Viele KMU kennen die Situation: Ein wichtiger Kunde schickt einen Fragebogen mit hundert oder mehr Fragen zur Informationssicherheit, Frist zwei Wochen. Der Grund liegt meist nicht beim Lieferanten, sondern beim Kunden. Seit NIS2 in Deutschland im Dezember 2025 und in Österreich im Oktober 2026 in Kraft getreten ist und DORA im Finanzsektor seit Januar 2025 gilt, müssen viele Unternehmen die Sicherheit ihrer Lieferkette nachweisen.
Warum die Fragebögen kommen
NIS2 verlangt von erfassten Einrichtungen, die Sicherheit ihrer Lieferkette in ihr Risikomanagement einzubeziehen. DORA verpflichtet Finanzunternehmen, IKT-Dienstleister zu bewerten, in ein Register aufzunehmen und mit Mindestklauseln zu binden. Beides landet bei den Lieferanten als Fragebogen, als Vertragsanhang oder als Audit. Für Schweizer Lieferanten gilt NIS2 nicht als Gesetz, wohl aber über diese Verträge.
Die Themen wiederholen sich
Fragebögen unterscheiden sich im Format, kaum im Inhalt. Fast immer gefragt wird nach: Verantwortlichkeit für Informationssicherheit, Richtlinien, Zugriffskontrolle und Mehr-Faktor-Anmeldung, Verschlüsselung, Backups und deren Test, Schwachstellenmanagement und Updates, Protokollierung, Notfall- und Meldeprozess, Schulung der Mitarbeitenden, Unterauftragnehmer, Datenschutz und Speicherorte, Zertifizierungen. Wer diese zwölf Themen sauber beantwortet hat, deckt den grössten Teil jedes Fragebogens ab.
Ehrlichkeit zahlt sich aus
Die Versuchung ist gross, Fragen positiv zu beantworten, um den Auftrag nicht zu gefährden. Das ist gefährlich: Viele Kunden schreiben die Antworten als Zusicherung in den Vertrag. Im Vorfall wird aus einer geschönten Antwort ein Haftungsproblem. Besser ist eine ehrliche Antwort mit Plan: Diese Massnahme ist geplant, bis dann umgesetzt, verantwortlich ist diese Person. Erfahrene Einkäufer schätzen das mehr als makellose Antworten, die sie nicht glauben.
Eine Antwortbibliothek statt Einzelarbeit
Der wichtigste Hebel ist, Antworten nur einmal zu erarbeiten. Eine Bibliothek mit Standardantworten zu den wiederkehrenden Themen, verknüpft mit Nachweisen wie Richtlinien, Konfigurationsauszügen und Testprotokollen, macht aus Tagen Stunden. Wichtig ist, dass eine Person sie pflegt und dass sie mit der Praxis übereinstimmt.
Wann eine Zertifizierung hilft
Eine Zertifizierung nach ISO 27001 beantwortet viele Fragen auf einmal und wird von manchen Kunden ausdrücklich verlangt. Sie ist aber kein Muss. Wer regelmässig Fragebögen erhält, sollte prüfen, wie oft nach einem Zertifikat gefragt wird. Ab einer gewissen Häufigkeit spart die Zertifizierung mehr Zeit, als die Audits kosten.
So fangen Sie an
- Eine verantwortliche Person bestimmen.
- Die vorhandenen Unterlagen auf den aktuellen Stand bringen.
- Die zwölf Kernthemen einmal beantworten und mit Nachweisen hinterlegen.
- Lücken ehrlich erfassen und nach Häufigkeit in Fragebögen priorisieren.
- Jeden neuen Fragebogen nutzen, um die Bibliothek zu ergänzen.
Unsere Checkliste für Lieferantenfragebögen führt durch diese Schritte. Wenn ein Fragebogen ansteht, unterstützen wir mit dem Angebot Sicherheitsfragebögen beantworten; für eine solide Grundlage gibt es den ISMS-Aufbau nach ISO 27001.