Checkliste: auf Lieferanten- und Sicherheitsfragebögen vorbereitet sein
Für: Geschäftsleitung, IT und Vertrieb von Zulieferern
Aktualisiert: 2026-11
Wer Sicherheitsfragebögen von Kunden erhält, sollte vorbereitet sein: eine verantwortliche Person, aktuelle Grundunterlagen zu Sicherheit und Datenschutz, eine Liste der eigenen Dienstleister, Nachweise für Backups und Zugriffsschutz, eine Antwortbibliothek und eine klare Regel, wie mit Lücken umgegangen wird.
Seit NIS2 und DORA müssen viele Unternehmen die Sicherheit ihrer Lieferanten nachweisen. Die Fragebögen ähneln sich stark, auch wenn jeder Kunde sein eigenes Format hat.
Wer die Grundlagen einmal sauber vorbereitet, beantwortet neue Fragebögen schnell und ehrlich.
Die Checkliste
- 01
Verantwortung festlegen
Eine Person koordiniert Fragebögen und hat Zugriff auf alle nötigen Informationen.
Erledigt, wenn: Die verantwortliche Person ist benannt und dem Vertrieb bekannt.
- 02
Grundunterlagen aktualisieren
Sicherheitsrichtlinie, Notfallplan, Datenschutzunterlagen und Berechtigungskonzept auf aktuellen Stand bringen.
Erledigt, wenn: Die Unterlagen tragen ein aktuelles Datum und stimmen mit der Praxis überein.
- 03
Eigene Dienstleister auflisten
Cloud-Dienste, Rechenzentren und IT-Dienstleister mit Standort und Verträgen erfassen.
Erledigt, wenn: Eine Liste der Unterauftragnehmer mit Speicherorten liegt vor.
- 04
Nachweise bereitstellen
Belege für Mehr-Faktor-Anmeldung, Backups, Updates und Zugriffsschutz sammeln, etwa Konfigurationsauszüge oder Testprotokolle.
Erledigt, wenn: Zu den häufigsten Fragen existiert ein konkreter Nachweis.
- 05
Antwortbibliothek anlegen
Standardantworten auf wiederkehrende Fragen formulieren und mit Nachweisen verknüpfen.
Erledigt, wenn: Die Bibliothek deckt die häufigsten Themen ab und ist allen Beteiligten zugänglich.
- 06
Umgang mit Lücken regeln
Festlegen, dass Lücken offen benannt und mit geplanten Massnahmen und Terminen beantwortet werden.
Erledigt, wenn: Die Regel ist dokumentiert, und geschönte Antworten sind ausgeschlossen.
Häufige Fehler
- —Antworten werden geschönt und später als vertragliche Pflicht festgeschrieben.
- —Verschiedene Personen beantworten ähnliche Fragen unterschiedlich.
- —Nachweise fehlen, obwohl die Massnahme eigentlich umgesetzt ist.
Was diese Checkliste nicht abdeckt
- —Die Checkliste ersetzt keine Prüfung, ob die beschriebenen Massnahmen tatsächlich wirksam sind.
- —Vertragliche Zusagen sollten vor Unterzeichnung rechtlich geprüft werden.
Übergeordnete Leistung: Cyber-Readiness & IT-Sicherheit
Passende Angebote
Sicherheitsfragebögen von Kunden beantworten
Grosse Kunden müssen nach NIS2 und DORA die Sicherheit ihrer Lieferanten prüfen und schicken dafür umfangreiche Fragebögen. Wir helfen, sie ehrlich und vollständig zu beantworten, die nötigen Nachweise zusammenzustellen und eine Antwortbibliothek aufzubauen, damit der nächste Fragebogen Stunden statt Tage dauert.
ISMS aufbauen nach ISO 27001
Ein ISMS nach ISO 27001 ist die solide Grundlage für NIS2, TISAX, Kundenanforderungen und eine mögliche Zertifizierung. Wir bauen es in der Grösse Ihres Unternehmens auf: Geltungsbereich, Risikoanalyse, Erklärung zur Anwendbarkeit, Richtlinien, Verantwortlichkeiten und internes Audit. Das Zertifizierungsaudit führt eine akkreditierte Stelle durch.
Häufige Fragen
Wie viel Zeit kostet ein Fragebogen ohne Vorbereitung?
Oft mehrere Tage verteilt auf verschiedene Personen. Mit einer Antwortbibliothek sinkt der Aufwand deutlich.
Was tun bei einer Frage, die wir nicht positiv beantworten können?
Ehrlich antworten und angeben, welche Massnahme bis wann geplant ist. Kunden schätzen Transparenz mehr als eine Lücke, die sie später selbst entdecken.
Weitere Checklisten
Checkliste: Cyberversicherung abschliessen, ohne die Deckung zu gefährden
Eine Cyberversicherung wird in sieben Schritten sauber abgeschlossen: Bedarf und Risiken klären, die Grundmassnahmen umsetzen, die der Versicherer verlangt, den Fragebogen ehrlich und von der IT geprüft beantworten, Deckung und Summen vergleichen, Ausschlüsse verstehen, die Notfallregeln in den Incident-Response-Plan übernehmen und die Nachweise aktuell halten.
Checkliste: MCP-Server und KI-Agenten absichern
Ein MCP-Server wird in sieben Schritten abgesichert: den Anwendungsfall eng begrenzen, minimale Rechte pro Werkzeug vergeben, eigene Zugangsdaten statt geteilter Konten nutzen, folgenreiche Aktionen an menschliche Freigaben binden, Inhalte aus fremden Quellen als Daten behandeln, alle Aufrufe protokollieren und neue Server über einen Freigabeprozess einführen.
Checkliste: einen ersten Business-Continuity-Plan erstellen
Ein erster Business-Continuity-Plan entsteht in sieben Schritten: kritische Prozesse bestimmen, die Auswirkungen eines Ausfalls bewerten, Wiederanlaufziele festlegen, Notverfahren für jeden kritischen Prozess beschreiben, Kontakte offline verfügbar machen, den Plan üben und ihn regelmässig aktualisieren.