Das Infosec-Compliance-Dossier: Sicherheitsfragen Ihrer Kunden belegt beantworten
In Lieferanten- und Sicherheitsfragebögen haken Kunden regelmäßig nach: Wie regeln Sie Zugriffsrechte, Backups, Notfallpläne und den Umgang mit Dienstleistern? Fallen Ihre Kunden unter NIS-2, verlangt das Gesetz von ihnen, die Sicherheitsrisiken in ihrer Lieferkette zu steuern – Lieferantenfragebögen sind ihr Werkzeug dafür. Das Infosec-Compliance-Dossier liefert Ihnen saubere, strukturierte Antworten – sofort einsatzbereit, ganz ohne teures Zertifizierungsaudit.
- Abgeleitet aus echten Fragebögen: Grundlage sind über 2.000 Fragen aus 27 Quellen, darunter BSI C5, VDA ISA, CSA CAIQ und die NIS-2-Lieferkettencheckliste des BSI. Das Dossier deckt ab, was Kunden tatsächlich fragen.
- 15 Kernunterlagen, modular auf Ihre Arbeit abgestimmt: von der Sicherheitsleitlinie über Zugriffs- und Notfallkonzepte bis hin zum fertigen Q&A-Katalog. Zusatzmodule decken Spezialthemen wie Softwareentwicklung, IT/Cloud-Betrieb, den eigenen Serverraum oder den Einsatz vor Ort beim Kunden ab.
- Belegt statt behauptet: Jede Antwort ist durch eine konkrete Unterlage hinterlegt. Fehlt eine Unterlage, erstelle ich diese gemeinsam mit Ihnen – damit aus einer offenen Frage ein belegbarer Nachweis wird.
- Bereit zur Übernahme: Sie erhalten Antworten und Unterlagen als Excel- und Word-Dateien, die Ihre IT in Ihre Antwortsammlung, Ihr Wiki oder Ihre Compliance-Plattform übernehmen kann.
- Erster Schritt zur Zertifizierung: Die Unterlagen fließen in ein späteres ISMS nach ISO/IEC 27001 ein.
Wann Sie das Dossier brauchen
Das Dossier lohnt sich, sobald ein Kunde wissen will, wie Sie Ihre Informationssicherheit organisieren. Typische Anlässe:
- Ein Kunde schickt einen Lieferanten- oder Sicherheitsfragebogen vor der Beauftragung oder zur jährlichen Lieferantenbewertung.
- Ein Kunde fällt unter NIS-2 und vereinbart mit Ihnen Sicherheitsanforderungen für die Lieferkette.
- Ein Kunde aus der Automobilindustrie verlangt eine Selbstauskunft nach VDA ISA.
- Eine Ausschreibung verlangt Nachweise zur Informationssicherheit.
- Sie betreiben IT- oder Cloud-Dienste für Kunden, und diese fragen nach Kriterien wie BSI C5.
- Ihre Geschäftsführung will selbst wissen, wo das Unternehmen bei der Informationssicherheit steht.
Beispiele für Fragen zur Informationssicherheit
Die folgenden Fragen gehören zu den häufigsten in Lieferanten- und Sicherheitsfragebögen. Zu jeder liefert das Dossier eine Antwort und die passende Unterlage.
| Frage | Beleg im Dossier |
|---|---|
| Gibt es ein ISMS nach einem anerkannten Standard, und deckt es die Leistung für uns ab? | Sicherheitsleitlinie und Organisation, Nachweismappe |
| Werden Zugriffsrechte nach dem Need-to-know-Prinzip vergeben und regelmäßig überprüft? | Zugriffs- und Berechtigungskonzept |
| Gibt es Passwortregeln und eine Mehr-Faktor-Authentifizierung? | Zugriffs- und Berechtigungskonzept |
| Ist das Netz segmentiert und durch Firewalls geschützt? | Technische Schutzmaßnahmen |
| Werden Daten bei der Übertragung verschlüsselt? | Technische Schutzmaßnahmen |
| Werden Schwachstellen nach Risiko bewertet und Patches fristgerecht eingespielt? | Betriebsverfahren |
| Werden regelmäßig unabhängige Penetrationstests durchgeführt? | Nachweismappe, Maßnahmenplan |
| Werden Daten gesichert, und wird die Wiederherstellung getestet? | Datensicherung und Notfallmanagement |
| Informieren Sie uns innerhalb fester Fristen über Sicherheitsvorfälle? | Vorfallmanagement |
| Wie prüfen Sie Ihre eigenen Dienstleister? | Lieferanten und Dienstleister |
Die 15 Kernunterlagen
Diese Unterlagen braucht jedes Unternehmen, das Sicherheitsfragen seiner Kunden belegt beantworten will.
| Unterlage | Inhalt |
|---|---|
| Sicherheitsleitlinie und Organisation | Legt den Geltungsbereich fest, enthält die von der Geschäftsführung freigegebene Leitlinie und benennt Rollen und Zuständigkeiten mit Ansprechpartnern und Notfallkontakt. |
| Inventar und Klassifizierung | Erfasst Hardware, Software, Daten und Dienste mit Verantwortlichen und Verarbeitungsland und ordnet jedem Eintrag einen Schutzbedarf zu. |
| Risikobewertung | Bewertet die Risiken für die Informationssicherheit mit Maßnahmen und Restrisiko und legt fest, wann die Bewertung wiederholt wird. |
| Sicherheitsregeln für Beschäftigte | Regelt die Nutzung von Geräten, E-Mail und Internet, das Arbeiten im Homeoffice, die Bildschirmsperre und den Meldeweg für Auffälligkeiten. |
| Zugriffs- und Berechtigungskonzept | Regelt Konten, Passwörter und Mehr-Faktor-Authentifizierung, die Vergabe von Rechten nach Bedarf, ihren Entzug und ihre regelmäßige Überprüfung. |
| Technische Schutzmaßnahmen | Beschreibt Netzplan und Firewalls, Schutz vor Schadsoftware und Phishing, Angriffserkennung, Härtung, Verschlüsselung und die Verwaltung der Endgeräte. |
| Betriebsverfahren | Legt fest, wie Änderungen geplant, Schwachstellen bewertet und Patches mit Fristen eingespielt werden. |
| Datensicherung und Notfallmanagement | Beschreibt Umfang, Häufigkeit und getrennte Lagerung der Datensicherung, Wiederherstellungstests und das Vorgehen im Notfall. |
| Vorfallmanagement | Legt fest, wer bei einem Sicherheitsvorfall was tut, wie Vorfälle eingestuft werden und wann und wie Kunden informiert werden. |
| Lieferanten und Dienstleister | Führt Ihre Dienstleister mit Aufgaben, Daten und Ländern und hält fest, wie Sie diese vor der Beauftragung und regelmäßig prüfen. |
| Personal | Regelt die Verpflichtung auf Vertraulichkeit, den Schulungsplan mit Teilnahmenachweisen und die Rückgabe von Geräten beim Austritt. |
| Physische Sicherheit | Regelt Zutritt zu Büros und Serverräumen, Schlüssel und Besucher sowie die sichere Löschung und Vernichtung von Datenträgern. |
| Nachweismappe | Sammelt vorhandene Zertifikate, Prüfberichte und interne Audits mit ihrem Geltungsbereich an einer Stelle. |
| Maßnahmenplan | Führt offene Punkte mit Verantwortlichem und Zieltermin und macht aus einem kritischen „Nein“ ein belegbares „Geplant bis …“. |
| Q&A-Katalog | Beantwortet die üblichen Sicherheitsfragen in Kundenfragebögen auf Deutsch und Englisch und verweist bei jeder Antwort auf die zugehörige Unterlage. |
Die vier Zusatzmodule
Je nach Tätigkeit Ihres Unternehmens fragen Kunden zusätzlich nach Spezialthemen. Diese decken die Zusatzmodule ab.
| Zusatzmodul | Wann es nötig ist und was es enthält |
|---|---|
| Sichere Entwicklung und Produktsicherheit | Wenn Sie Software oder digitale Produkte entwickeln oder liefern: sicherer Entwicklungsprozess, Tests, Schutz von Webanwendungen und Schnittstellen, Trennung von Entwicklungs-, Test- und Produktivumgebung. |
| Betrieb von IT- und Cloud-Diensten | Wenn Sie IT- oder Cloud-Dienste für Kunden betreiben: Architektur und Datenflüsse, Trennung der Kundendaten, Zugriff Ihres Personals auf Kundendaten, Schlüsselverwaltung, Redundanz und Verfügbarkeit. |
| Serverraum und Rechenzentrum | Wenn Sie einen eigenen Serverraum oder ein eigenes Rechenzentrum betreiben: Strom, Kühlung und Netz, Schutz gegen Feuer und Wasser, Wartungs- und Testprotokolle. |
| Arbeit bei Kunden | Wenn Ihre Beschäftigten auf Systeme oder Räume Ihrer Kunden zugreifen: Regeln für den Zugriff, Liste der berechtigten Personen, Verhalten vor Ort. |
Häufige Fragen
Wir sind nach ISO 27001 zertifiziert. Brauchen wir das Dossier trotzdem?
Dann ist der Aufwand deutlich kleiner. Die meisten Nachweise liegen in Ihrem ISMS bereits vor. Das Dossier ordnet sie den Fragen Ihrer Kunden zu, schließt Lücken, etwa bei Standorten oder Leistungen außerhalb Ihres Geltungsbereichs, und liefert den Q&A-Katalog auf Deutsch und Englisch. So beantworten Sie Fragebögen schneller und einheitlich.
Akzeptieren Kunden eine Selbstauskunft ohne Zertifikat?
Ob ein Kunde Ihre Antworten akzeptiert, entscheidet der Kunde. Das Dossier liefert, was Einkäufer bei Lieferantenbewertungen am höchsten bewerten: eine Antwort mit nachvollziehbarem Beleg. Wo eine Antwort heute „Nein“ lautet, zeigt der Maßnahmenplan, bis wann und durch wen die Lücke geschlossen wird. Verlangt ein Kunde ausdrücklich ein Zertifikat, ist das Dossier der erste Schritt zu einem ISMS nach ISO/IEC 27001.
Erfüllen wir mit dem Dossier die Pflichten aus NIS-2?
Nein, nicht allein. Das Dossier beantwortet die Fragen Ihrer Kunden. Fällt Ihr Unternehmen selbst unter NIS-2, verlangt § 30 BSIG ein dauerhaft betriebenes Risikomanagement mit Meldewegen, Schulung der Geschäftsleitung und regelmäßiger Überprüfung. Viele Unterlagen des Dossiers sind dafür eine gute Grundlage, ersetzen den laufenden Betrieb aber nicht. Wie Sie NIS-2 auf Basis eines bestehenden ISO-9001-Systems umsetzen, beschreibt das Whitepaper „NIS-2 auf Basis von ISO 9001 umsetzen“.
Wie viel Arbeit kommt auf unsere IT zu?
Mehr als beim KI-Compliance-Dossier, denn die meisten Antworten liegen bei der IT oder Ihrem IT-Dienstleister. Den Großteil der Arbeit übernehme ich: Ich sammle vorhandene Unterlagen, führe kurze Interviews zu den einzelnen Themen und schreibe die Unterlagen. Ihre IT prüft die Ergebnisse. Den genauen Umfang nennt das schriftliche Angebot.
Was kostet das Dossier, und wann liegt es vor?
Nach dem Erstgespräch erhalten Sie ein schriftliches Angebot mit Festpreis und Termin. Der Preis hängt davon ab, wie viel Sicherheitsdokumentation bereits vorhanden ist und welche Zusatzmodule Ihre Tätigkeit erfordert.
Wir brauchen auch das KI-Compliance-Dossier. Was dann?
Beide Dossiers haben mehrere gemeinsame Unterlagen, etwa Inventar, Risikobewertung, Rollen, Schulungsplan, Maßnahmenplan und Q&A-Katalog. Buchen Sie beide, erstelle ich diese Unterlagen einmal für beide Dossiers und berechne sie nur einmal.
Gehören Datenschutz und Verträge dazu?
Nein. Fragen zu Auftragsverarbeitung, Verarbeitungsverzeichnis oder Löschkonzept beantwortet der Q&A-Katalog mit einem Verweis auf Ihre Datenschutzunterlagen und Ihren Datenschutzbeauftragten. Vertragsklauseln, etwa zu Auditrechten oder Haftung, prüft Ihre Rechtsberatung; Rechtsberatung gehört nicht zum Dossier.
In welcher Sprache erhalten wir die Antworten?
Den Q&A-Katalog erhalten Sie auf Deutsch und Englisch, damit Sie auch Fragebögen auf Englisch ohne Übersetzungsaufwand beantworten können.
Warum muss das Infosec-Compliance-Dossier jährlich aktualisiert werden?
Vier Faktoren ändern sich laufend und erfordern eine jährliche Überprüfung:
- Neue Systeme und Dienstleister: zusätzliche Software, neue Cloud-Dienste und geänderte Verträge mit Dienstleistern.
- Neue Bedrohungen und Schwachstellen: Risikobewertung und Schutzmaßnahmen müssen zum aktuellen Stand passen.
- Neue Fragebogen-Fassungen: Gängige Kataloge wie BSI C5 oder VDA ISA erscheinen regelmäßig in neuen Fassungen.
- Personalwechsel: Neue Beschäftigte brauchen Verpflichtung und Schulungsnachweise.
Die jährliche Aktualisierung der Unterlagen biete ich als separat buchbares Jahrespaket an.
Kostenloses Whitepaper: „NIS-2 auf Basis von ISO 9001 umsetzen“ – für Unternehmen mit bestehendem Qualitätsmanagement
Kontakt
Schicken Sie mir den Fragebogen, der bei Ihnen liegt, oder schreiben Sie kurz, worum es geht. Ich melde mich mit einem Terminvorschlag für das Erstgespräch. Auf Wunsch schließen wir vorher eine Vertraulichkeitsvereinbarung.