Security-Questionnaire

Was ist ein Security-Questionnaire?

Ein Security-Questionnaire, in den USA häufig als Vendor-Security-Questionnaire und im Vereinigten Königreich als Supplier-Security-Questionnaire bezeichnet, ist das Instrument, mit dem ein Kunde prüft, ob ein aktueller oder potenzieller Lieferant seine Sicherheits- und Datenschutzstandards erfüllt, bevor er ihm Systeme, Daten oder Infrastruktur anvertraut. Der Umfang reicht von einer kurzen Checkliste mit fünfzehn oder zwanzig Punkten bis hin zu einem detaillierten Dokument mit mehreren hundert Fragen über ein Dutzend Control Domains. Für den Lieferanten ist eine vollständige und fristgerechte Beantwortung häufig eine formale Voraussetzung, um einen neuen Vertrag zu gewinnen oder einen bestehenden zu halten, und für viele Enterprise- und regulierte Kunden reicht eine unvollständige oder nicht überzeugende Response aus, um einen Procurement-Prozess zu verzögern oder zu beenden.

Warum verschicken Unternehmen Security-Questionnaires?

Organisationen, die mit Daten arbeiten, sind rechtlich und operativ dafür verantwortlich, diese zu schützen, einschließlich der Datenanteile, die von Drittanbietern verarbeitet werden. Der Security-Questionnaire ist das Instrument, mit dem ein Kunde Third-Party-Risk-Management betreibt: Er schafft eine dokumentierte Grundlage dafür, dass der Kunde die Security Posture eines Lieferanten geprüft hat, bevor Zugriff gewährt wird.

Diese Praxis ist vor allem in Software und Technologie, Finanzdienstleistungen, Gesundheitswesen und anderen regulierten Branchen verbreitet, in denen die Folgen von Datenpannen gravierend sind und Aufsichtsbehörden ausdrücklich Nachweise für die Kontrolle von Drittparteien verlangen. Vorschriften wie DORA (der EU Digital Operational Resilience Act, gültig ab Januar 2025) und NIS2 verpflichten regulierte Unternehmen, Lieferantenrisiken zu steuern und zu dokumentieren. Das hat zu einem deutlichen Anstieg des Fragebogenvolumens in europäischen Lieferketten geführt. Security-Questionnaires werden typischerweise während der ersten Lieferantenbewertung ausgelöst, unmittelbar vor dem Onboarding und anschließend in regelmäßigen Abständen (häufig jährlich) über die gesamte Geschäftsbeziehung hinweg.

Was umfasst ein Security-Questionnaire?

Der Umfang eines Security-Questionnaires spiegelt die Bereiche wider, in denen Schwächen eines Lieferanten den Kunden einem Risiko aussetzen können. Typische Abdeckungsbereiche sind:

• Zugriffskontrolle und Authentifizierung, und beschreibt, wie der Anbieter Benutzerkonten, Passwörter, Multi-Faktor-Authentifizierung und privilegierte Zugriffe verwaltet.
• Datenschutz und Verschlüsselung, beschreibt, wie Daten klassifiziert, bei der Übertragung und im Ruhezustand verschlüsselt sowie aufbewahrt oder gelöscht werden.
• Netzwerk- und Anwendungssicherheit, einschließlich Perimeterschutz, Schwachstellenmanagement, Patch-Management und Penetrationstests.
• Business Continuity und Incident Response, umfasst Notfallwiederherstellungspläne, Recovery Time Objectives und den Prozess zur Benachrichtigung von Kunden nach einem Incident.
• Compliance und Zertifizierungen, und umfasst die Frage, ob der Anbieter anerkannte Zertifizierungen durch Dritte wie ISO/IEC 27001 besitzt oder ein SOC 2 Audit abgeschlossen hat und wie er seine Kontrollen auf relevante Vorschriften abbildet.
• Subunternehmer- und Lieferkettenrisiko, und zwar welche Fourth-Party-Provider der Anbieter einsetzt und wie er diese prüft.

Viele Kunden verlangen zu den Antworten passende Nachweise. Ein SOC 2 Type II Report, ein ISO 27001 Zertifikat oder eine Executive Summary eines Penetrationstests kann große Teile eines Standardfragebogens vorab beantworten und das Hin und Her zwischen Kunde und Anbieter deutlich reduzieren.

Welche gängigen Security-Questionnaire-Frameworks gibt es?

Anstatt individuelle Fragen komplett neu zu formulieren, verlassen sich viele Kunden auf gemeinsame Frameworks, die standardisierte Kontrollbereiche abdecken. Das reduziert den doppelten Aufwand für beide Seiten: Ein Anbieter, der einen SIG-Fragebogen für einen Kunden beantwortet hat, kann einen Großteil dieser Arbeit für einen anderen wiederverwenden.

SIG (Standardized Information Gathering)

Der SIG-Fragebogen wird von Shared Assessments gepflegt, einer Mitgliederorganisation mit Fokus auf Best Practices im Third-Party-Risikomanagement. Er ist in zwei Versionen verfügbar: als schlankere SIG Lite (die die wichtigsten Kontrollbereiche abdeckt) und als umfassende SIG Full (die 18 oder mehr Domänen mit Hunderten von Fragen abdeckt). Der SIG ist so aufgebaut, dass er auf eine breite Palette regulatorischer und branchenspezifischer Frameworks abbildet. Das macht ihn besonders beliebt bei Finanzdienstleistern und großen Enterprise-Procurement-Teams, die gleichzeitig unter mehreren Compliance-Vorgaben arbeiten.

CAIQ (Consensus Assessments Initiative Questionnaire)

Der CAIQ wird von der Cloud Security Alliance veröffentlicht und ist speziell für Cloud-Service-Provider konzipiert. Er basiert auf der Cloud Controls Matrix (CCM), einem Rahmenwerk von Sicherheitskontrollen, die auf cloudrelevante Vorschriften und Standards abgebildet sind. Ausgefüllte CAIQ-Antworten können im CSA STAR-Register eingereicht werden, einem öffentlich zugänglichen Verzeichnis, in dem potenzielle Auftraggeber die vom Anbieter selbst eingeschätzte Sicherheitslage prüfen können, bevor sie ihre eigene Bewertung starten. Dadurch ist der CAIQ häufig der erste Anlaufpunkt für Kunden, die SaaS- und Infrastruktur-Anbieter bewerten.

VSA (Vendor Security Alliance Fragebogen)

Die Vendor Security Alliance ist ein Zusammenschluss von Technologieunternehmen, der einen gemeinsamen Fragebogen entwickelt hat, um den Aufwand für das Beantworten hunderter sich überschneidender Assessments zu reduzieren. Der VSA-Fragebogen ist in einer vollständigen Version und in einer kürzeren Core-Version verfügbar. Durch seinen mitgliedergetriebenen Ursprung spiegelt er die praktischen Prioritäten von Kunden aus der Technologiebranche wider und wird im Enterprise-Software-Sektor breit eingesetzt.

Selbst wenn diese Frameworks genutzt werden, senden viele Kunden weiterhin ihre eigenen, individuell erstellten Spreadsheets oder portalbasierten Fragebögen. Für Lieferanten bedeutet das, dass sie dieselben zugrunde liegenden Fragen immer wieder beantworten, nur jeweils anders formuliert und über mehrere parallele Anfragen verteilt. Eine anerkannte Zertifizierung wie ISO/IEC 27001 oder ein aktueller SOC 2 Report reduziert diese Belastung spürbar, da geprüfte Nachweise einen großen Teil der standardisierten Control-Domain-Fragen vorab beantworten.

Worin unterscheidet sich ein Security-Questionnaire von einem DDQ?

Ein Due-Diligence-Fragebogen (DDQ) ist eine umfassendere Lieferantenbewertung, die finanzielle Stabilität, rechtlichen Status, Datenschutz, Governance und Informationssicherheit abdeckt. Ein Security-Questionnaire ist die informationssicherheitsbezogene Komponente dieser umfassenderen Bewertung und wird häufig entweder als eigenständiges Dokument oder eingebettet in ein DDQ versendet.

Die Begriffe werden in der Praxis recht locker verwendet und überschneiden sich. Manche Kunden senden ein kombiniertes Dokument und nennen es DDQ, andere trennen den Security-Teil ab und versenden ihn separat, häufig an ein anderes internes Team weitergeleitet (Security oder IT statt Einkauf). In Investment- und Private-Equity-Kontexten bezieht sich „DDQ“ typischerweise auf einen Due-Diligence-Fragebogen für Fondsmanager, der von institutionellen Investoren genutzt wird. Das ist ein eigenes Dokument mit anderer inhaltlicher Spannbreite. Die hier im Eintrag beschriebene Bedeutung im Sinne der Sicherheit von Lieferanten ist die gebräuchlichere Verwendung im B2B-Einkauf.

Wie beantworten Lieferanten einen Security-Questionnaire?

Lieferanten antworten aus einer gepflegten Bibliothek freigegebener Antworten und Nachweise. Jede eingehende Frage wird einer bestehenden Antwort zugeordnet, und vor der Einreichung behält eine qualifizierte prüfende Person die Kontrolle. Die eigentliche Herausforderung ist operativ: das Volumen eingehender Fragebögen, die Vielzahl an Formaten und dieselbe Frage, die in Dutzenden Vorlagen von Kunden jeweils mit eigener Frist anders formuliert ist. Wir beleuchten diesen Response-Prozess End-to-End im Leitfaden zum Fragebogen-Response-Prozess und auf unserer Security-Questionnaire-Response-Seite.

Wo SEQUESTO passt

Security-Questionnaires haben zwei Seiten: Der Kunde verschickt sie, um einen Anbieter zu bewerten, und der Anbieter füllt sie aus, um das Geschäft zu gewinnen oder zu halten. Das SEQUESTO aOS ist für die Anbieterseite dieses Prozesses gebaut.

Wenn Ihr Team Security-Questionnaires beantwortet, hilft Ihnen das SEQUESTO aOS, schneller aus einer vertrauenswürdigen, wiederverwendbaren Wissensdatenbank zu antworten, hält jede Antwort präzise, belegt und prüfbar und stellt sicher, dass vor dem Absenden immer ein Mensch das letzte Wort hat. Es verarbeitet eingehende Fragebögen in jedem Format, nutzt Reference-Mapping, um jede Frage mit Ihren freigegebenen Antworten und Nachweisen abzugleichen, und erstellt zitierte Antwortentwürfe, die ein Reviewer nur noch freigeben muss, statt sie komplett neu zu schreiben.

Erfahren Sie mehr über Security-Questionnaire-Response und Security-Questionnaire-Automatisierung.