Den Sicherheitsfragebogen eines Kunden beantworten: Leitfaden für KMU

Der erste Sicherheitsfragebogen kommt mit dem ersten Kunden, der groß genug für eine eigene Einkaufsabteilung ist: 80 bis 300 Fragen in einer Tabelle, eine Frist von zwei Wochen und ein Vertrag, der auf die Antworten wartet. Für ein Unternehmen mit zehn Personen kann das eine ganze Woche des Gründungsteams verschlingen. Dieser Leitfaden zeigt, wie Sie ihn einmal richtig beantworten, damit der zweite und der zehnte nur noch einen Nachmittag dauern: den Bestand an Angaben aufbauen, ihn wiederverwenden, nie etwas versprechen, das Sie nicht belegen können, und benennen, wer genehmigt.

Warum Kunden fragen

Ihr Kunde tut, was seine eigene Regulierung verlangt. Nach Art. 28 Abs. 1 DSGVO darf ein Verantwortlicher nur mit Auftragsverarbeitern arbeiten, die „hinreichend Garantien“ bieten, und Art. 5 Abs. 2 verlangt, dass er nachweisen kann, dass er das geprüft hat. Nach Art. 21 Abs. 2 Buchst. d der NIS-2-Richtlinie müssen Einrichtungen in ihrem Anwendungsbereich die Sicherheit ihrer Lieferkette gewährleisten, einschließlich der Beziehung zu jedem unmittelbaren Lieferanten, und Art. 21 Abs. 3 verlangt, dass sie „die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter“ berücksichtigen. Kunden aus dem Finanzsektor kommen mit DORA hinzu: Art. 28 bis 30 der Verordnung (EU) 2022/2554 verlangen, dass sie jeden IKT-Drittdienstleister vor Vertragsschluss bewerten und bestimmte Klauseln in den Vertrag aufnehmen. Kunden, die KI-Systeme als Betreiber einsetzen, müssen Art. 26 der KI-Verordnung der EU (Verordnung (EU) 2024/1689) beachten und werden nach Ihren KI-Systemen fragen. Der Fragebogen ist ihre Nachweisdatei; Ihre Antworten werden Teil davon, und deshalb zählt der Inhalt mehr als die Geschwindigkeit.

Den Bestand einmal aufbauen

Die meisten Fragebögen — der CAIQ der CSA, der SIG von Shared Assessments, die eigene Tabelle eines Kunden — fragen dieselben vierzig Fakten mit anderen Worten ab. Schreiben Sie diese Fakten einmal auf, dort, wo Ihr Team sie findet, jeweils mit Datum und Quelle:

• Unternehmen und Rollen. Rechtsträger; wer für Sicherheit und Datenschutz zuständig ist; ob Sie einen Datenschutzbeauftragten haben, und warum oder warum nicht (Art. 37 DSGVO).
• Hosting und Standort. Wo Produktion und Backups laufen, in welchem Land, bei welchem Dienstleister; ob etwas die EU und den EWR verlässt, und auf welcher Übermittlungsgrundlage.
• Unterauftragsverarbeiter. Die Liste mit Land und Zweck — siehe den Leitfaden zu Unterauftragsverarbeitern. Ihre Unterauftragsverarbeiter sind Ihre Lieferanten; führen Sie sie in einem Register, damit die Antwort im Fragebogen und Ihr Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 nicht auseinanderlaufen.
• Zugriffskontrolle. MFA für Beschäftigte, rollenbasierter Zugriff, Verfahren für Ein- und Austritte, wie viele Personen auf die Produktion zugreifen können.
• Verschlüsselung. Bei der Übertragung und im Ruhezustand, mit welchen Algorithmen, wer die Schlüssel verwaltet.
• Protokollierung, Schwachstellenmanagement, Reaktion auf Sicherheitsvorfälle. Was protokolliert wird und wie lange; Rhythmus von Scans und Patches; letzter Penetrationstest; das Notfallhandbuch (Runbook) und die Frist, in der Sie Kunden über eine Verletzung des Schutzes personenbezogener Daten benachrichtigen.
• Aufrechterhaltung des Betriebs. Häufigkeit und Aufbewahrung der Backups, letzter Wiederherstellungstest, RTO und RPO.
• Entwicklung. Code-Review, Trennung der Umgebungen, Umgang mit Geheimnissen (Secrets).
• Zertifizierungen und Audits. Welche Sie haben, welche nicht und was Sie stattdessen vorlegen können.
• Rechte der betroffenen Personen und Übertragbarkeit. Wie Sie Löschung und Export unterstützen, einschließlich des Exports nach der Datenverordnung für Geschäftskunden.
• KI. Welche Funktionen KI nutzen, welcher Lieferant das Modell stellt, wo die Inferenz läuft, ob Kundendaten irgendetwas trainieren und wie Ausgaben gekennzeichnet werden.

Jeder Fakt hat eine Quelle: die interne Richtlinie, die Konfiguration, den Vertrag, den Bericht. Eine Antwort, die Sie nicht auf eine Quelle zurückführen können, müssen Sie beim nächsten Mal neu herleiten, und Sie können sie nicht verteidigen, wenn jemand nachfragt.

Wiederverwenden

Bewahren Sie jede Antwort auf, die Sie verschickt haben, mit der Frage, die sie beantwortet hat, dem Datum und der Person, die sie genehmigt hat. Wenn der nächste Fragebogen kommt, gleichen Sie seine Fragen zuerst mit der Bibliothek ab, dann mit dem Bestand, und schreiben Sie neuen Text nur für das, was wirklich neu ist. Zwei Regeln halten die Bibliothek verlässlich. Bei Wiederverwendung neu datieren: Eine im März genehmigte Antwort beschreibt den März, und bevor Sie sie im September verschicken, bestätigt jemand, dass sie noch gilt — diese Bestätigung halten Sie fest. Die gestellte Frage beantworten: „Verschlüsseln Sie gespeicherte Daten?“ bekommt ein Ja und den Algorithmus, keinen Absatz über Sicherheitskultur. Wer prüft, bewertet Hunderte solcher Antworten; die klaren kommen durch.

Was Sie nie versprechen sollten

Ein Fragebogen ist eine Zusicherung gegenüber einem Kunden. Darin zu übertreiben ist schlimmer, als eine Lücke zuzugeben, denn eine Lücke lässt sich schließen, und eine Übertreibung wird zum Vertragsproblem. Schreiben Sie nie:

• Eine Zertifizierung, die Sie nicht haben. „An ISO 27001 ausgerichtet“ ist nicht zertifiziert. Nennen Sie die Maßnahmen, die Sie umsetzen, und bieten Sie die Nachweise an.
• Eine absolute Aussage. „Wir hatten noch nie einen Sicherheitsvorfall“ oder „Unsere Systeme können nicht kompromittiert werden“. Sagen Sie, was Sie erkennen, wie Sie reagieren und wie Sie benachrichtigen.
• Einen Standort, für den Sie nicht einstehen können. „Alle Daten bleiben in der EU“ stimmt nur, wenn die Verarbeitung jedes Unterauftragsverarbeiters dort bleibt. Prüfen Sie die Liste, bevor Sie es schreiben.
• Wiederherstellungswerte, die Sie nicht getestet haben. Eine RTO von vier Stunden ist ein Testergebnis, kein Wunsch.
• Zusagen, die in einen Vertrag gehören. Unbegrenzte Haftung, Freistellungen, Audits auf Abruf, eine Meldefrist, die kürzer ist als die in Ihrem Auftragsverarbeitungsvertrag (AVV). Verweisen Sie auf den Vertrag; im Fragebogen werden keine Bedingungen ausgehandelt.
• Irgendetwas über einen Lieferanten, dessen Unterlagen Sie nicht gelesen haben. Wenn die Sicherheitsseite Ihres Hosting-Dienstleisters die Quelle ist, zitieren Sie sie und nennen Sie sie.

Wo die ehrliche Antwort „nein“ oder „noch nicht“ lautet, sagen Sie das, mit der Ausgleichsmaßnahme und einem datierten Plan. Einkaufsabteilungen lehnen Vagheit weit öfter ab als eine dokumentierte Lücke.

Wer genehmigt

Jede Antwort, die das Unternehmen verlässt, wird von einer namentlich benannten Person genehmigt, die befugt ist, diese Zusicherung abzugeben — jemand aus dem Gründungsteam, die technische Leitung, wer immer für Sicherheit verantwortlich ist. Den Entwurf kann jede Person schreiben, auch ein Werkzeug; die Genehmigung nicht. Halten Sie zu jeder Antwort fest, wer sie wann genehmigt hat, bewahren Sie die endgültige Datei auf, die Sie verschickt haben, und behandeln Sie sie als eine Version Ihres Bestands. Ändert sich danach ein Fakt — ein neuer Unterauftragsverarbeiter, eine verlegte Region —, ändert sich der Bestand, und Sie wissen, welchem Kunden was mitgeteilt wurde.

So macht es Maditon

Maditon behandelt einen Fragebogen als Dokument, das aus einem Bestand an Angaben beantwortet wird, nicht als Formular zum Abtippen. Sie laden die Datei des Kunden hoch — XLSX, DOCX, CSV oder PDF —, Maditon behält Kennungen, Abschnitte und Reihenfolge der Fragen bei und entwirft dann eine Antwort auf jede Frage, die es aus Ihrem Compliance-Profil, Ihrem Lieferantenregister, Ihren Systemen und Diensten und Ihren früher genehmigten Antworten beantworten kann, jeweils mit Quelle. Eine Frage, die sich aus dem Bestand nicht beantworten lässt, wird mit Eingabe nötig markiert, nie geraten. Dokumente, die Sie als vertraulich markiert haben, werden nie für Entwürfe verwendet; der Arbeitsbereich zeigt Ihnen, wenn ein Lieferant oder System, auf das Sie sich stützen, ein solches Dokument hat, damit Sie diese Vereinbarung selbst prüfen. Nichts geht hinaus, bevor eine namentlich benannte Person es genehmigt hat, Frage für Frage, und genehmigte Antworten werden im Dateiaufbau des Kunden exportiert.

Lesen Sie Wie beantworte ich den Sicherheitsfragebogen eines Kunden mit Maditon? und Was ist ein vertrauliches Dokument in Maditon, und wie wird es geschützt?, oder laden Sie den Fragebogen, der gerade wartet, in der App hoch.