wer muss den Fragebogen unseres Kunden hochladen

Wer den Knopf drückt, ist ein interner Prozess

Wer den Fragebogen hochlädt und einreicht, bestimmt Supplia nicht — das ist eine Entscheidung, die das Unternehmen selbst trifft, genau wie wer den Jahresabschluss unterzeichnet oder wer das Handelsregister führt. In der Praxis ist das meist derjenige, der die meisten Antworten bereits parat hat: bei einer Cybersicherheitsliste oft jemand mit IT- oder Compliance-Hintergrund, bei einer Nachhaltigkeitsliste oft der Qualitäts- oder Nachhaltigkeitsverantwortliche, und bei einer Liste von Versicherern oder Banken oft Finance. Supplia füllt die Antworten aus der Lieferkettendatei aus, aber die Bestätigung pro Antwort — ja oder nein — und die Einreichung beim Portal des Kunden bleiben eine Handlung des Unternehmens selbst.

Was für die Frage "wer" durchaus relevant ist, ist welcher Teil der Datei die Liste betrifft. Eine Liste, die vor allem fragt nach die Registrierungsnummer und die Betriebsstätte wird in der Regel schnell bestätigt von wem Zugriff auf die Datei hat, ohne dass ein Fachspezialist hinzugezogen werden muss. Eine Liste, die auf die zehn Maßnahmen von Artikel 21 Absatz 2 der NIS2-Richtlinie eingeht, oder auf die Annex-A-Kontrollmaßnahmen von ISO/IEC 27001, erfordert eher jemanden, der diese Antworten beurteilen kann, bevor er auf "ja" klickt. Das System erkennt die Fragen und schlägt die Antwort vor; die inhaltliche Überprüfung bleibt Handarbeit.

Warum das außerhalb des Umfangs von Supplia fällt

Supplia erklärt, zertifiziert und beurteilt nichts, und meldet sich niemals bei einem Portal eines Dritten an — die Einreichung beim Portal des Kunden ist und bleibt eine Handlung des Unternehmens selbst, ausgeführt von wem das Unternehmen dafür bestimmt. Das folgt nicht aus einem einzelnen Gesetzesortikel, sondern aus der Art der Plattform: es gibt kein Gütesiegel oder keine Genehmigung von Supplia, daher gibt es auch keine Rolle für Supplia darin, wer intern für die Einreichung verantwortlich ist. Wohl kann es praktisch sein, vorher zu bestimmen, wer welchen Teil bestätigt — zum Beispiel wer die Angaben über die Anzahl der Mitarbeiter überprüft und wer die Fragen zur KI-Nutzung beurteilt — damit nicht jede Liste von neuem Nachforschungsarbeit kostet.