Beantworten Sie einen NIS2-Fragebogen, ohne zu viel zu versprechen

Ein NIS2-Fragebogen ergibt sich aus der Lieferkettenpflicht Ihres Kunden gemäß Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie, der EU-Richtlinie zur Cybersicherheit, die jeder Mitgliedstaat durch eigenes Recht umsetzt und als Pflicht an Sie als Anbieter weitergibt. Die Antworten zu Vorfallmeldungen, Audits, Schwachstellen, Unterauftragnehmern und Ausstiegsregelungen können Bestandteil Ihres Vertrags werden, weil ein Erwägungsgrund der Richtlinie Kunden im Anwendungsbereich dazu anhält, Sicherheitsmaßnahmen in ihre Verträge mit Anbietern aufzunehmen. Antworten Sie im Hinblick auf die Pflicht Ihres Kunden, nicht so, als müssten Sie Ihre eigene Compliance nachweisen. Kennzeichnen Sie die Antworten, die für Sie verbindlich werden, damit ein einziger Nachweissatz für jeden Kunden genutzt werden kann, ohne zu viel zu versprechen. Die Arbeit umfasst sechs Phasen: Pflicht ermitteln, Nachweissatz erstellen, Vertragsbedingungen kennzeichnen, über Ihr Risiko hinausgehende Anforderungen eingrenzen, Freigaben einholen und Nachweise aktuell halten.

Was Sie vor dem Start benötigen

Stellen Sie die Dokumente zusammen, die zusammen mit Ihren Antworten eingereicht werden, bevor jemand mit dem Entwurf beginnt. Denn einige dieser Antworten werden im anschließenden Vertrag zu verbindlichen Zusagen.

• Der Fragebogen mit einem etwaigen Begleitschreiben zum Anlass der Zusendung: ein neuer Vertrag, eine Vertragsverlängerung oder eine regelmäßige Überprüfung.
• Der zugehörige Vertragsentwurf, das SLA oder die Sicherheitsanlage.
• Eine kurze Beschreibung des betreffenden Service und eine namentlich benannte Kontaktperson für Sicherheitsfragen.
• Aktuelle Nachweise: Zertifikate und deren Geltungsbereich, die zugrunde liegenden Sicherheitsrichtlinien, aktuelle unabhängige Auditberichte und die Zusammenfassungen von Sicherheitstests, die Sie extern weitergeben.
• Die Unterauftragnehmer hinter diesem Service und die Aufgaben, die jeder von ihnen übernimmt.

Die Leistungsbeschreibung und die Kontaktstelle sind wichtiger, als es zunächst scheint. Kunden, für die die Durchführungsverordnung (EU) 2024/2690 gilt, also die nachfolgend beschriebenen Vorschriften für digitale Anbieter, müssen ein Register ihrer direkten Anbieter führen. Darin sind für jeden Anbieter die Kontaktstelle sowie die von ihm bereitgestellten IKT-Produkte, -Dienstleistungen und -Prozesse zu erfassen. Was Sie hier eintragen, wird in deren Register übernommen.

Drei Personen tragen die Verantwortung für die Antwort. Als Bid-Manager steuern Sie den Prozess, geben die Antwort frei und verantworten die darin enthaltenen Zusagen. Ihr Sicherheitsverantwortlicher verantwortet jede Antwort, die eine Kontrollmaßnahme beschreibt. Ein juristischer Freigabeverantwortlicher verantwortet jede Antwort, die Vertragsbestandteil wird, und sollte den Vertragsentwurf zu Beginn sehen, nicht erst, nachdem der Fragebogen ausgearbeitet wurde.

Ermitteln Sie die Kundenpflicht hinter den Fragen

Betrachten Sie den Fragebogen als Verpflichtung Ihres Kunden, nicht als Ihre eigene. Artikel 21 Absatz 2 Buchstabe d verpflichtet wesentliche und wichtige Einrichtungen, die Sicherheit ihrer Lieferkette einschließlich ihrer Beziehungen zu direkten Anbietern und Dienstleistern zu steuern. Der Fragebogen ist das Mittel dazu. Genau das ist ein NIS2-Fragebogen: das Security-Questionnaire, das ein solcher Kunde einem Anbieter vor Abschluss oder Verlängerung eines Vertrags oder im Rahmen einer regelmäßigen Überprüfung zusendet. Die Bearbeitung erfolgt wie bei jeder anderen Security-Questionnaire-Response; anders sind lediglich die Verpflichtung, der sie dient, und die Antworten, die für Sie bindend sind.

Artikel 21 Absatz 3 erläutert eine zweite Gruppe von Fragen. Bei der Auswahl seiner Maßnahmen muss der Kunde die Gesamtqualität der Produkte seiner Anbieter und deren Cybersicherheitspraktiken berücksichtigen, einschließlich sicherer Entwicklungsverfahren. Wenn Ihre Dienstleistung Software umfasst, müssen Sie mit Fragen dazu rechnen, wie Sie diese entwickeln. Beantworten Sie sie mit Nachweisen zu Ihrem tatsächlichen Vorgehen, statt lediglich Richtlinien wiederzugeben.

Warum ein nicht in den Anwendungsbereich fallender Anbieter einen solchen Fragebogen erhält

Sie erhalten einen solchen Fragebogen, weil Ihr Kunde in den Anwendungsbereich fällt, unabhängig davon, ob dies auch für Sie gilt. NIS2 erfasst wesentliche und wichtige Einrichtungen in Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur, Verwaltung von IKT-Diensten und verarbeitendes Gewerbe. Deren Pflichten in Bezug auf die Lieferkette erstrecken sich auch auf Sie als direkten Anbieter. Der Kunde bewertet das NIS2-Anbieterrisiko, das mit Ihrer Dienstleistung verbunden ist, und nicht Ihre Konformität mit der Richtlinie. Antworten Sie daher nicht so, als würden Sie Ihre eigene NIS2-Compliance bestätigen. Geben Sie stattdessen die Informationen an, die der Kunde benötigt, um Ihre Dienstleistung zu dokumentieren und darüber zu entscheiden. Falls Ihr Unternehmen selbst in den Anwendungsbereich fällt, gelten Ihre eigenen Maßnahmen nach Artikel 21 parallel. Sie ändern jedoch nicht, was dieser Kunde von Ihnen wissen möchte.

Digitale Anbieter gemäß Durchführungsverordnung 2024/2690

Die Durchführungsverordnung 2024/2690 prägt Ihre Antworten, wenn Ihr Kunde Cloud-Computing-Dienste, Rechenzentrumsdienste, Content-Delivery-Network-Dienste, Managed Services oder Managed Security Services anbietet oder eine andere in der Verordnung aufgeführte digitale Einrichtung ist. Für diese Kunden legt die auf Grundlage von NIS2 erlassene Verordnung die Maßnahmen im Detail fest, einschließlich der Inhalte, die ihre Verträge mit Anbietern abdecken sollten. Damit verfügen Sie über präzise Formulierungen, anhand derer Sie jede Frage prüfen und auf die Sie verweisen können, wenn Sie um eine Eingrenzung bitten.

Erstellen Sie einen zentralen Nachweissatz und ordnen Sie ihn jedem Format zu

Pflegen Sie einen zentralen Nachweissatz und ordnen Sie ihm die Fragen jedes Kunden zu, statt jeden Fragebogen von Grund auf neu zu beantworten. ENISA weist in ihren technischen Umsetzungshinweisen zur Durchführungsverordnung darauf hin, dass ein einzelner Nachweis verschiedene Anforderungen abdecken kann. Dasselbe Prinzip gilt kundenübergreifend: Die Fragebögen unterscheiden sich, ebenso möglicherweise das jeweils geltende nationale Recht. Ein Nachweis kann jedoch dieselbe Frage in mehreren Fragebögen beantworten.

In den Erwägungsgründen der Verordnung heißt es, dass ihre Maßnahmen auf europäischen und internationalen Normen beruhen, darunter ISO/IEC 27001 und ISO/IEC 27002. Deshalb verlangen Kunden Nachweise auf ISO-Basis, und deshalb deckt ein aktuelles Zertifikat viele Ihrer Antworten zu Kontrollmaßnahmen ab, wenn auch nicht alle.

Wiederkehrende Fragen

Die wiederkehrenden Fragen orientieren sich an den Pflichten des Kunden: sichere Entwicklung gemäß Artikel 21 Absatz 3 sowie die in der Durchführungsverordnung aufgeführten Vertragsbedingungen für Anbieter. Ordnen Sie jedem Thema bereits vorhandene Nachweise zu.

Die letzten fünf Zeilen beschreiben nicht nur, was Sie haben, sondern auch, was Sie tun werden. Deshalb werden sie in der nächsten Phase als Vertragsbedingungen behandelt.

Wiederverwendbare Standardformate

Einige Kunden senden ihr eigenes Formular, andere erstellen ihres auf Basis eines Standardfragenkatalogs. Shared Assessments beschreibt den SIG als eine von der Branche geprüfte Fragensammlung für auslagernde Unternehmen, die die Kontrollen eines Dienstleisters bewerten. Der Eintrag zum SIG-Fragebogen erläutert, welche Fragen er enthält. Die Cloud Security Alliance veröffentlicht den CAIQ, einen Ja-Nein-Fragebogen zu Sicherheitskontrollen, der inzwischen in Version 4.1 vorliegt. Im Rahmen des kostenlos angebotenen STAR Self-Assessment kann ein Cloud-Anbieter seinen ausgefüllten CAIQ einreichen, damit Kunden ihn einsehen können.

Halten Sie einen ausgefüllten CAIQ oder SIG als Teil Ihrer Nachweise aktuell. Bieten Sie ihn an, wenn sich das Formular eines Kunden damit überschneidet, und fragen Sie in einer Klärungsfrage, ob er einen Teil des Formulars abdeckt. Ordnen Sie anschließend die verbleibenden Fragen denselben Nachweisen zu, damit derselbe Sachverhalt nie unterschiedlich beantwortet wird. Einmal antworten und Antworten formatübergreifend wiederverwenden erläutert das Mapping selbst.

Kennzeichnen Sie Antworten, die zu Vertragsbedingungen werden

Kennzeichnen Sie jede Antwort, mit der Sie sich zu einer späteren Handlung verpflichten, denn diese Antworten kann Ihr Kunde in den Vertrag übernehmen. Ein praxistauglicher Test: Eine Antwort ist eine potenzielle Vertragsklausel, wenn sie eine Frist zusagt, dem Kunden ein Recht einräumt, Sie bei Eintritt eines Ereignisses zum Handeln verpflichtet oder Anforderungen an Ihre Unterauftragnehmer festlegt. Eine Antwort, die lediglich eine derzeit von Ihnen durchgeführte Kontrolle beschreibt, ist ein Nachweis. Sie kann weiterhin geprüft werden, beschreibt jedoch nur, statt etwas zuzusagen.

Für einen Kunden, der unter die Durchführungsverordnung fällt, müssen seine Verträge mit Anbietern gemäß Anhang Nummer 5.1.4 eine Reihe von Bedingungen festlegen, gegebenenfalls in Form von Service Level Agreements. Dazu gehören die in den letzten fünf Zeilen der obigen Tabelle aufgeführten Themen Meldung von Sicherheitsvorfällen, Audit, Schwachstellen, Unterauftragsvergabe und Ausstieg.

Kunden, die nicht unter die Verordnung fallen, können dennoch Sicherheitsbestimmungen in den Vertrag aufnehmen, wie es die Richtlinie empfiehlt. Prüfen Sie ihre Fragen daher anhand derselben fünf Themen.

Lesen Sie die Frage zum Sicherheitsvorfall genau. Die Vorgabe der Verordnung für Anbieter lautet „unverzüglich“. Eine konkrete Stundenzahl nennt sie nicht. Wenn ein von der Verordnung erfasster Kunde in einem Fragebogen oder Vertragsentwurf beispielsweise 24 Stunden vorgibt, ist das daher eine eigene Vorgabe des Kunden und keine Vorgabe der Verordnung. Bevor Sie einer solchen Frist zustimmen, gleichen Sie sie mit Ihrem eigenen Prozess für Sicherheitsvorfälle ab: Wer entscheidet, ob ein Ereignis ein Sicherheitsvorfall ist, über den der Kunde informiert werden muss? Wie lange dauert diese Entscheidung? Und wodurch beginnt die Frist? Wenn die Stundenzahl nicht passt, schlagen Sie den Wortlaut der Verordnung oder eine Stundenfrist vor, die ab einem definierten Auslöser läuft, etwa ab Ihrer Bestätigung des Sicherheitsvorfalls.

Leiten Sie jede markierte Antwort an die Rechtsabteilung weiter und halten Sie dabei den Vertragsentwurf geöffnet. Eine Antwort, die dem Vertrag widerspricht oder mehr verspricht als dieser, sollten Sie jetzt erkennen, solange es noch ein Entwurf ist.

Grenzen Sie Fragen ein, die über das Risiko Ihres Service hinausgehen

Bitten Sie darum, eine Frage einzugrenzen, wenn sie mehr verlangt, als das mit Ihrer Dienstleistung verbundene Risiko rechtfertigt, und nennen Sie einen Grund, den der Kunde dokumentieren kann. Eine Eingrenzung ist keine Ablehnung. Der Kunde benötigt weiterhin eine Antwort, um seiner Sorgfaltspflicht in der Lieferkette nachzukommen. Eine begründete, enger gefasste Antwort liefert ihm diese; eine pauschale Ablehnung lässt ihm nichts, was er dokumentieren könnte.

Bei Kunden, die unter die Durchführungsverordnung fallen, können Sie sich auf eine konkrete Formulierung berufen. Anhang Nummer 5.1.4 schränkt die Anforderungen an Anbieter mit „soweit angemessen“ ein. Die Verordnung lässt somit Spielraum, jede Anforderung auf den jeweiligen Anbieter abzustimmen. Fragen Sie im Rahmen einer Klärungsfrage, wie der Kunde das Risiko Ihres Dienstes bewertet hat und welche Fragen darauf zutreffen.

Die Auditklausel zeigt, wie eine Eingrenzung in der Praxis funktioniert. Die Verordnung räumt dem Kunden ein Recht auf Durchführung eines Audits oder auf Erhalt von Auditberichten ein. Daher kann ein Anbieter anstelle eines Vor-Ort-Audits Auditberichte vorlegen. Wenn ein Vor-Ort-Audit in keinem angemessenen Verhältnis zu Ihrer Dienstleistung steht, legen Sie stattdessen Ihre unabhängigen Auditberichte samt deren Geltungsbereich vor. Wenn Ihre Dienstleistung beispielsweise keinen Zugriff auf das Netzwerk oder die Daten des Kunden hat, könnten Sie eine Frage zu einem Vor-Ort-Audit beantworten, indem Sie Ihre aktuellen unabhängigen Auditberichte vorlegen und fragen, ob diese die Auditklausel für Ihre Dienstleistung erfüllen.

Bei Kunden, die nicht unter die Verordnung fallen, stellen Sie dieselbe Anfrage, ohne sich auf eine Vorschrift zu berufen. Beschreiben Sie, worauf Ihr Service zugreift, schlagen Sie die enger gefasste Antwort vor und überlassen Sie dem Kunden die Entscheidung. Dokumentieren Sie, was er akzeptiert hat, denn seine nächste Prüfung wird darauf aufbauen.

Leiten Sie jede Antwort an die zuständige Person weiter

Leiten Sie jede Antwort zu Sicherheitskontrollen an Ihre Sicherheitsverantwortlichen und jede Antwort zu Vertragsbedingungen an die Rechtsabteilung weiter. Die abschließende Freigabe bleibt bei Ihnen als Bid-Manager. Die Zuständigkeit richtet sich nach der Art der jeweiligen Antwort. Eine Antwort zu Sicherheitskontrollen beschreibt, wie Sie Sicherheit heute handhaben. Ihre Sicherheitsverantwortlichen wissen, ob diese Angaben noch zutreffen. Eine Antwort zu Vertragsbedingungen ist eine Zusage, die das Unternehmen einhalten muss. Die Rechtsabteilung entscheidet, ob es das kann.

Sie tragen die Verantwortung für die gesamte Antwort. Mit Ihrer Freigabe prüfen Sie daher, was weder der Security-Verantwortliche noch die Rechtsabteilung allein überblickt. Die Antworten müssen untereinander, mit den Nachweisen und mit dem Vertragsentwurf übereinstimmen. Was Sie in einer Antwort eingeschränkt haben, darf in einer anderen nicht zugestanden werden. So wird etwa eine mit Prüfberichten beantwortete Audit-Frage hinfällig, wenn eine spätere Frage zu Unterauftragnehmern Zugang vor Ort einräumt.

Halten Sie fest, wer jede Antwort genehmigt hat und auf welcher Version der Nachweise die Genehmigung beruhte. Wenn die nächste Prüfung des Kunden ansteht, zeigt Ihnen diese Dokumentation, welche Antworten weiterhin Bestand haben und wer die übrigen erneut prüfen muss.

In SEQUESTO: In SEQUESTO aOS, kann jeder Frage ein eigener Prüfer und Genehmiger zugewiesen werden. So genehmigt die Rechtsabteilung die Antworten zu den Vertragsbedingungen und Ihr Sicherheitsverantwortlicher die Antworten zu den Kontrollen, bevor Sie die Antwort final freigeben.

Halten Sie die Nachweise für die nächste Prüfung aktuell

Weisen Sie jedem Element im Nachweispaket einen Verantwortlichen und ein Prüfdatum zu, denn der Fragebogen kommt erneut. Kunden, die unter die Durchführungsverordnung fallen, müssen die Cybersicherheitspraktiken ihrer Anbieter in festgelegten Abständen sowie nach wesentlichen Änderungen oder Vorfällen überwachen und bewerten und bei Bedarf auf ihre Erkenntnisse reagieren. Die Antwort auf die Frage, wie oft Sie den Fragebogen erneut beantworten müssen, lautet daher: in dem von Ihrem Kunden festgelegten Intervall und nach einer wesentlichen Änderung oder einem Vorfall bereits früher. Fragen Sie bei Vertragsunterzeichnung nach dem Intervall und vermerken Sie es bei den Antworten für diesen Kunden.

Der zweite Auslöser ist für Ihren Nachweissatz besonders wichtig. Wenn sich infolge eines Vorfalls ändert, wie Sie Meldungen vornehmen, Patches einspielen oder Unteraufträge vergeben, ist jede Antwort, die das bisherige Vorgehen beschreibt, veraltet. Zudem kann die nächste Prüfung durch den Kunden noch vor der Vertragsverlängerung stattfinden. Aktualisieren Sie die betroffenen Nachweise nach einem Vorfall und nicht erst bei der Vertragsverlängerung. Dasselbe gilt für Ihre Kontaktstelle: Betroffene Kunden müssen ihr Anbieterverzeichnis aktuell halten. Informieren Sie sie daher über Änderungen.

Benannte Verantwortliche und Prüftermine für jedes Element machen daraus statt einer hektischen Aktion eine routinemäßige Pflege. Eine auditierbare Bibliothek aufbauen erläutert, wie Sie beides in der Bibliothek festlegen, in der die Nachweise hinterlegt sind.

In SEQUESTO: Für jedes Element im Knowledge Hub werden der zuständige Eigentümer, der Prüfzyklus und das Ablaufdatum festgehalten. Wird eine Richtlinie aktualisiert, werden alle daraus abgeleiteten Antworten zur Prüfung markiert, einschließlich der Richtlinienversion, aus der die jeweilige Antwort stammt.

Checkliste für jeden NIS2-Fragebogen

Übernehmen Sie dies in den Antwortplan und haken Sie jede Zeile ab, bevor Sie die Freigabe erteilen.

• Die Verpflichtung des Kunden ist benannt, einschließlich der Frage, ob die Durchführungsverordnung 2024/2690 für den Kunden gilt. Zudem sind der betroffene Dienst und Ihre Kontaktstelle angegeben.
• Jede Frage ist einem Element im Nachweissatz zugeordnet, und zu keiner Tatsache gibt es zwei unterschiedliche Antworten.
• Jede Antwort, die eine Frist, ein Recht, eine Maßnahme oder eine Anforderung an Unterauftragnehmer zusagt, wird gekennzeichnet und von der Rechtsabteilung anhand des Vertragsentwurfs geprüft. Jede Stundenangabe wird mit Ihrem Incident-Prozess abgeglichen.
• Für jede Frage, die über das Risikoprofil Ihres Service hinausgeht, wird eine begründete Bitte um Eingrenzung gestellt und die Entscheidung des Kunden dokumentiert.
• Für jede Antwort wird der Genehmiger zusammen mit der verwendeten Nachweisversion dokumentiert, und der gesamte Fragebogen wird freigegeben.
• Für jeden Nachweis, auf dem die Antwort basiert, sind ein Verantwortlicher und ein Prüfdatum hinterlegt. Zudem ist das Prüfintervall des Kunden vermerkt.

Setzen Sie es beim nächsten eingehenden NIS2-Fragebogen ein, beginnend mit den Antworten, die später in den Vertrag einfließen.