Wenn Ihr Unternehmen in der IKT-Dienstleistung tätig ist — Verwaltung von Servern und Netzwerken, ein Helpdesk mit Fernzugriff oder die Wartung von Software bei Kunden — ist der Sicherheitsfragebogen, den Sie erhalten, oft umfangreicher als der von anderen Lieferanten. Das liegt nicht daran, dass Ihr Kunde Ihnen misstraut, sondern daran, dass Ihr Dienst definitionsgemäß Zugriff auf Systeme gewährt, die nicht Ihnen gehören. Eine Organisation mit Sorgfaltspflicht, die ihre Lieferkette überprüft, schaut bei einem IKT-Dienstleister genauer hin als bei einem Anbieter von Büromöbeln.
Die Fragen, die in diesem Sektor wiederkommen, fallen normalerweise in drei Gruppen: wie Sie Fernverwaltung durchführen, wie Sie Zugriff auf Kundensysteme regeln, und wie Sie mit Unterauftragnehmern umgehen. Im Folgenden wird für jede Gruppe aufgezeigt, was normalerweise gefragt wird und warum.
Warum IKT-Dienstleister eine separate Kategorie bilden
Eine Organisation mit Sorgfaltspflicht muss gemäß der NIS2-Richtlinie auch Risiken bewerten, die über Lieferanten entstehen. Ein Buchhaltungsbüro, das nur Rechnungen verarbeitet, stellt ein anderes Risiko dar als ein Unternehmen, das nachts auf den Unternehmensserver zugreifen kann, um ein Update einzuspielen. Aufsichtsbehörden und die Richtlinie selbst nennen diese Abhängigkeit von IKT-Diensten ausdrücklich als Schwerpunkt innerhalb der Wertschöpfungskette. Für Sie bedeutet dies, dass sich der Fragebogen oft nicht auf Ihr Büro bezieht, sondern auf den Weg, den Ihre Mitarbeiter und Systeme zum Netzwerk des Kunden nehmen.
Fragen zur Fernverwaltung
Wenn Sie Kundensysteme aus der Ferne verwalten, mit Tools zur Fernüberwachung und -verwaltung (RMM) oder über eine VPN-Verbindung, fragt der Fragebogen normalerweise nach der Sicherheit dieser Verbindung selbst. Typische Themen sind: ob Fernzugriff nur mit mehrstufiger Authentifizierung möglich ist, ob Sitzungen protokolliert werden und wie lange diese Protokolle aufbewahrt werden, ob es ein festes Wartungszeitfenster gibt, und was geschieht, wenn ein Laptop eines Technikers gestohlen oder verloren geht. Häufig wird auch gefragt, ob die RMM-Software selbst aktuell gehalten wird — eine Anfälligkeit in diesem Verwaltungsprogramm betrifft nämlich auf einen Schlag alle Kunden, die damit verwaltet werden, und das ist für Auftraggeber ein heikles Thema.
Fragen zum Zugriff auf Kundensysteme
Die zweite Gruppe von Fragen bezieht sich darauf, wer genau auf welche Systeme zugreifen kann. Denken Sie an: Arbeiten Sie nach dem Grundsatz, dass jemand nur Zugriff auf das erhält, was für die Aufgabe erforderlich ist (Prinzip der geringsten Berechtigung), wird der Zugriff sofort entzogen, wenn ein Mitarbeiter das Unternehmen verlässt oder die Funktion wechselt, und sind Passwörter und Zugangsschlüssel pro Kunde getrennt oder zwischen Aufträgen gemeinsam genutzt. Manche Fragebogen fragen auch nach einer Übersicht, wer in einem bestimmten Zeitraum Zugriff hatte, was nur zu beantworten ist, wenn diese Übersicht bereits gepflegt wird. Wer diese Art von Informationen nicht schnell bereitstellen kann, verliert oft nicht, weil die Sicherheit mangelhaft ist, sondern weil die Antwort einfach nicht schnell genug zu liefern ist.
Fragen zu Unterauftragnehmern und der eigenen Lieferkette
Die dritte Gruppe von Fragen wird oft übersehen, bis sie auf den Tisch kommt: Nutzen Sie selbst Unterauftragnehmer für Teile der Dienstleistung, beispielsweise einen externen Partner für den Helpdesk außerhalb der Geschäftszeiten oder für spezialisiertes Netzwerkmanagement? Ein Abnehmer, der seine eigene Lieferkette kartografieren muss, möchte wissen, ob diese Kette bei Ihnen endet oder sich weiter fortsetzt. Fragen dazu beziehen sich in der Regel darauf, ob Unterauftragnehmer die gleichen Sicherheitsanforderungen erfüllen müssen wie Sie selbst, und ob der Kunde im Voraus informiert wird, wenn ein neuer Unterauftragnehmer hinzugezogen wird. Dies ist auch der Punkt, an dem die Frageliste zu Informationen führen kann, die für die Risikobewertung nicht angemessen erforderlich sind; wo diese Grenze liegt, ist nicht in jeder Situation gleich und verdient eine eigene Abwägung.
Was dies für die Antwort bedeutet, die Sie geben
Die obigen Fragen sind keine isolierte Checkliste, sondern ein wiederkehrendes Muster, und dieses Muster ändert sich von Kunde zu Kunde innerhalb dieses Sektors wenig. Das macht es lohnenswert, im Voraus zu wissen, wo Sie selbst stehen — welche dieser Themen bereits mit einem Verantwortlichen und einem Beweismittel belegt sind und welche noch unbearbeitet sind. in wenigen Fragen sehen, ob und wie Sie betroffen sind gibt dort eine erste Richtung vor, und die ausgearbeiteten Themen je nach Situation geht näher auf spezifische Maßnahmen wie Zugriffskontrolle und Lieferantenbewertung ein. Wenn Sie unsicher sind, ob eine gestellte Frage noch im angemessenen Rahmen liegt, ist dies etwas, das Sie mit dem Kunden selbst oder bei anhaltender Unklarheit mit einem Juristen besprechen sollten; die am häufigsten gestellten Fragen zu diesem Thema bietet eine Reihe von Ansatzpunkten.
Wenn Sie ohne Verpflichtungen sehen möchten, wo Ihr Unternehmen im Hinblick auf solche Fragelisten steht, führen Sie dann den kostenlosen Quick-Scan durch oder blättern Sie durch die Wissensdatenbank auf secria.eu — beide sind ohne Konto zugänglich.