sie fragen nach unserem vollständigen Sicherheitskonzept als Dokument

Die vollständige Richtliniendokumentation zu teilen ist normalerweise nicht erforderlich

Nein, in den meisten Fällen ist das nicht erforderlich, und das ist auch nicht das, was der Kunde tatsächlich wissen möchte. Eine Frage wie "Senden Sie Ihre Sicherheitsrichtlinie" ist fast immer eine Übersetzung von etwas Spezifischerem: Der Kunde möchte wissen, ob es eine Richtlinie für die Risikoanalyse gibt, ob es ein Verfahren für Zwischenfälle gibt, oder ob der Zugang ordnungsgemäß geregelt ist. Das sind die zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2, und die gleiche Unterteilung finden Sie in den Maßnahmen der Anlage A der ISO/IEC 27001. Ein Fragebogen, der "vollständige Richtlinie" verlangt, unterteilt dies normalerweise auch in Unterfragen — überprüfen Sie daher zunächst, ob dies der Fall ist, bevor Sie ein vollständiges Dokument hochladen.

Das Risiko beim Versand eines ganzen Richtliniendokuments ist nicht rechtlich, sondern praktisch: Es enthält oft mehr als der Kunde braucht — Namen von Tools, interne Verfahren, Kontaktdaten von Personal. Wer es lieber vorzieht, pro Frage zu antworten, anstatt ein Dokument zu teilen, kann dies mit der Vertraulichlichtsschaltfläche auf das beschränken, was wirklich verlangt wird. Wenn die Frage sich auf ein Teilthema bezieht, ist die Antwort oft bereits an anderer Stelle zu finden: oder die Zugangsrichtlinie ist dokumentiert, oder es gibt ein Verfahren für Zwischenfälle, oder es wird regelmäßig überprüft. Das ist normalerweise konkreter zu beantworten als mit einem vollständigen Dokument.

Woher dies folgt: Artikel 21 Absatz 2 und Anhang A

Artikel 21 Absatz 2 der NIS2 nennt zehn konkrete Maßnahmen — Risikoanalyse, Handhabung von Zwischenfällen, Geschäftskontinuität, Schwachstellen-Management, Zugangsrichtlinie und mehr — ohne zu verlangen, dass eine dritte Partei das zugrunde liegende Dokument selbst einsieht. ISO/IEC 27001 Anlage A arbeitet mit der gleichen Logik: Die Maßnahmen sind pro Bereich auditierbar, nicht als ein unteilbares Richtliniendokument. Bedenken Sie auch, dass die Frage, ob das eigene Unternehmen unter NIS2 oder die nationale Umsetzung fällt getrennt davon ist, was ein Kunde in einem Fragebogen verlangt — diese beiden Dinge werden häufig verwechselt.