Security-Fragebogen vom Kunden: So antworten KMU belastbar

Großkunden prüfen zunehmend die Sicherheit ihrer Lieferanten. Wer jeden Fragebogen neu und unter Zeitdruck beantwortet, produziert widersprüchliche Zusagen. Besser ist ein kleiner, gepflegter Evidenzbestand.

Zuerst den Scope klären

Bezieht sich die Frage auf das gesamte Unternehmen, den angebotenen Dienst oder eine bestimmte Umgebung? Werden Kundendaten verarbeitet, gespeichert oder nur übertragen? Ohne Scope sind Antworten wie „verschlüsselt“ oder „24/7 überwacht“ wertlos.

Die vier möglichen Antworten

Für jede Kontrolle gibt es mehr als Ja oder Nein:

• umgesetzt und mit Evidenz belegt
• teilweise umgesetzt, Ausnahme beschrieben
• kompensierende Maßnahme vorhanden
• nicht umgesetzt, mit akzeptiertem Maßnahmenplan

Ehrliche Präzision ist belastbarer als ein optimistisches Häkchen. Marketingbegriffe sollten vor Abgabe technisch geprüft werden.

Ein wiederverwendbares Trust-Paket

Pflege eine Übersicht zu Informationssicherheit, Datenschutzkontakten, Datenfluss, Hosting, Unterauftragnehmern, Zugriffskontrolle, Backup, Incident Response, Schwachstellenmanagement und unabhängigen Prüfungen. Sensible Nachweise werden nur nach Bedarf und geeigneter Vertraulichkeitsregelung geteilt.

Wer freigeben sollte

IT liefert technische Fakten, Datenschutz und Recht prüfen ihre Bereiche, die Geschäftsführung akzeptiert wesentliche Zusagen. Eine zentrale Person versioniert Antworten und Ausnahmen. So wird aus Fragebogenarbeit ein Verbesserungsprozess statt Sales-Blockade.

Der IT-Sicherheits-Check zeigt, welche Themen zuerst Evidenz brauchen. Bei einem bevorstehenden Enterprise-Deal hilft zusätzlich der Founder-Check.