Lieferkette

Lieferantenfragebogen zur Informationssicherheit.

Der Fragebogen Ihres Auftraggebers ist da — oder er kommt. Was wird wirklich gefragt, was erwartet Ihr Auftraggeber, und wie antworten Sie ehrlich und belastbar?

Warum Lieferantenfragebögen zunehmen

ISO 27001 und NIS2 kommen in der Lieferkette an.

Unternehmen, die selbst ISO 27001-zertifiziert sind oder unter NIS2 fallen, sind zunehmend verpflichtet, Sicherheitsanforderungen an ihre Lieferanten weiterzugeben. Das geschieht in der Praxis über Fragebögen, Vertragsklauseln und Auditrechte — und trifft IT-Dienstleister, Softwareanbieter, Subunternehmer und viele andere, oft schneller als erwartet. Die Frage ist nicht mehr ob — sondern wie vorbereitet man ist, wenn es passiert.

Was typischerweise gefragt wird

Die Themen wiederholen sich — die Tiefe variiert.

Lieferantenfragebögen sind nicht einheitlich, aber die Kernthemen sind bekannt: Zugriffsmanagement, Datensicherung, Incident Response, Umgang mit Subunternehmern, physische Sicherheit, Datenschutz, Verschlüsselung, Netzwerksicherheit. Manchmal reicht eine strukturierte Selbstauskunft. Manchmal werden konkrete Nachweise oder Zertifikate verlangt. Was in Ihrem konkreten Fall gilt, lässt sich nur anhand des tatsächlichen Fragebogens klären.

Themenbereiche

Was in den meisten Fragebögen vorkommt.

Zugriffsmanagement

Rechtevergabe, Passwortrichtlinien, privilegierte Accounts, Multi-Faktor-Authentifizierung.

Datensicherung & Wiederherstellung

Backup-Häufigkeit, Speicherorte, Wiederherstellungstests, Recovery Time Objectives.

Incident Response

Vorfallerkennungs- und Meldeprozesse, Eskalationswege, Benachrichtigungspflichten gegenüber dem Auftraggeber.

Subunternehmer

Welche Drittanbieter haben Zugriff auf relevante Daten oder Systeme? Wie werden diese geprüft?

Physische Sicherheit

Zutrittskontrolle zu Serverräumen und Büros, Clean Desk Policy, Umgang mit Hardware.

Datenschutz & Verschlüsselung

Umgang mit personenbezogenen Daten, Transportverschlüsselung, Verschlüsselung ruhender Daten.

Wie man antwortet

Ehrlich, konkret — und nicht mehr als nötig.

Ein häufiger Fehler: Fragebögen werden entweder übertrieben positiv beantwortet (was im Audit schiefgeht) oder übertrieben negativ (was unnötig Vertrauen kostet). Was Auftraggeber tatsächlich erwarten, ist ein realistisches Bild Ihrer Sicherheitslage — und bei Lücken: einen erkennbaren Plan. Kein Auftraggeber erwartet Perfektion. Glaubwürdigkeit und Transparenz zählen mehr als eine makellose Selbstauskunft.

Wenn strukturelle Lücken bestehen

Nicht verschweigen — aber auch nicht überdramatisieren.

Wenn Ihr aktueller Stand wirklich nicht gut ist, ist das der Ausgangspunkt — kein Grund zur Panik. Es geht nicht darum, einen perfekten Zustand zu behaupten, den es nicht gibt. Es geht darum, ehrlich zu kommunizieren wo man steht, und einen glaubwürdigen Weg zur Verbesserung aufzeigen zu können. Den helfen wir Ihnen zu entwickeln — und in den Fragebogen zu übersetzen.
Zur Lieferanten-Readiness →

Häufige Fragen zum Lieferantenfragebogen

Die häufigsten Themen: Zugriffsmanagement, Datensicherung und Wiederherstellung, Incident Response, Umgang mit Subunternehmern, physische Sicherheit, Datenschutz und Verschlüsselung. Ob Nachweise verlangt werden oder eine Selbstauskunft reicht, hängt vom konkreten Auftraggeber ab.
In den meisten Fällen nicht. Die meisten Fragebögen fragen nach dem Stand Ihrer Sicherheitsmaßnahmen — nicht nach einem Zertifikat. Eine Zertifizierung kann gefordert werden, ist aber eher die Ausnahme. Was tatsächlich erwartet wird, klären wir gemeinsam anhand Ihres konkreten Fragebogens.
Ehrlich kommunizieren und einen glaubwürdigen Plan haben. Auftraggeber wissen, dass niemand perfekt aufgestellt ist. Was sie erwarten, ist Transparenz über den aktuellen Stand und erkennbarer Wille zur Verbesserung — keine geschönte Selbstauskunft, die im Audit auseinanderfällt.
Eine begleitete Fragebogen-Bearbeitung ist in der Regel innerhalb weniger Wochen abgeschlossen. Wenn strukturelle Lücken geschlossen werden müssen, dauert es länger — ist aber deutlich schneller als eine vollständige ISO 27001-Einführung.

Fragebogen liegt vor — oder kommt bald?

Wir gehen ihn gemeinsam durch. Kostenloser Ersttermin, unverbindlich.

Kontakt aufnehmen →