen

1. Eingang klären: Frist, Format, Ansprechpartner und Bedeutung der Antworten festhalten. Kritische Zusagen und unklare Fragen früh markieren.
2. Verantwortliche zuordnen: Technische Fragen an die IT, Datenschutzfragen an die zuständige Fachfunktion, Personalprozesse an deren Verantwortliche. Eine Person koordiniert den Gesamtstand.
3. Vorhandenes prüfen: Freigegebene Regeln, Verträge, Systeminformationen, Tickets und frühere Antworten nutzen. Ihre Aktualität und ihren Geltungsbereich kontrollieren.
4. Lücken abstimmen: Unklare Anforderungen mit dem Kunden klären; Aufwand, Risiko, Zuständigkeit und Termine intern bewerten.
5. Freigeben und ablegen: Die verantwortlichen Personen bestätigen die Inhalte. Versendete Fassung, Anlagen und spätere Ergänzungen bleiben nachvollziehbar.

In einer kleinen Organisation können mehrere Aufgaben bei derselben Person liegen. Bei vielen Leistungen, Standorten oder Freigabestellen braucht es mehr Koordination. Entscheidend ist eine belastbare Zuständigkeit, nicht die Zahl der beteiligten Rollen.

3. Den Stand jeder Antwort klar kennzeichnen

Wenn der Fragebogen eigene Antwortvorgaben hat, richten Sie sich danach und nutzen die Kommentarfelder zur Präzisierung. Für Ihre interne Bearbeitung hilft diese Unterscheidung:

Umgesetzt und belegt

Die angefragte Maßnahme gilt im benannten Umfang und ihre Anwendung ist nachvollziehbar. Nennen Sie den passenden Nachweis und gegebenenfalls den betrachteten Zeitraum.

Teilweise umgesetzt

Benennen Sie abgedeckte Bereiche und konkrete Ausnahmen. „Ja“ ohne Einschränkung wäre irreführend, wenn relevante Systeme oder Abläufe fehlen.

Geplant, noch nicht umgesetzt

Beschreiben Sie den aktuellen Stand. Einen Umsetzungstermin nur nennen, wenn Verantwortung, Aufwand und Termin intern abgestimmt sind. Eine Planung ist kein Umsetzungsnachweis.

Nicht anwendbar

Begründen Sie den fehlenden Bezug zur Leistung. Eine an einen Unterauftragnehmer vergebene Aufgabe ist nicht automatisch „nicht anwendbar“: Dessen Leistung und Ihre Steuerung können weiterhin relevant sein.

Noch zu klären

Die Antwort oder ihr Beleg ist noch nicht gesichert. Benennen Sie Klärungsbedarf, zuständige Person und nächsten Schritt. Aus einer fehlenden Auskunft lässt sich nicht ableiten, ob die Maßnahme umgesetzt ist.

4. Eine konkrete Antwort statt eines pauschalen „Ja“

Fiktives Beispiel, keine Kundenreferenz: Der Fragebogen fragt: „Sind sämtliche administrativen Zugänge mit Mehrfaktor-Authentifizierung abgesichert?“ Beim Dienstleister ist dies für das zentrale Portal umgesetzt. Für einen lokalen Wartungszugang fehlt die Absicherung noch.

„Teilweise. Die administrativen Zugänge zum zentralen Serviceportal sind durch Mehrfaktor-Authentifizierung abgesichert. Für den lokalen Wartungszugang besteht diese Absicherung derzeit nicht. Bis zur Umstellung ist dessen Nutzung auf benannte Personen und freigegebene Wartungsfenster begrenzt und wird protokolliert. Einen Nachweis zur Portalkonfiguration stellen wir im vereinbarten Prüfweg bereit. Termin und Vorgehen für die Umstellung werden aktuell abgestimmt.“

Diese Formulierung wäre nur dann geeignet, wenn die beschriebenen Einschränkungen und Kontrollen tatsächlich bestehen. Sie lässt die Lücke erkennbar und behauptet keine vollständige Erfüllung. Ob die Zwischenlösung für den Kunden akzeptabel ist, muss gesondert bewertet werden. Protokollierung und eingeschränkte Nutzung ersetzen nicht automatisch eine geforderte Mehrfaktor-Authentifizierung.

Eine belastbare Antwort nennt damit Umfang, Ist-Stand, Ausnahme, Beleg und nächsten Schritt. Das ist auch bei knappen Kommentarfeldern hilfreicher als allgemeine Aussagen wie „Sicherheit hat bei uns höchste Priorität“.

5. So viel belegen, wie für die Frage erforderlich ist

Eine Antwort kann beispielsweise auf eine freigegebene Richtlinie, ein Prüfprotokoll oder einen geeigneten Konfigurationsnachweis verweisen. Der Beleg muss zur Frage passen: Eine Richtlinie beschreibt die Vorgabe, ein ausgewählter Vorgang zeigt ihre Anwendung.

Bei Zertifikaten und Prüfberichten gehören Geltungsbereich, Zeitraum und Einschränkungen zur Einordnung. Die Zertifizierung eines Cloud-Anbieters belegt nicht automatisch Ihre eigene Konfiguration, Zugangsverwaltung oder Leistung.

Beginnen Sie mit einer nachvollziehbaren Beschreibung und den benötigten Nachweisen. Für sensible technische Details, personenbezogene Daten oder Informationen anderer Kunden vereinbaren Sie einen geeigneten Prüfweg. Bestehende Auskunfts- und Prüfrechte bleiben dabei zu beachten. Mehr dazu finden Sie im Beitrag zu Nachweisen für Kundenaudits.

6. Lücken bewerten, bevor daraus Zusagen werden

Ein offener Punkt kann eine unpassende Frage, einen fehlenden Nachweis oder eine tatsächliche Sicherheitslücke betreffen. Diese Fälle brauchen unterschiedliche Antworten. Klären Sie zunächst den Sachverhalt und erst danach eine Maßnahme.

• Bezug fehlt: Die Frage mit Leistungsbeschreibung und Zuständigkeitsgrenzen einordnen.
• Nachweis fehlt: Vorhandene Umsetzung überprüfen und den aktuellen Stand dokumentieren. Im Nachhinein erstellte Unterlagen mit ihrem tatsächlichen Datum und ihrer Grundlage kennzeichnen.
• Maßnahme fehlt: Risiko, verbindliche Anforderungen und Handlungsbedarf bewerten. Zuständigkeit und realistisches Vorgehen abstimmen.
• Kunde verlangt mehr: Prüfen, ob zusätzliche Leistung, Kosten, Fristen oder Vertragsregelungen zu vereinbaren sind.

Antworten können je nach Vereinbarung vertragliche Bedeutung erhalten. Aussagen zu Reaktionszeiten, Wiederanlauf, Prüfzugängen oder Unterauftragnehmern müssen deshalb vor dem Versand mit den Verantwortlichen abgestimmt sein. Bei unklaren rechtlichen Bindungen ist eine rechtliche Prüfung sinnvoll.

Pragmatismus bedeutet hier: vorhandene Kontrollen nutzen, offene Punkte sichtbar machen und den Aufwand an Leistung und Risiko ausrichten. Größe, Ressourcen und Umsetzungskosten fließen in die Planung ein. Verbindliche Anforderungen bleiben zu erfüllen; wie umfangreich Abläufe, Kontrollen und Nachweise dafür sein müssen, ist für die konkrete Leistung zu begründen.

7. Einen gepflegten Antwortbestand aufbauen

Bei wiederkehrenden Anfragen lohnt sich eine zentrale Sammlung freigegebener Antworten. Für einen überschaubaren Umfang genügen häufig eine Tabelle und eine geschützte Dokumentenablage. Eine neue Software ist dafür nicht zwingend nötig.

Speichern Sie je Antwort mindestens Thema, Geltungsbereich, verantwortliche Person, Prüfdatum, Nachweisverweis und bekannte Einschränkungen. Halten Sie außerdem fest, welche Fassung welcher Kunde erhalten hat und welche individuellen Zusagen dazugehören.

Vor jeder Wiederverwendung prüfen Sie, ob Frage und Leistungsumfang übereinstimmen. Änderungen an Systemen, Unterauftragnehmern, Verfahren oder Vertragszusagen können eine Aktualisierung auslösen. Ein neuer Kundenfragebogen ist Anlass zur Prüfung und kein Grund, automatisch sämtliche Antworten neu zu erfinden.

So wird aus der einzelnen Anfrage ein wiederverwendbarer, nachvollziehbarer Arbeitsstand – mit genug Struktur für Ihre tatsächliche Zahl an Leistungen, Kunden und Risiken.