Sie haben den ersten Sicherheitsfragebogen eines Kunden gerade abgeschlossen. Stunden der Suche danach, wer für die Firewall verantwortlich ist, welche Passwortrichtlinie Sie tatsächlich umsetzen, und ob es nun ein Sicherungsverfahren auf dem Papier gibt oder nicht. Dann kommt drei Monate später ein zweiter Kunde mit einer ähnlichen Liste, und es fühlt sich an, als würden Sie wieder bei null anfangen. Das muss nicht sein: Der Unterschied zwischen dem ersten und dem zweiten Fragebogen liegt nicht darin, wie schnell Sie tippen, sondern darin, ob Sie beim ersten Mal etwas dokumentiert haben, das Sie später nachschlagen können.
Sicherheitsfragebogen verschiedener Auftraggeber überlappen sich stark. Ein Installationsbetrieb, der an einen Energienetzbetreiber und eine Gesundheitseinrichtung liefert, erhält Fragen, die zu achtzig Prozent identisch sind: Gibt es einen Verantwortlichen für Informationssicherheit, wie gehen Sie mit dem Zugriff auf Systeme um, was tun Sie bei einem Vorfall, wie oft testen Sie Sicherungen. Die Formulierung unterscheidet sich je Kunde, aber die zugrunde liegende Frage nicht. Wer die Antwort beim ersten Mal nur in einer E-Mail an diesen einen Kunden einfügt, muss sie beim zweiten Mal erneut recherchieren. Wer die Antwort als Teil einer Akte dokumentiert, kopiert sie und passt die Formulierung an.
Was sich beim zweiten Mal tatsächlich ändert
Der Kern jeder Checkliste — welche Maßnahmen vorhanden sind, wer dafür verantwortlich ist, welche Nachweise dazugehören — unterscheidet sich nur wenig zwischen Kunden. Was sich unterscheidet, ist die Frageform: Der eine Auftraggeber fragt nach 'Zugriffskontrolle', der andere nach 'Identity and Access Management', und ein dritter möchte eine Ja/Nein-Antwort, wo der erste eine Erläuterung von drei Sätzen verlangt hat. Das ist genau der Part, der wenig Zeit in Anspruch nehmen muss, wenn die zugrunde liegende Information bereits in Ordnung ist. Sie formulieren die Fragen um, nicht den Inhalt.
Es gibt eine wichtige Ausnahme: Wenn sich zwischen dem ersten und dem zweiten Fragebogen etwas in Ihrer Organisation geändert hat — ein neuer Lieferant, ein anderes Sicherungssystem, ein geänderter Verantwortlicher — dann ist dies der richtige Moment, um das Dossier zu aktualisieren, nicht den Fragebogen selbst. Ein Dossier, das nicht mit der Realität Schritt hält, führt beim dritten oder vierten Kunden erneut zu Verzögerungen, weil Sie dann trotzdem überprüfen müssen, was noch stimmt und was nicht.
Der Unterschied zwischen der Beantwortung eines Fragebogens und der Verwaltung eines Dossiers
Ein Fragebogen ist eine Momentaufnahme für einen einzelnen Auftraggeber. Ein Dossier ist eine lebende Übersicht der Maßnahmen, die Ihre Organisation bereits selbst ergriffen hat, unabhängig davon, wer danach fragt: Welchen Status hat jede Maßnahme, welches Beweisdokument gehört dazu, und wer in der Organisation ist dafür verantwortlich. Sobald diese Übersicht vorhanden ist, ist jeder eingehende Fragebogen im Grunde ein Export in einer anderen Reihenfolge. die zehn Sorgfaltspflichtmaßnahmen pro Situation durchlesen vermittelt einen Überblick darüber, welche Bestandteile darin üblicherweise vorkommen, auch wenn Ihre Organisation selbst nicht direkt unter die NIS2-Anforderungen fällt, sondern über einen Auftraggeber betroffen ist.
Dieser Unterschied ist auch der Grund für die Zeiteinsparungen bei Organisationen, die selbst nicht verpflichtet sind — die große Gruppe von KMU-Lieferanten, die über die Sorgfaltspflicht ihres Auftraggebers betroffen ist. Sie müssen kein Gesetz umsetzen, müssen aber wiederholt nachweisen, dass Grundlagen in Ordnung sind. Wer das beim ersten Mal als einzelne E-Mail beantwortet, leistet beim zweiten Auftraggeber den gleichen Aufwand. Wer es als Dossier festhält, sieht den Aufwand pro zusätzlichem Auftraggeber sinken statt gleich bleiben.
Wo die Grenze liegt
Ein Dossier und die daraus vorbereiteten Antworten ersetzen nicht die Bewertung durch den Abnehmer, und es ist keine Garantie, dass eine nächste Frageliste ohne zusätzliche Fragen bearbeitet wird — jeder Abnehmer bewertet selbst, was für ihn ausreichend ist. Ein Dossier ersetzt auch keine Audit, keinen Penetrationstest und keine Zertifizierung; das bleibt Arbeit spezialisierter Parteien. Was es jedoch leistet, ist die wiederholte Frage ‚wie ist das bei Ihnen geregelt' vorbereitet zu halten, damit Sie diese nicht jedes Mal neu herausfinden müssen.
Ob Ihre Organisation durch einen Abnehmer betroffen ist oder selbst unter das Cybersicherheitsgesetz fällt, lässt sich mit wenigen Fragen sehen über die NIS2-Überprüfung, die in wenigen Minuten einen Überblick gibt. Diese Prüfung ist kostenlos und ohne Konto durchzuführen, ebenso wie die Erläuterungen zu jedem Thema in der Wissensdatenbank. Das Dossier selbst mit dem Status je Maßnahme, dem Nachweis und den vorbereiteten Antworten für die nächste Frageliste gehört zum Abonnement — was genau darin enthalten ist, können Sie hier einsehen.
Wer wissen möchte, woher die Informationen auf der Plattform stammen und wie sie gepflegt werden, liest das nach auf die Seite, die erklärt, woher die Informationen stammenFür die eigene Situation — welche Fragen ein bestimmter Auftraggeber stellen darf und wie weit dieser gehen darf — ist es ratsam, im Zweifelsfall einen Juristen oder die zuständige Aufsichtsbehörde zu konsultieren; das Dossier bereitet vor, es bewertet nicht an Ihrer Stelle.
Beginnen Sie mit der Frage, wo sich Ihre Organisation eigentlich befindet: Die NIS2-Überprüfung gibt Ihnen dazu in wenigen Minuten eine Orientierung, ohne dass Sie dafür ein Konto benötigen.