Ihr Kunde sendet einen Sicherheitsfragebogen — was nun?
Sie fallen selbst nicht darunter, aber Sie bekommen die Anforderungen trotzdem. Warum das geschieht und was eine gute Antwort ist.
Warum Sie diese Liste erhalten
Ihr Kunde fällt unter NIS2 und hat eine Zorgplicht. Eine der zehn Maßnahmen in dieser Zorgplicht befasst sich explizit mit der Lieferkette: Er muss die Cybersicherheit seiner Lieferanten und Dienstleister beurteilen, soweit diese seine eigenen Systeme beeinflussen.
Das kann er nicht auslassen. Sein eigener Aufseher kann danach fragen und seine Geschäftsleitung trägt persönlich dafür Verantwortung. Daher die Frageliste und daher der Druck.
Was meist darin steht
Die Fragen laufen fast immer auf die gleichen zehn Themen hinaus, weil sie auf der gleichen Bestimmung beruhen. Haben Sie eine Richtlinie für Informationssicherheit, wie behandeln Sie Vorfälle, was tun Sie für Kontinuität und Sicherungen, wie bewerten Sie Ihre eigenen Lieferanten, wie gehen Sie mit Schwachstellen um, messen Sie, ob es funktioniert, wie steht es mit Updates und Bewusstsein, verschlüsseln Sie Daten, wer darf worauf zugreifen, und nutzen Sie Zwei-Faktor-Authentifizierung.
Das Format unterscheidet sich — eine Excel-Datei, ein Word-Dokument, ein Portal, in das Sie sich selbst einloggen müssen — aber der Inhalt nicht. Genau deshalb ist es beim zweiten Mal viel weniger Arbeit.
Was eine gute Antwort ist
Ehrlich und begründet. Teilweise geregelt, hier ist das Richtliniendokument, das ist für das dritte Quartal geplant: Das ist eine bessere Antwort als ein Häkchen bei allem. Ihr Kunde beurteilt nicht, ob Sie perfekt sind, er beurteilt, ob er ein Risiko läuft und ob Sie wissen, wo Sie stehen.
Was Sie nicht tun sollten, ist erfinden. Eine Antwort, die bei einer Kontrolle nicht stimmt, kostet Sie den Vertrag und die Beziehung. Was es nicht gibt, melden Sie als noch nicht geregelt, mit einem Datum dazu.
Häufig gestellte Fragen
Muss ich das ausfüllen?
Rechtlich nicht, Sie haben selbst keine Pflicht. Geschäftlich ist es anders: Ohne Antwort verlieren Sie den Vertrag oder die Verlängerung.
Darf mein Kunde das alles fragen?
Ja. Anders als bei Nachhaltigkeitsfragelisten gibt es bei NIS2 keine gesetzliche Obergrenze für das, was ein Kunde fragen darf. Es muss aber im Verhältnis zu dem Risiko stehen, das Sie für ihn darstellen.
Ich bekomme von jedem Kunden eine andere Liste.
Das stimmt, und das ist das eigentliche Problem. Die Themen sind gleich, die Form unterscheidet sich. Einmal ein Dossier aufzubauen und daraus Antworten zu entwickeln ist daher die einzige praktikable Route.
Dies ist Erläuterung, keine Beratung zu Ihrer eigenen Situation. secria.eu bewertet Ihre Organisation nicht und gibt keine Assurance.