Mein Kunde bittet mich, einen Sicherheitsfragebogen auszufüllen – was muss ich tun

Ein Sicherheits-Fragebogen ist in der Regel ein Signal aus der Lieferkette, keine gesetzliche Pflicht

Ein Fragebogen von einem Kunden bedeutet in der Regel, dass dieser Kunde selbst unter die NIS2-Verordnung fällt und verpflichtet ist, seine Lieferanten zu bewerten. Dies geschieht auch, wenn die empfangende Organisation selbst überhaupt nicht verpflichtet ist: Der Kunde muss seine eigene Lieferkette erfassen, und der Fragebogen ist die Folge davon. Diese Situation — Fragen zu erhalten, ohne selbst unter das Gesetz zu fallen — kommt bei vielen KMU-Lieferanten vor und wird auf der Seite über warum Lieferanten Sicherheitsanforderungen erhalten, ohne selbst verpflichtet zu sein.

Der Fragebogen selbst behandelt in der Regel dieselben Themen: Zugriffskontrolle, Patch-Richtlinie, Erkennung von Vorfällen, Sicherungskopien, Lieferantenverwaltung und wer innerhalb der Organisation für Cybersicherheit verantwortlich ist. Wer diese Themen noch nicht in Ordnung oder schriftlich festgehalten hat, sollte dies am besten zunächst ordnen, bevor der Fragebogen beantwortet wird — andernfalls entsteht ein Flickenteppich aus einzelnen Antworten, die bei einem nächsten Fragebogen erneut zusammengetragen werden müssen. Ein guter erster Schritt ist es herauszufinden, welche zehn Maßnahmen als Grundlage verwendet werden, denn fast jeder Fragebogen beruht im Kern darauf, und zu bestimmen, wo man anfangen soll, wenn noch nichts dokumentiert ist.

Warum Kunden genau so fragen: Artikel 21 Absatz 2 NIS2

Die Verpflichtung zur Bewertung von Lieferanten ergibt sich aus Artikel 21 Absatz 2 der NIS2-Richtlinie, in dem die zehn Maßnahmen aufgeführt sind, die eine verpflichtete Organisation ergreifen muss — einschließlich der expliziten Sicherung der Lieferkette. Ein wesentliches oder wichtiges Unternehmen, das diese Maßnahme erfüllen möchte, kann dies nur nachweisen, indem es auch seine eigenen Lieferanten prüft, und der Sicherheits-Fragebogen ist dafür das übliche Instrument. In der nationalen Umsetzung, dem Cybersicherheitsgesetz, findet sich diese Verpflichtung für Organisationen wieder, die in den Niederlanden unter das Gesetz fallen. Wer selbst überprüfen möchte, ob diese Verpflichtung auch unmittelbar auf die eigene Organisation angewendet werden kann, kann dies überprüfen durch die Frage, wie man bestimmt, ob ein Unternehmen unter NIS2 fällt,.