Mit einem Sicherheitsfragebogen prüft Ihr Kunde, wie sicher Sie als Dienstleister arbeiten. Oft ist er dazu verpflichtet: als Einrichtung unter dem BSI-Gesetz, als Finanzunternehmen unter DORA oder weil er selbst nach ISO 27001 zertifiziert ist. Ihre Antworten können Teil des Vertrags werden oder Grundlage einer Prüfung. Antworten Sie deshalb wahr, belegbar und einheitlich. Ein Nein mit Plan ist besser als ein Ja ohne Nachweis.
Warum Ihr Kunde fragt
Drei Regelwerke verpflichten Unternehmen, ihre Dienstleister zu prüfen. Welches für Ihren Kunden gilt, hängt von seiner Branche und Größe ab.
- BSI-Gesetz: Fällt Ihr Kunde darunter, muss er die Sicherheit seiner Lieferkette regeln.
- DORA: Ist Ihr Kunde ein Finanzunternehmen, muss er Sie vor Vertragsschluss prüfen und danach laufend überwachen. DORA ist die EU-Verordnung zur digitalen Betriebsstabilität im Finanzsektor.
- ISO/IEC 27001: Ist Ihr Kunde zertifiziert, muss er dem Auditor zeigen, wie er seine Lieferanten bewertet. Die Norm verlangt das in ihren Maßnahmen zu Lieferantenbeziehungen.
Der Fragebogen ist also kein Misstrauen. Ihr Kunde weist damit nach, dass er seine Pflicht erfüllt.
Welche Fragebögen Ihnen begegnen
| Fragebogen | Herausgeber | Umfang | Wo er vorkommt |
|---|---|---|---|
| CAIQ v4.1 | Cloud Security Alliance | 283 Fragen zu 207 Kontrollen der CCM v4.1 | Cloud-Dienste, internationale Kunden |
| SIG (Lite, Core, Detail) | Shared Assessments | 21 Risikobereiche, lizenzpflichtig | Finanzbranche, Konzerne |
| VDA ISA | VDA, betrieben über ENX | Katalog für TISAX, auf Basis ISO 27001 | Automobilindustrie |
| BSI C5 | BSI | Prüfkatalog mit 121 (C5:2020) bzw. 168 Kriterien (C5:2026) | Cloud für Behörden und Healthcare |
| Eigener Fragebogen | Ihr Kunde | 20 bis 300 Fragen, oft aus ISO 27001 abgeleitet | Der häufigste Fall |
Einen amtlichen Standardfragebogen des BSI für Lieferanten gibt es nicht. Die meisten Kunden bauen ihren eigenen. Nach unserer Erfahrung überschneiden sich die Fragen zu etwa achtzig Prozent. Deshalb lohnt sich eine Antwortbibliothek: eine gepflegte Sammlung Ihrer freigegebenen Antworten mit den passenden Nachweisen.
Fünf Regeln für die Antwort
- Wahr, nicht wünschenswert. Ein Ja ohne Nachweis fällt im Audit auf. Schreiben Sie Nein, wenn es Nein ist, und nennen Sie den Plan.
- Belegbar. Nennen Sie zu jedem Ja das Dokument: Richtlinie, Zertifikat, Protokoll. Der Kunde fragt beim nächsten Mal danach.
- Einheitlich. Zwei Kunden dürfen auf dieselbe Frage nicht zwei verschiedene Antworten bekommen. Die Antwortbibliothek verhindert das.
- Abgegrenzt. Antworten Sie für den Dienst, den der Kunde bezieht, nicht für das ganze Unternehmen. Nennen Sie diesen Geltungsbereich.
- Freigegeben. Eine Person verantwortet die Antworten. Stückeln fünf Abteilungen einen Fragebogen zusammen, widerspricht er sich.
Drei Fallen
Die Frage nach dem Zertifikat. „Sind Sie nach ISO 27001 zertifiziert?“ Ein Nein schließt Sie nicht aus. Ist Ihr Kunde ein Finanzunternehmen, darf er Zertifikate nutzen. Er darf sich aber nicht dauerhaft allein darauf verlassen. Er braucht also ohnehin mehr als das Zertifikat.
Die Frage nach Unterauftragnehmern. Verschweigen Sie keinen. Ist Ihr Kunde ein Finanzunternehmen und unterstützt Ihre Leistung eine seiner kritischen oder wichtigen Funktionen, erfasst eine eigene EU-Verordnung die gesamte Kette Ihrer Unterauftragnehmer. Kritisch oder wichtig ist eine Funktion, deren Ausfall den Geschäftsbetrieb Ihres Kunden erheblich beeinträchtigen würde.
Die Frage nach Meldefristen. Sagen Sie keine Frist zu, die Sie nachts und am Wochenende nicht halten. Fällt Ihr Kunde unter das BSI-Gesetz, muss er binnen 24 Stunden an das BSI melden. Er braucht Ihre Meldung also früher.