Welche Dokumente brauche ich für einen Sicherheitsfragebogen?
Ein Fachblog nennt sechs Dokumente, mit denen sich der Großteil der Anfragen beantworten lässt: Sicherheitsrichtlinie, Asset- und Zugriffsübersicht, Backup-Nachweis, Meldeweg, Patch-Prozess und Schulungsnachweis. Was Ihr Kunde genau verlangt, steht in seinem Fragebogen. Das ist eine Orientierung, keine Rechtsberatung.
Was ist ein Sicherheitsfragebogen?
Ein Sicherheitsfragebogen ist eine Liste von Fragen, die ein Kunde seinen Lieferanten stellt. Er fragt nach Organisation, Technik und Prozessen. Laut einem Fachblog hat er meist 40 bis 120 Fragen, kommt einmal im Jahr und hat oft eine kurze Rückgabefrist. Auch kleine Webagenturen bekommen ihn, wenn sie an mittlere oder große Firmen liefern.
Die sechs Dokumente im Überblick
Der Blog rät, sechs Dokumente einmal sauber zu erstellen und halbjährlich zu pflegen: Sicherheitsrichtlinie, Asset- und Zugriffsübersicht, Backup-Nachweis, Meldeweg, Patch-Prozess und Schulungsnachweis. Damit lasse sich der Großteil der Anfragen beantworten. Ob das bei Ihrem Kunden genauso gilt, hängt von seinem Fragebogen ab.
Was in jedes Dokument gehört
Die Sicherheitsrichtlinie beschreibt in wenigen Seiten, wie Ihre Agentur mit Daten und Zugängen umgeht. Die Asset- und Zugriffsübersicht listet Geräte, Konten und wer worauf zugreifen darf. Der Backup-Nachweis hält fest, was wie oft gesichert wird und wo die Kopien liegen. Der Meldeweg legt fest, wer bei einem Vorfall wen informiert. Der Patch-Prozess zeigt, wie Updates eingespielt werden. Der Schulungsnachweis belegt, dass Ihr Team unterwiesen wurde. Das sind allgemeine Beispiele zur Orientierung.
Warum der Fragebogen jedes Jahr wiederkommt
Antworten veralten. Ein neuer Mitarbeiter, ein neues Tool oder ein neuer Backup-Plan ändern die Lage. Deshalb rät der Blog zur halbjährlichen Pflege. Wer die Dokumente aktuell hält, kann alte Antworten leichter anpassen, statt jedes Jahr neu zu starten.
Was ist mit NIS2?
NIS2 ist die EU-Regel für Cybersicherheit. Sie gilt direkt für wesentliche und wichtige Einrichtungen. Die WKO schreibt, dass eine viel größere Anzahl von Unternehmen als Lieferant oder Dienstleister indirekt betroffen ist. Der Kunde legt Sicherheitsvorgaben vertraglich fest und verlangt Nachweise. Ob Ihre Agentur betroffen ist, klären Sie mit Ihrem Kunden oder einer Beratung.
Weitere Fragen
Brauche ich als kleine Agentur ein Zertifikat?
Ein Ratgeber für kleine Firmen sagt laut Suchergebnis, Zertifikate brauche man oft nicht. Fragen gibt es meist zu MFA, Backups, Patches und Notfallplan. Prüfen Sie den Fragebogen Ihres Kunden.
Wie oft sollte ich die Dokumente aktualisieren?
Der Fachblog empfiehlt eine halbjährliche Pflege. Ändern sich Tools oder Abläufe früher, passen Sie die Dokumente früher an.
Ist das eine Rechtsberatung?
Nein. Der Text gibt Orientierung. Bei Vertragsfragen helfen Anwältinnen, Anwälte oder die Beratung der WKO.