Security-Antworten wiederverwenden, ohne veraltete zu versenden

Die Wiederverwendung von Security-Questionnaire-Antworten spart Ihren Sicherheitsexperten nur dann Zeit, wenn jeder Eintrag in der Content-Library dokumentiert, auf welche Kontrolle er sich bezieht, welchen Geltungsbereich er abdeckt und auf welchen datierten Fakten er beruht. Sind diese Angaben im Eintrag enthalten, können Sie vor dem Versand einer wiederverwendeten Antwort selbst eine kurze Prüfliste abarbeiten, statt eine erneute Prüfung durch den Sicherheitsverantwortlichen zu veranlassen. Ohne diese Angaben ist jede Wiederverwendung eine Wette auf das Datum eines Zertifikats oder die Bedingungen eines anderen Kunden. Die Arbeit erfolgt in dieser Reihenfolge: Informationen zusammentragen, Antworten nach Kontrollen ordnen, Datum und Geltungsbereich dokumentieren, neue Fragen zuordnen, jede wiederverwendete Antwort prüfen, Nachweise übermitteln, sofern der Kunde sie akzeptiert, und jeden ausgefüllten Fragebogen wieder in die Content-Library einpflegen.

Wer die Wiederverwendung steuert und was zuerst zusammenzutragen ist

Benennen Sie für jeden Bereich einen Verantwortlichen, der die jeweiligen Einträge freigibt, und tragen Sie die Dokumente zusammen, auf denen die Antworten beruhen, bevor Sie Inhalte wiederverwenden. Teilen Sie die Zuständigkeiten nach Bereichen auf: die Leitung für Informationssicherheit für technische und organisatorische Maßnahmen, die Rechtsabteilung für Vertragsbedingungen und Haftung sowie die Leitung für Datenschutz für personenbezogene Daten. Für die Antwort selbst bleiben Sie verantwortlich. Sie geben sie frei und stehen dafür ein, während jeder Verantwortliche für die Formulierungen aus seinem Bereich einsteht, die Sie wiederverwenden. Ohne einen Verantwortlichen bemerkt niemand, wenn ein Eintrag veraltet. Die nötige Zeit dieser Personen zu bekommen, ist eine eigene Herausforderung. Mehr dazu erfahren Sie unter Zusammenarbeit mit Fachexperten bei Ausschreibungen.

Tragen Sie dann Folgendes zusammen:

• jedes gültige Zertifikat mit der zugehörigen Geltungsbereichserklärung
• die neuesten Audit- und Testberichte, etwa ein SOC 2 Type II-Bericht oder die Zusammenfassung eines Penetrationstests
• die aktuelle Version jeder in den Antworten zitierten Richtlinie, einschließlich Versionsnummer und Genehmigungsdatum
• Ihre zuletzt ausgefüllten Security-Questionnaires als Ausgangsmaterial für Einträge, nicht als freigegebene Formulierungen

Halten Sie pro Kontrollanforderung eine Antwort mit den zugehörigen Nachweisen fest

Strukturieren Sie die Bibliothek nach Kontrollen, mit jeweils einer freigegebenen Antwort, statt nach früheren Fragebögen. Ein Ordner mit früheren Fragebögen enthält dieselbe Antwort mehrfach. Jede Kopie wurde für einen anderen Kunden bearbeitet und entspricht dem Stand eines anderen Monats. Ändert sich eine Tatsache, aktualisieren Sie die Kopie, die Sie finden. Die anderen bleiben unverändert, bis sie erneut verwendet werden.

Benennen Sie jeden Eintrag nach Ihren eigenen Kontrollbegriffen, etwa Multi-Faktor-Authentifizierung für administrative Zugriffe oder Verschlüsselung ruhender Daten. Fügen Sie die entsprechenden Nachweise bei: das Zertifikat, den relevanten Richtlinienabschnitt oder die Zusammenfassung des letzten Penetrationstests. Die Nachweise gehören zum Eintrag, sodass sie bei jeder Wiederverwendung der Antwort direkt vorliegen.

Ordnen Sie Einträge nicht nach Fragennummern. Standardkataloge ändern sich: Shared Assessments gibt an, dass der SIG-Fragebogen 2025 direkte Zuordnungen zu 31 der wichtigsten Referenzdokumente enthält. Eine nach „SIG-Frage X“ indexierte Content-Library bildet nur eine Ausgabe ab. Bei der nächsten müssen Sie die Zuordnung neu vornehmen. Sind die Einträge nach Kontrollen geordnet, müssen Sie die Fragen einer neuen Ausgabe lediglich den bereits vorhandenen Einträgen zuordnen.

So könnte beispielsweise die Tabelle eines Kunden danach fragen, ob der Zugriff auf Produktionssysteme kontrolliert wird, während die eines anderen Kunden fragt, wie privilegierter Zugriff gewährt und überprüft wird. Beide Fragen führen zu Ihrem Eintrag zur Zugriffskontrolle. Die zweite erfordert mehr Details daraus.

Wenn Kunden unterschiedliche Längen wünschen, halten Sie im selben Eintrag eine kurze und eine lange Version vor, beide freigegeben. So vermeiden Sie einen zweiten Eintrag, der mit der Zeit vom ersten abweicht. Wie Sie die Bibliothek über diese Sicherheitseinträge hinaus nachvollziehbar gestalten, erfahren Sie unter „So erstellen Sie eine auditierbare Bibliothek“.

Dokumentieren Sie die Daten und den Geltungsbereich jeder Antwort

Erfassen Sie für jeden Eintrag den Verantwortlichen, den nächsten Prüftermin und alle datierten Fakten, auf denen die Antwort beruht. So erkennen Sie abgelaufene Daten, bevor eine wiederverwendete Antwort versendet wird. Das hilft, veraltete Informationen auszuschließen: Das Datum steht in einem prüfbaren Feld und nicht in einem Satz, den jemand erneut lesen muss.

Die datierten Fakten in einer Sicherheitsantwort lassen sich leicht benennen:

• das Ablaufdatum jedes in der Antwort angeführten Zertifikats
• das Datum des letzten Penetrationstests
• die Version und das Genehmigungsdatum jeder zitierten Richtlinie
• der Prüfzeitraum jedes Berichts, auf den sie sich stützt, etwa eines SOC 2 Type II-Berichts

Legen Sie den nächsten Überprüfungstermin auf den frühesten dieser Zeitpunkte fest, nicht nach einem festen jährlichen Turnus. Eine Antwort, die beispielsweise auf ein in zwei Monaten ablaufendes Zertifikat verweist, muss in zwei Monaten überprüft werden, unabhängig davon, welche Termine für den Rest der Content-Library vorgesehen sind.

Erfassen Sie den Geltungsbereich auf dieselbe Weise: für welches Unternehmen, welchen Service, welche Standorte oder Umgebungen die Antwort und die zugehörigen Nachweise gelten. Ein Zertifikat, das für eine Produktlinie gilt, sagt nichts über eine andere aus. Wer die Antwort wiederverwendet, kann das nur erkennen, wenn der Geltungsbereich im Eintrag angegeben ist.

Ein vollständiger Eintrag enthält dann:

• Kontrolle: Ihre eigene Bezeichnung dafür
• Freigegebene Antwort: Kurz- und Langversion
• Verantwortlicher: die Person, die die Antwort freigibt
• Nachweise: die angehängten Dateien
• Datierte Fakten: jedes Datum mit Bezeichnung
• Geltungsbereich: was die Antwort und die zugehörigen Nachweise abdecken
• Nächste Überprüfung: zum frühesten datierten Sachverhalt oder bei der nächsten Änderung der zugrunde liegenden Richtlinie

Daher kommt die Zeitersparnis. Wenn der Eintrag Datumsangaben und den Geltungsbereich enthält, können Sie diese selbst mit dem heutigen Stand und dem im Fragebogen genannten Service abgleichen. Der Sicherheitsverantwortliche sieht dann nur die Einträge, die den Abgleich nicht bestehen.

In SEQUESTO: Ihr Team erfasst für jeden Eintrag im Knowledge Hub in SEQUESTO aOS den Verantwortlichen, den Prüfzyklus und das Ablaufdatum. Abgelaufene Inhalte werden gekennzeichnet, bevor sie in einen Entwurf einfließen. Wenn Sie eine Richtlinie aktualisieren, wird jede daraus abgeleitete Antwort zur Prüfung markiert. So sieht der Sicherheitsverantwortliche, welche Einträge erneut geprüft werden müssen.

Ordnen Sie neue Fragen nach der abgefragten Kontrolle zu

Prüfen Sie bei jeder neuen Frage, auf welche Kontrolle, welchen Geltungsbereich und welchen Zeitraum sie sich bezieht. Rufen Sie dann den Eintrag für diese Kontrolle auf, nicht die frühere Antwort mit der ähnlichsten Formulierung. Formulierungen können in beide Richtungen irreführen. Zwei unterschiedlich formulierte Fragen können dasselbe verlangen, während zwei fast gleichlautende Fragen auf unterschiedliche Sachverhalte abzielen können.

Beispielsweise führen sowohl „Wurde ein Penetrationstest durchgeführt?“ als auch „Wann wurde der letzte Penetrationstest für den betreffenden Service durchgeführt?“ zu Ihrem Eintrag für Penetrationstests. Die erste Frage verlangt ein Ja. Die zweite verlangt ein Datum und einen Geltungsbereich. Deshalb sind diese Angaben in Feldern des Eintrags hinterlegt. Eine Frage zur Reaktion auf Sicherheitsvorfälle, die den Zusatz „einschließlich der Benachrichtigung von Kunden“ enthält, betrifft nun eine Verpflichtung und erfordert möglicherweise neben der Security auch die Rechtsabteilung.

Standardkataloge übernehmen einen Teil der Zuordnung für Sie. Laut Shared Assessments ordnet die SIG Content Library viele Fragen den jeweils relevantesten Standardkontrollen, Frameworks und Vorschriften zu. Wenn Ihre Einträge bereits die Kontrollbezeichnungen eines Frameworks verwenden, nach dem Sie zertifiziert sind, und eine SIG-Frage diesem Framework zugeordnet ist, führt Sie diese Zuordnung direkt zum passenden Eintrag.

Die eigene Tabelle eines Kunden enthält kein Mapping, daher müssen Sie oder ein Bid-Writer die Zuordnung vornehmen. Für jede Frage gibt es dann drei mögliche Ergebnisse: Sie passt zu einem Eintrag, erfordert die Kombination zweier Einträge oder passt zu keinem Eintrag. Leiten Sie im letzten Fall die Frage als neue Frage an den zuständigen Fachverantwortlichen weiter. Nach der Freigabe wird dessen Antwort zu einem Eintrag. Dehnen Sie den nächstliegenden Eintrag nicht so weit aus, dass er die Frage abdeckt. Eine derart ausgeweitete Antwort lässt sich nur schwer prüfen, weil ihr Geltungsbereich nicht mehr dem des ursprünglichen Eintrags entspricht.

Prüfen Sie jede wiederverwendete Antwort anhand dieses Fragebogens

Prüfen Sie jede wiederverwendete Antwort vor dem Versand auf vier Punkte: Verweise auf einen anderen Kunden im Text, Zusagen, um die dieser Kunde nicht gebeten hat, die im Fragebogen vorgegebenen Antwortoptionen sowie Wortbegrenzungen und Geltungsbereich. Da der Eintrag bereits Angaben zu Datum und Geltungsbereich enthält, können Sie oder ein Bid-Writer diese Prüfungen ohne den Security-Verantwortlichen durchführen und nur die nicht bestandenen Prüfungen an den zuständigen Eigentümer zurückgeben. Was eine Antwort auszeichnet, hinter der das Team und die Rechtsabteilung auch nach dem Versand stehen können, erfahren Sie unter „belastbare Antworten auf Security-Questionnaires“.

Ein anderer Kunde wird im Text noch genannt

Durchsuchen Sie jede wiederverwendete Antwort nach den Namen von Kunden, deren Anfragen Sie kürzlich beantwortet haben, sowie nach deren Projektnamen und Vertragsreferenzen. Achten Sie auch auf deren Begriffe. Ein definierter Begriff wie „der Auftraggeber“ oder „der Kunde“, der aus dem Vertrag eines anderen Kunden übernommen wurde, wirkt nachlässig und kann diesem Kunden verraten, für wen Sie sonst noch arbeiten.

Zusagen, um die dieser Kunde nicht gebeten hat

Streichen Sie jede Zusage, nach der die Frage nicht verlangt. Eine individuell zugeschnittene Antwort kann eine Zusage enthalten, die einem bestimmten Kunden gemacht wurde: eine Benachrichtigungsfrist, ein Prüfungsrecht oder einen im Vertrag vereinbarten Datenspeicherort. Lassen Sie jede Zusage, die Sie beibehalten möchten, vor dem Versand von der Rechtsabteilung prüfen. Die Antwort sollte nur das zusagen, wonach dieser Kunde gefragt hat, und nicht mehr.

Die Antwortoptionen des Fragebogens

Passen Sie die Antwort an das Format an, bevor Sie an der Formulierung arbeiten. Wenn ein Fragebogen feste Antwortoptionen vorgibt, etwa in einer Tabelle mit Dropdown-Feldern, muss eine ausformulierte Antwort in eine dieser Optionen überführt werden. Jeder Kommentar muss damit übereinstimmen: Antworten Sie nur mit den Optionen, die die Datei zulässt. Ein „Ja“ neben einem Kommentar, der diese Aussage einschränkt, vermittelt zwei unterschiedliche Aussagen.

Wortbegrenzungen und Umfang

Kürzen Sie die Langfassung auf die zulässige Wortzahl, ohne die Einschränkung zu streichen, die ihre Aussage wahrheitsgemäß macht. Vergleichen Sie dann den Geltungsbereich des Eintrags mit dem Service, auf den sich dieser Fragebogen bezieht. Eine Antwort, die für ein anderes Produkt, eine andere juristische Person oder eine andere Umgebung gilt, beantwortet diese Frage nicht, so gut sie auch formuliert sein mag.

Reichen Sie Nachweise statt Antworten ein, wenn der Kunde dies akzeptiert

Legen Sie anstelle einer neuen Antwort freigegebene Nachweise vor, sofern der Kunde dies akzeptiert. Prüfen Sie zuvor, ob der Geltungsbereich des Nachweises die in diesem Fragebogen behandelte Dienstleistung umfasst. Im Vereinigten Königreich empfiehlt das Cyber Essentials Supply Chain Playbook des National Cyber Security Centre Kunden, ihre Fragebögen zur Absicherung der Lieferkette an den Cyber Essentials Controls auszurichten und die Zertifizierung als Nachweis anzuerkennen. Dieselbe Leitlinie besagt, dass Anbieter das Zertifikat gegenüber mehreren Kunden als Nachweis verwenden können und so weniger Zeit für doppelte Fragebögen aufwenden.

Diese Leitlinien richten sich an Kunden. Sie zeigen Ihnen, was einige Kunden im Vereinigten Königreich möglicherweise akzeptieren, nicht aber, was ein bestimmter Kunde akzeptieren wird. Lesen Sie daher die Anweisungen im Fragebogen und stellen Sie eine Bieterfrage, wenn diese dazu keine Angaben enthalten, bevor Sie sich auf das Zertifikat berufen. Außerhalb des Vereinigten Königreichs gilt dasselbe: Entscheidend ist der Fragebogen oder die Antwort des Kunden auf Ihre Frage.

Prüfen Sie vor dem Versand den Geltungsbereich. Laut NCSC ist der Kunde dafür verantwortlich, zu prüfen, ob der Geltungsbereich eines Zertifikats das Risiko abdeckt, das er mit dem Anbieter eingeht. Gehen Sie daher davon aus, dass der Kunde Ihr Zertifikat genau liest. Ein Zertifikat, das beispielsweise Ihr Unternehmensnetzwerk abdeckt, sagt nichts über einen darin nicht erfassten gehosteten Dienst aus. Senden Sie es nur, wenn der Dienst in seinem Geltungsbereich enthalten ist, und beantworten Sie die nicht abgedeckten Fragen anhand der Content-Library.

Ordnen Sie jedes Zertifikat und die zugehörige Erklärung zum Geltungsbereich den Einträgen zu, die es belegt.

Übernehmen Sie jeden ausgefüllten Fragebogen wieder in die Content-Library

Fügen Sie nach der Einreichung jede neu genehmigte Antwort als Eintrag für die zugehörige Kontrolle zur Bibliothek hinzu. Lassen Sie den zuständigen Fachverantwortlichen entscheiden, ob eine individuell angepasste Antwort nur für diesen Kunden gilt oder den Standardeintrag ersetzt. Erledigen Sie dies, bevor das Team mit dem nächsten Bid beginnt, solange die Personen, die die Antworten genehmigt haben, noch wissen, warum sie geändert wurden.

Wenden Sie für individuell angepasste Antworten eine einheitliche Regel an. Übernehmen Sie die angepasste Version als Standard, wenn die Änderung für jeden Kunden zutrifft und geeignet ist, etwa eine klarere Erläuterung, ein aktuelleres Prüfdatum oder eine Richtlinienaktualisierung. Behalten Sie sie kundenspezifisch, wenn die Änderung nur diesen Kunden betrifft: eine mit ihm vereinbarte Verpflichtung, ein auf seine Dienstleistung begrenzter Umfang oder seine Bedingungen. Eine kundenspezifische Version wird unter dem Haupteintrag mit dem Namen des Kunden abgelegt, damit sie gefunden und geprüft, aber nicht versehentlich wiederverwendet wird.

Dokumentieren Sie für jede Antwort den zugehörigen Fragensatz und dessen Version: die SIG-Ausgabe, die CAIQ-Version oder das eigene Formular des Kunden. Wenn die nächste Ausgabe eines Standard-Fragensatzes vorliegt, zeigt diese Dokumentation, welche Einträge zuletzt anhand der alten Formulierung geprüft wurden.

Halten Sie auch fest, welche wiederverwendeten Antworten bei der Prüfung vor dem Versand gestoppt wurden und warum. Fällt ein Eintrag zweimal aus demselben Grund durch die Prüfung, muss der Verantwortliche ihn an der Quelle korrigieren, statt ihn im nächsten Fragebogen erneut zu überarbeiten.

In SEQUESTO: Freigegebene Antworten aus jedem Fragebogen fließen zurück in den Knowledge Hub. Ihr Fachverantwortlicher gibt weiterhin jede einzelne frei, bevor sie als freigegebener Inhalt gilt.

Checkliste zur Wiederverwendung einer Sicherheitsantwort

• Für jeden Bereich ist eine verantwortliche Person benannt, die dessen Einträge freigibt.
• Aktuelle Zertifikate, Berichte und Richtlinienversionen werden zusammen mit den Angaben zu ihrem Geltungsbereich zusammengestellt.
• Für jede Kontrolle gibt es eine freigegebene Antwort, die Ihrem Kontrollnamen statt einer Fragennummer zugeordnet ist und der die entsprechenden Nachweise beigefügt sind.
• Jeder Eintrag enthält den Verantwortlichen, die jeweils datierten Fakten, den Geltungsbereich und ein Datum für die nächste Überprüfung, das auf das früheste dieser Daten festgelegt ist.
• Jede neue Frage wird anhand von Kontrollmaßnahme, Geltungsbereich und Zeitraum einem Eintrag zugeordnet. Fragen ohne passenden Eintrag werden an die jeweils zuständige Person weitergeleitet.
• Keine wiederverwendete Antwort nennt einen anderen Kunden oder enthält dessen Bedingungen.
• Keine wiederverwendete Antwort enthält Zusagen, nach denen dieser Kunde nicht gefragt hat.
• Jede Antwort entspricht den im Fragebogen vorgegebenen Antwortoptionen.
• Jede Antwort hält die vorgegebene Wortzahl ein und bezieht sich auf die in diesem Fragebogen behandelte Dienstleistung.
• Dieser Kunde akzeptiert alle anstelle von Antworten eingereichten Nachweise, sofern sie sich auf die Dienstleistung beziehen.
• Jede neu freigegebene Antwort wird in die Content-Library aufgenommen. Bei jeder individuell angepassten Antwort entscheidet der zuständige Eigentümer, ob sie übernommen oder kundenspezifisch belassen wird. Zudem werden jeweils der zugehörige Fragensatz und die erfüllte Version dokumentiert.

Wenden Sie diese Liste auf das nächste eingehende Security-Questionnaire an und notieren Sie, welche Punkte nicht erfüllt sind. Korrigieren Sie diese Einträge zuerst.