Das Ausfüllen dieses Sicherheitsfragebogens kostet mich jedes Mal viel zu viel Zeit

Immer die gleichen zehn Themen, in anderem Gewand

Das kommt fast immer auf dasselbe zurück: Jeder Kunde übersetzt die gleichen zehn Maßnahmen aus Artikel 21 Absatz 2 NIS2 in seine eigenen Worte und seine eigene Reihenfolge. Das eine Portal fragt "Haben Sie einen Prozess für die Reaktion auf Sicherheitsvorfälle", das andere "Beschreiben Sie Ihr Verfahren bei Sicherheitsvorfällen" — es ist die gleiche Frage wie gibt es ein Verfahren zur Behandlung von Sicherheitsvorfällen?. Ohne ein zentrales Dossier suchen Sie diese Antwort also zehn Mal pro Jahr neu auf, in zehn verschiedenen Formulierungen.

Der Zeitaufwand liegt nicht in der Beantwortung, sondern im Auffinden von Nachweisen. Welches Richtliniendokument, welche Version, welches Zertifikat — das Recherchieren und die Neuformulierung der Antwort nach dem Format dieses speziellen Kunden, das ist der ganze Tag. Fragen zu Mehrstufenauthentifizierung, über Zugangsrichtlinie und Asset-Management und zur Sicherheitsanforderungen an eigene Lieferanten tauchen in fast jeder Liste auf, nur anders gegliedert. Wer einmal pro Fragetyp festlegt, was die tatsächliche Antwort ist und wo der Nachweis zu finden ist, muss danach nur noch erkennen, welches der zehn Themen gemeint ist — und das ist Minutenarbeit, kein Tag.

Auf die gleichen zehn Maßnahmen zurückzuführen

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt die zehn Maßnahmen, auf die fast jede Security-Frageliste — ob von einer Bank, einem Versicherer oder einem großen Kunden — direkt oder indirekt zurückgreift: von Risikomanagement und Incident Response bis Kryptografie und Zugangsschutz. Wer ISO/IEC 27001 anwendet, erkennt diese Themen in den Sicherheitsmaßnahmen von Annex A wieder, was erklärt, warum eine Frageliste über "Informationssicherheit" und eine über "NIS2-Compliance" zum großen Teil die gleichen Fakten abfragen. Das niederländische Cybersicherheitsgesetz, das diese Richtlinie bis zum 15. August 2026 umsetzt, ändert diese Grundstruktur nicht — die Fragen, die Kunden jetzt schon stellen, bleiben also zum großen Teil nach diesem Termin die gleichen Fragen.