jeder Kunde schickt andere Fragensammlung, wie behalte ich das im Überblick

Ein Kettendossier, zehn feste Bausteine

Die Lösung liegt nicht darin, immer mehr Formate zu verwalten, sondern eine untergeordnete Struktur zu bewahren, die unter jedem Format gleich bleibt. Jeder Kunde verpackt seine Frageliste anders – der eine nennt es "supplier security assessment", der andere "third party risk questionnaire" – aber der Inhalt fällt fast immer auf die zehn Maßnahmen des Artikels 21 Absatz 2 NIS2 oder auf die Kontrollmaßnahmen von Anlage A der ISO/IEC 27001 zurück, wenn der Kunde diesen Standard als Grundlage nutzt. Risikopolitik, Reaktion auf Vorfälle, Geschäftskontinuität, Kettenbeveiliging, Schwachstellenmanagement: diese zehn Themen erscheinen unter wechselnden Überschriften, in wechselnder Reihenfolge, mit wechselnder Bewertung (ja/nein, 1–5, Textfeld). Wer seine Antworten pro Thema statt pro Kundenformat festhält, muss bei einer neuen Liste nur noch erkennen, welche Überschrift zu welchem Thema gehört – nicht die Antwort neu formulieren.

In der Praxis bedeutet dies, dass Sie pro Baustein einmal eine gute Antwort schreiben, mit dem Beweismittel dazu, und diese Antwort dann wiederverwenden. Für der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen ist dies oft ein Richtliniendokument plus ein Screenshot der Rechtestruktur; für die Überprüfung von Sicherheitsmaßnahmen nach Verfahren ist dies der letzte interne Auditbericht. Sobald dieses Dossier vollständig ist, ist eine neue Kundenfrageliste vor allem Erkennen und Kopieren, nicht erneutes Ermitteln.

Warum die zehn Maßnahmen der gemeinsame Nenner sind

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt zehn Kategorien von Maßnahmen, die eine Einheit ergreifen muss – von Risikoanalysepolitik bis Kryptografie bis menschliches Verhalten – und diese Liste ist in der Praxis die Grundlage, auf der die meisten Einkaufsfragelisten von Kunden aufgebaut sind, auch wenn der Kunde selbst nicht auf NIS2 verweist. ISO/IEC 27001 Annex A deckt weitgehend dieselben Themen mit mehr Detail pro Maßnahme ab, was erklärt, warum ein Format, das auf das eine Rahmenwerk verweist, ohne großen Aufwand auf das andere übertragen werden kann.