Ein Fragebogen im Posteingang, Betreff: „Informationssicherheit in der Lieferkette“. Ihr wichtigster Auftraggeber möchte wissen, wie Sie Ihre IT absichern – bis wann Sie antworten, steht auch schon dabei. Was auf den ersten Blick nach lästiger Bürokratie aussieht, entscheidet zunehmend über Aufträge.
Warum plötzlich alle nachfragen
Größere Unternehmen sind verpflichtet, die Sicherheit ihrer Lieferkette zu prüfen. Wer selbst unter NIS2 fällt, muss nachweisen, dass auch seine Dienstleister und Zulieferer angemessene Schutzmaßnahmen umsetzen. Diese Anforderung reicht die Kette hinunter – bis zu Betrieben, die selbst gar nicht direkt reguliert sind.
Für Sie bedeutet das: Auch ohne eigene gesetzliche Pflicht kann IT-Sicherheit zur geschäftlichen Voraussetzung werden. Größere Unternehmen sind verpflichtet, die Sicherheit ihrer Lieferkette zu prüfen. Das BSI empfiehlt entsprechende Prüfprozesse ausdrücklich.
Was üblicherweise abgefragt wird
Die Fragebögen unterscheiden sich, aber bestimmte Themen tauchen fast immer auf:
- Zugriffskontrolle: Wer hat Zugriff auf welche Systeme? Gibt es Multi-Faktor-Authentifizierung?
- Backups: Wie oft wird gesichert, wo liegen die Sicherungen, wurde eine Wiederherstellung jemals getestet?
- Updates: Werden Sicherheitsupdates zeitnah eingespielt und dokumentiert?
- Notfallplan: Was passiert bei einem Angriff? Wer ist erreichbar, wer entscheidet?
- Mitarbeitersensibilisierung: Gibt es Schulungen zu Phishing und Social Engineering?
- Dienstleister: Wer betreut Ihre IT, und welche Vereinbarungen bestehen?
Der häufigste Fehler: raten statt prüfen
Viele Betriebe füllen solche Fragebögen aus dem Bauch heraus aus – „Backups machen wir schon irgendwie“. Das ist riskant: Wenn später ein Vorfall eintritt und sich zeigt, dass die Angaben nicht stimmten, kann das vertragliche Konsequenzen haben.
Besser ist es, vor dem Ausfüllen den tatsächlichen Ist-Stand zu klären. Oft stellt sich dabei heraus, dass mehr vorhanden ist als gedacht – es fehlt nur die Dokumentation.
In drei Schritten zur belastbaren Antwort
1. Bestandsaufnahme
Was ist tatsächlich im Einsatz? Welche Systeme, welche Schutzmaßnahmen, wer ist wofür zuständig?
2. Lücken schließen
Meist sind es wenige, konkrete Punkte: fehlende Multi-Faktor-Authentifizierung, ungetestete Backups, kein schriftlicher Notfallplan.
3. Dokumentieren
Was nicht dokumentiert ist, existiert im Zweifel nicht. Eine strukturierte Übersicht hilft nicht nur beim nächsten Fragebogen, sondern auch im Ernstfall.
Aus der Pflicht eine Chance machen
Solche Anfragen sind unangenehm, aber sie haben einen Nebeneffekt: Sie zwingen dazu, sich mit der eigenen IT-Sicherheit auseinanderzusetzen – etwas, das im Tagesgeschäft sonst gerne liegen bleibt.
Und wer beim nächsten Mal schnell und belegbar antworten kann, hat gegenüber Wettbewerbern einen Vorteil. Immer mehr Ausschreibungen setzen Sicherheitsnachweise voraus.
Fazit
Die Frage nach IT-Sicherheit ist kein Misstrauensvotum, sondern zunehmend Standard in der Zusammenarbeit. Wer vorbereitet ist, verliert dadurch keine Aufträge – sondern gewinnt Vertrauen.
Fragebogen auf dem Tisch und unsicher, wie Sie antworten sollen?
Wir erfassen mit Ihnen den Ist-Stand Ihrer IT-Sicherheit, schließen die wichtigsten Lücken und helfen bei der Dokumentation. Vereinbaren Sie ein kostenloses Erstgespräch.
