Was ist ein SIG Questionnaire?

SIG steht für Standardized Information Gathering, und der Fragebogen ist eine strukturierte, auf Rahmenwerke abgebildete Bibliothek von Fragen, die Anbieter ausfüllen, um ihre eigenen Sicherheits-, Datenschutz- und operativen Kontrollen zu beschreiben. Er wurde entwickelt, um die uneinheitlichen, einmaligen Fragebögen zu ersetzen, die Käufer und Lieferanten zuvor im Rahmen der Due Diligence ausgetauscht hatten, und bietet beiden Seiten einen gemeinsamen Referenzpunkt anstelle eines individuell für jedes Mandat erstellten Formulars.

Struktur und Inhalt

Fragenbibliothek und modulare Struktur

Der SIG Questionnaire greift auf eine zugrunde liegende Content-Bibliothek mit mehr als 1.800 geprüften Fragen zurück, aus der Organisationen den für ein konkretes Vendor-Engagement relevanten Teil auswählen. Dieses modulare Design ermöglicht es, dass derselbe zugrunde liegende Standard sehr unterschiedliche Fragebogen-Varianten hervorbringt: Ein Cloud-Hosting-Provider und ein Payroll-Processor können jeweils einen SIG-basierten Fragebogen erhalten, der auf ihren tatsächlichen Service zugeschnitten ist, statt eines generischen Formulars mit vielen irrelevanten Punkten. Formulierungen und Zuordnungen zu Frameworks bleiben für jede Frage standardisiert, auch wenn sich die Auswahl ändert. So bleibt die Vergleichbarkeit zwischen Vendors und über mehrere Assessment-Zyklen hinweg erhalten.

Abgedeckte Risikobereiche

Je nach Version und Erscheinungsjahr misst der Fragebogen Risiken in etwa 19 bis 21 definierten Domänen. Diese umfassen unter anderem Zugriffskontrolle, Anwendungssicherheit, Cloud-Services, Datenschutzmanagement, operative Resilienz sowie Risiken in der Lieferkette oder bei nachgelagerten Dienstleistern. Diese Breite ist bewusst gewählt. Die Risikolage eines Anbieters liegt selten nur in einem einzigen Kontrollbereich, und ein Fragebogen, der sich auf Netzwerksicherheit beschränkt, würde den Umgang mit personenbezogenen Daten oder Risiken durch Subunternehmer übersehen, die ebenso schwerwiegende oder noch größere Folgen haben können. Die Domänenstruktur ermöglicht es einer prüfenden Person außerdem, gezielt in einen Bereich wie zum Beispiel Incident Response einzusteigen, ohne den gesamten Fragebogen erneut durchlaufen zu müssen.

Versionen und Umfang

SIG Core

SIG Core ist die umfassendste Standardversion mit etwa 810 bis 855 Fragen und richtet sich an Anbieter, die sensible oder regulierte Informationen speichern, verarbeiten oder verwalten. Die inhaltliche Tiefe eignet sich für Hochrisiko- oder geschäftskritische Beziehungen, bei denen eine oberflächliche Prüfung wesentliche Punkte unberücksichtigt lassen würde. Da es für einen Anbieter deutlich mehr Zeit in Anspruch nimmt, den Fragebogen zu bearbeiten, und für einen Prüfer, ihn zu bewerten, setzen Organisationen SIG Core in der Regel für Lieferanten ein, deren Ausfall erhebliche operative, finanzielle oder regulatorische Folgen hätte.

SIG Lite

SIG Lite ist eine kürzere Version mit in der Regel etwa 126 bis 133 Fragen, ausgelegt darauf, einen Überblick auf hoher Ebene über die Sicherheitslage eines Anbieters zu geben. Es eignet sich für die erste Einschätzung oder für Drittparteien mit geringerem Risiko, bei denen eine vollständige Detailprüfung im Verhältnis zur Exponierung unverhältnismäßig wäre. Viele Due-Diligence-Workflows nutzen SIG Lite als ersten Durchlauf und setzen SIG Core für Anbieter ein, die im initialen Screening als risikoreicher eingestuft werden oder die direkt mit sensiblen Kundendaten umgehen.

Individuelle SIG

Da die zugrunde liegende Fragenbibliothek mehr als 1.800 Einträge umfasst, sind Organisationen nicht auf die veröffentlichten Standardvorlagen beschränkt. Ein Custom SIG kann so zusammengestellt werden, dass es zu einem bestimmten Servicetyp, einer vertraglichen Verpflichtung oder einer regulatorischen Anforderung passt, während die standardisierte Formulierung und die Kontrollzuordnungen erhalten bleiben, die Antworten über verschiedene Anbieter hinweg vergleichbar machen. Das ist wichtig für Verantwortliche, die Konsistenz über ein großes Portfolio von Anbietern hinweg benötigen, ohne jeden Lieferanten in ein identisch aufgebautes Formular zu zwingen.

Framework-Zuordnungen und Vergleich mit CAIQ

Abgleich mit externen Standards

Jede Frage im SIG Questionnaire ist mehreren externen Kontrollen und regulatorischen Anforderungen zugeordnet. So lässt sich eine einzelne Bewertung mit Frameworks wie ISO 27001, NIST Cybersecurity Guidance, PCI DSS, SOC 2-Kriterien, DSGVO und HIPAA abgleichen. Diese Cross-Mapping-Logik ist ein praktischer Effizienzgewinn: Ein Anbieter, der eine SIG-Instanz beantwortet, liefert damit implizit Nachweise, die für mehrere Frameworks gleichzeitig relevant sind, statt für jedes einzelne einen eigenen Fragebogen auszufüllen. Die Auftraggeber profitieren entsprechend, da ein einziger ausgefüllter Fragebogen mehrere Compliance- und Audit-Anforderungen unterstützen kann.

SIG im Vergleich zu CAIQ

Der Consensus Assessments Initiative Questionnaire (CAIQ) der Cloud Security Alliance ist das am ehesten vergleichbare Instrument, richtet sich jedoch speziell an Cloud-Service-Provider und ist entlang der Cloud Controls Matrix aufgebaut. SIG ist breiter angelegt, deckt auch nicht cloudbasierte Anbieter sowie ein größeres Spektrum an operativen und Datenschutzbereichen ab und ist nicht an eine einzelne Kontrolltaxonomie gebunden, wie CAIQ an die Cloud-Sicherheit. Organisationen, die einen Cloud-Anbieter bewerten, fordern manchmal beide an: CAIQ für die cloud­spezifischen Kontrolldetails und SIG für das umfassendere Risikobild.

Charakter der Selbstauskunft und Rolle als Nachweis

Was der Abschluss tatsächlich belegt

Ein ausgefüllter SIG Questionnaire ist eine Selbsteinschätzung, keine Prüfung und keine Zertifizierung. Anbieter geben die Antworten selbst ab, und eine prüfende Person bewertet sie; im Instrument ist keine unabhängige Überprüfung vorgesehen. Der ausgefüllte Fragebogen dient daher als dokumentierter Nachweis dafür, dass eine Due-Diligence-Prüfung stattgefunden hat und dass die vom Anbieter selbst angegebenen Kontrollen geprüft wurden, nicht als Beleg dafür, dass diese Kontrollen wie beschrieben funktionieren. Einen zurückgesendeten SIG so zu behandeln, als entspräche er einem SOC-2-Bericht oder einem ISO-Zertifikat, überschätzt, was eine Selbsteinschätzung leisten kann.

Aufbewahrung und laufende Überwachung

Abgeschlossene Fragebögen werden in der Regel zusammen mit unterstützenden Unterlagen wie Richtlinien, Zertifizierungen und Incident-Response-Plänen aufbewahrt und sind Teil einer Vendor-Risikodatei. Diese Datei ist kein einmaliges Artefakt. Da sich der SIG-Inhalt selbst jährlich ändert und sich auch das eigene Kontrollumfeld eines Vendors im Laufe der Zeit verändert, ist ein Fragebogen aus zwei Zyklen zuvor nur begrenzt aussagekräftig für die aktuelle Sicherheitslage. Laufende Monitoring-Programme planen Re-Assessments in der Regel mit einer Frequenz, die an die Vendor-Risikoklasse gekoppelt ist, statt sich auf eine einzelne historische Einreichung zu stützen.

Implementierung und Tools

In der Praxis ist der SIG Questionnaire ein Excel-Dokument, das laut Shared Assessments von einem begleitenden Tool, dem SIG Manager von Shared Assessments, aus gespeicherten Scoping-Vorlagen erzeugt wird. Mit diesem Tool können Nutzer Fragebogeninstanzen erstellen, anpassen, speichern, vergleichen und wieder aufrufen, eingebettet in einen umfassenderen Third-Party-Risikomanagement-Prozess, statt jede Beurteilung als einzelne Datei zu behandeln. Dieser Unterschied ist wichtig: Der Fragebogen ist das Artefakt, das ein Anbieter ausfüllt, während das Management-Tooling das ist, was ihn für das gesamte Anbieterportfolio erzeugt, versioniert und archiviert. Wer beides verwechselt, unterschätzt leicht, wie viel Konfiguration und Versionskontrolle hinter dem steckt, was auf den ersten Blick wie eine einzelne Tabellenkalkulation aussieht.

Einführung und jährliche Weiterentwicklung

Nutzung im Vergleich zu individuellen Fragebögen

Umfragedaten zu Third-Party-Risk-Programmen zeigen, dass etwa 18 Prozent einen branchenüblichen Fragebogen wie SIG verwenden, während rund 57 Prozent auf intern erstellte, individuelle Fragebögen setzen. Dies deutet darauf hin, dass SIG weithin als Referenzstandard anerkannt ist, ohne die Standardwahl für die meisten Programme zu sein, vermutlich weil das Erstellen oder Pflegen eines eigenen Fragebogens sich für einige Risk-Teams weiterhin maßgeschneiderter anfühlt, selbst wenn dies die Vergleichbarkeit zwischen verschiedenen Anbietern einschränkt.

Jährlicher Aktualisierungszyklus

Die Inhalte des SIG werden in einem jährlichen Zyklus aktualisiert, um neue Vorschriften, aufkommende Risiken und sich weiterentwickelnde Best Practices zu berücksichtigen. Veröffentlichte Angaben zu Fragenanzahl und Domänen, wie etwa 810 bis 855 Fragen im SIG Core oder 19 bis 21 Domänen, verändern sich dadurch von einer Version zur nächsten leicht. Dies sind keine festen Eigenschaften des Standards, sondern eine Momentaufnahme eines lebendigen Fragebogens, der laufend gepflegt wird, statt einmalig veröffentlicht und dann unverändert gelassen zu werden.