Ein Cybersicherheitsfragebogen verlangt in der Regel eine feste Reihe von Nachweisen: eine Informationssicherheitsrichtlinie, einen Überblick darüber, wer Zugang zu welchen Systemen hat, einen Plan für den Fall, dass etwas schiefgeht, und den Nachweis, dass Sie dies auch wirklich testen. Konkret geht es oft um ein Richtliniendokument, eine Risikoanalyse, einen Notfallreaktionsplan, einen Bericht über einen kürzlichen Penetrationstest (einen kontrollierten Versuch, in Ihre Systeme einzudringen, um Schwachstellen zu finden), einen Überblick über Sicherungen und Wiederherstellungsverfahren und einen Nachweis, dass die Mitarbeiter eine Schulung zum Sicherheitsbewusstsein absolviert haben.
Das Detail, das bei dieser Art von Fragebogen am meisten zählt, ist nicht der Inhalt dieser Dokumente, sondern das Datum darauf. Eine Informationssicherheitsrichtlinie von vor drei Jahren, ein Pentestbericht ohne eindeutiges Ausstellungsdatum oder eine Schulungsübersicht, die nicht zeigt, wann die letzte Sitzung war: Das sind genau die Dinge, die ein Abnehmer ablehnt oder um Ergänzung bittet. Der Fragebogen selbst prüft oft nicht nur, ob eine Maßnahme existiert, sondern ob diese aktuell ist.
Warum das Datum so viel Gewicht erhält
Ein Cybersicherheitsfragebogen versucht, eine Momentaufnahme davon zu geben, wie ein Lieferant derzeit dasteht, nicht wie dieser vor zwei Jahren dastand. Ein vor zwei Jahren durchgeführter Penetrationstest sagt wenig über die Systeme aus, die seitdem aktualisiert oder ersetzt wurden. Ein Richtliniendokument, das seit einer Reorganisation nicht überarbeitet wurde, deckt die aktuelle Situation möglicherweise nicht mehr ab. Abnehmer, die selbst der Aufsicht unterliegen, etwa durch Vorschriften zur Netz- und Informationssicherheit, geben diese Erwartung von Aktualität oft an ihre eigenen Lieferanten weiter. Das erklärt, warum ein Portal manchmal explizit ein Gültigkeitsdatum neben dem Dokument selbst verlangt.
Für Unternehmen, die unter die NIS2-Richtlinie fallen, oder die mit einer Organisation zusammenarbeiten, auf die dies zutrifft, treten diese Nachweise häufig in einem festen Maßnahmenschema auf. Was diese Richtlinie genau verlangt und für wen, können Sie in der Wissensdatenbank nachlesen; dieser Artikel behandelt die Dokumente selbst, nicht den Anwendungsbereich der Regeln. der Wissensdatenbank mit Erläuterungen zu jedem Thema bietet dort einen Überblick.
Was Sie normalerweise liefern müssen und was nicht
Nicht jeder Abnehmer verlangt dieselbe Tiefe. Ein großer Kunde mit einer eigenen Einkaufsabteilung für Cybersicherheit verlangt manchmal den vollständigen Pentestbericht; ein kleinerer Kunde ist oft schon mit einer Zusammenfassung oder einer Erklärung zufrieden, dass getestet wurde und wann. Was Sie konkret freigeben müssen, hängt vom Portal und dem Fragebogen dieses spezifischen Abnehmers ab. Es ist nicht üblich, Quellcode, Passwortrichtlinien im Detail oder interne Netzwerkschemas freizugeben; diese Informationen gehören normalerweise nicht in einen Lieferantenfragebogen, und ein sorgfältiger Abnehmer verlangt sie auch nicht.
Ein Dossier, mehrere Fragebögen
Das Schwierige an diesen Dokumenten ist nicht, dass sie fehlen, sondern dass sie verstreut sind: die Richtlinie in der IT, die Schulungsübersicht in der Personalabteilung, der Pentestbericht bei der externen Partei, die den Test durchgeführt hat. Bei dem nächsten Fragebogen suchen Sie sie erneut zusammen und überprüfen erneut, ob die Daten noch korrekt sind. Ein zentrales Kettendossier speichert diese Dokumente und ihre Gültigkeitsdatum an einem Ort, sodass Sie bei einem neuen Fragebogen sehen, welche Antworten noch aktuell sind und welche einer Aktualisierung bedürfen. Supplia füllt auf dieser Grundlage die Fragen in der Liste Ihres Kunden aus; Sie bestätigen jede Antwort, und reichen selbst beim Portal Ihres Kunden ein.
Ob Ihr Unternehmen derzeit Dokumente vermisst, die häufig gefordert werden, sehen Sie schnell mit der kostenlosen Prüfung, die in wenigen Fragen zeigt, wo Sie stehen. Wie die Daten in einem solchen Dossier behandelt und geschützt werden, lesen Sie auf der Seite zu Datenschutz und Datensicherheit. Und wenn Sie wissen möchten, wie Supplia genau an die Antworten kommt, die es für Sie ausfüllt, wird das erläutert auf die Erläuterung zur Funktionsweise des Systems.
Für die Situation Ihres eigenen Unternehmens mit Ihren eigenen Systemen und Risiken bleibt ein Gespräch mit einem spezialisierten IT-Sicherheitsexperten oder Juristen die zuverlässigste Beratung. Dieser Artikel gibt einen Überblick über das, was häufig gefragt wird, keine Bewertung dessen, was in Ihrem Fall erforderlich oder ausreichend ist.
Möchten Sie sehen, welche Unterlagen in Ihrem eigenen Unternehmen bereits in Ordnung sind und welche eine Aktualisierung benötigen? Führen Sie den kostenlosen Quick-Scan durch oder blättern Sie durch die Themen in der Wissensdatenbank, um zu sehen, was für Ihre Situation relevant ist.