Wie lange dauert es, einen Cybersicherheitsfragebogen auszufüllen?
Es gibt keine vorgeschriebene Frist für das Ausfüllen eines Cybersicherheitsfragebogens. Die Durchlaufzeit in der Praxis ist sehr unterschiedlich: von einem halben Tag, wenn die Antworten bereits vorliegen, bis zu mehreren Wochen, wenn Informationen zunächst bei verschiedenen Kollegen eingeholt werden müssen. Der Unterschied liegt selten im Fragebogen selbst, sondern darin, wie viel der Antwort bereits irgendwo dokumentiert ist.
Der meiste Verzug entsteht nicht beim Beantworten der Fragen, sondern beim Finden der richtigen Person im Unternehmen und beim Prüfen, ob ein Nachweis noch gültig ist. Wer das weiß, kann seine eigene Durchlaufzeit besser einschätzen als jemand, der nur auf den Fragebogen selbst schaut.
Was die Durchlaufzeit bestimmt
Drei Faktoren bestimmen in großem Maße, wie schnell ein Cybersicherheitsfragebogen fertiggestellt ist. Erstens: Ist dies das erste Mal, dass Ihr Unternehmen einen solchen Fragebogen erhält, oder haben Sie ähnliche Fragen bereits einmal für einen anderen Kunden beantwortet? Unternehmen, die zum ersten Mal mit diesen Fragen konfrontiert werden, müssen intern klären, wer welche Antwort geben kann. Zweitens: Liegen die zugrunde liegenden Nachweise bereits vor, oder müssen sie noch bei einem IT-Dienstleister, einem Auditor oder dem eigenen Systemadministrator eingeholst werden? Drittens: Wer im Unternehmen darf die Antworten im Namen der Organisation bestätigen? Bei einem Einzelunternehmen ist das oft eine Person, bei einem größeren Unternehmen durchlaufen Fragen zu Zugriffskontrolle, Backups und Incident Response verschiedene Abteilungen.
Wo es in der Praxis häufig hakt
Der häufigste Verzug ist nicht inhaltlich, sondern organisatorisch: Eine Frage zur Passwortrichtlinie oder zu Zugriffsrechten wird an den IT-Administrator weitergeleitet, der die Frage erst Tage später bearbeitet, weil er nicht weiß, dass es eine Deadline gibt. Ein zweites häufiges Problem ist ein Nachweis, der inzwischen abgelaufen ist, wie eine Erklärung eines externen IT-Dienstleisters oder ein Überblick über getroffene Maßnahmen, der nicht mehr zur aktuellen Situation passt. Ein drittes Problem ist, dass jedes Kundenportal seine eigene Gliederung und Terminologie verwendet, weshalb dieselbe Antwort jedes Mal in einem etwas anderen Format umgeschrieben werden muss.
Viele dieser Verzögerungen lassen sich vermeiden, indem Nachweise und Antworten zentral dokumentiert werden, anstatt sie für jeden Fragebogen erneut zu sammeln. in der Wissensdatenbank nach Thema recherchiert zeigt, welche Themen am häufigsten abgefragt werden und welche Nachweise üblicherweise dazu gehören.
Was ein Cybersicherheitsfragebogen häufig fragt
Viele Kunden basieren ihren Fragebogen bewusst oder unbewusst auf den zehn Maßnahmen, die in der NIS2-Richtlinie genannt werden. NIS2 ist eine Europäische Richtlinie zur digitalen Sicherheit von Organisationen; die zehn Maßnahmen befassen sich unter anderem mit Zugriffskontrolle, dem Umgang mit Vorfällen, Backups und der Sicherheit von Lieferketten. Nicht jedes Unternehmen fällt selbst unter NIS2, aber viele Kunden, die darunter fallen, übersetzen diese Themen in den Fragebogen, den sie an ihre eigenen Lieferanten senden. Das erklärt, warum ähnliche Fragen bei verschiedenen Kunden zurückkommen, auch wenn Ihr Unternehmen selbst nicht direkt unter die Richtlinie fällt.
Was Sie selbst tun können
Die Durchlaufzeit wird vor allem kürzer, wenn bekannt ist, wer im Unternehmen welchen Bereich beantworten kann, und wenn Nachweise an einem zentralen Ort mit einem klaren Gültigkeitsdatum vorliegen. Das bedeutet nicht, dass jeder Fragebogen damit beim ersten Mal fertig ist: Jedes Portal stellt seine eigenen Fragen in seiner eigenen Reihenfolge, und ein Kunde kann immer um zusätzliche Informationen bitten. Was aber hilft, ist, dass Sie nicht bei jedem neuen Fragebogen wieder von vorne mit derselben Aufstellung von Maßnahmen und Nachweisen anfangen.
Um zu sehen, welche Themen für Ihre Situation relevant sind, können Sie in wenigen Fragen sehen, wo Sie stehen. Wer wissen möchte, wie ein System wie das von supplia.eu zu einer Antwort kommt, ohne dass jemand mitliest oder etwas bewertet, findet das auf der Seite erläutert woher die Informationen stammen.
Abschließend
Wie lange das Ausfüllen eines Cybersicherheits-Fragebogens dauert, hängt also hauptsächlich von der internen Vorbereitung ab, nicht vom Fragebogen selbst. Wenn Sie unsicher sind bezüglich einer spezifischen Frage eines Kunden oder darüber, was gesetzlich von Ihrem Unternehmen erwartet wird, konsultieren Sie bitte den Text der Richtlinie oder einen Juristen; supplia.eu gibt keine Bewertung einzelner Situationen ab. Für allgemeine Fragen zur Funktionsweise der Plattform finden Sie eine Übersicht auf der Seite mit häufig gestellten Fragen. Wenn Sie zunächst sehen möchten, ob Ihre Situation bei den Themen passt, die Abnehmer normalerweise fragen, kann der kostenlose Quick-Scan ein guter Ausgangspunkt sein.