Die Nachricht kommt an einem Dienstag vom Einkauf Ihres grössten Kunden. Im Anhang eine Tabelle mit achtzig Fragen zu Ihrer Informationssicherheit, die innerhalb von fünfzehn Tagen zurückzusenden ist. Der Vertrag für das nächste Jahr hängt davon ab.
Die erste Reaktion ist fast immer dieselbe: eine Mischung aus Ärger und Sorge, weil die Hälfte der Fragen sich an ein zehnmal grösseres Unternehmen zu richten scheint. Das ist eine verständliche Reaktion, und es ist auch die falsche. Richtig angegangen, wirkt sich diese Übung zu Ihrem Vorteil aus.
Warum erhalten Sie dieses Dokument jetzt?
Diese Fragebögen entstehen nicht aus übermässiger Bürokratie. Drei Entwicklungen laufen zusammen, und sie sind dauerhaft.
Die europäische Regulierung wird per Vertrag weitergegeben. Die NIS2-Richtlinie verpflichtet die von ihr erfassten europäischen Organisationen, die Risiken ihrer Lieferkette zu beherrschen und Sicherheitsanforderungen in ihre Lieferantenverträge aufzunehmen. Sie gilt nicht für Ihr Schweizer KMU, aber Ihr Kunde muss nachweisen, dass er Sie bewertet hat. Der Fragebogen ist sein Nachweis. Dieser Mechanismus wird in unserem Artikel zu NIS2 und Schweizer KMU erläutert.
Die Versicherer haben ihre Bedingungen verschärft. Ein Unternehmen, das eine Cyberversicherung abschliesst, muss seine eigenen Massnahmen beschreiben, und immer öfter auch die seiner kritischen Dienstleister. Ihre Antworten fliessen manchmal direkt in das Versicherungsdossier Ihres Kunden ein.
Die Einkäufer haben ihre Lektion gelernt. Angriffe über die Lieferkette sind zu einer gängigen Vorgehensweise geworden, und grosse Auftraggeber haben das selbst erlebt. Sie fragen nicht mehr, ob Sie seriös sind, sie verlangen, dass Sie es belegen. Die vollständige Begründung finden Sie in unserem Artikel zu Angriffen über die Lieferkette.
Die Themen, die in fast allen diesen Dokumenten wiederkehren
Die Formate variieren, von der selbstgemachten Datei mit zwanzig Zeilen bis zum standardisierten Referenzwerk mit mehreren hundert Fragen. Die Themen jedoch wiederholen sich von Dokument zu Dokument.
| Thema | Was tatsächlich gefragt wird |
|---|---|
| Governance | Wer bei Ihnen für die Sicherheit verantwortlich ist, gibt es schriftliche Regeln |
| Zugriff und Identitäten | Zwei-Faktor-Authentifizierung, Verwaltung von Austritten, privilegierte Konten |
| Schutz der Arbeitsplätze | Antivirus, Updates, Verschlüsselung von Laptops |
| Backups | Häufigkeit, Offline-Kopie, Wiederherstellungstest |
| Vorfälle | Gibt es ein Verfahren, innerhalb welcher Frist informieren Sie Ihren Kunden |
| Subunternehmer | Wem vertrauen Sie Daten an, mit welchen Verträgen |
| Personenbezogene Daten | Welche Kundendaten Sie besitzen, wo sie gehostet werden |
| Kontinuität | Wie viel Zeit für die Wiederaufnahme des Betriebs nach einem Ausfall |
Ein Punkt beruhigt Geschäftsführende oft, wenn man ihn ihnen zeigt: Diese Themen decken sich fast genau mit den Massnahmen, die in unserem Artikel zu den 10 wichtigsten Massnahmen beschrieben werden. Der Fragebogen verlangt nicht, dass Sie eine Bank sind. Er prüft die Grundlagen.
Sollten Sie überall Ja ankreuzen, um den Auftrag nicht zu verlieren?
Das ist die unmittelbare Versuchung, und es ist der teuerste Fehler.
Ihre Antworten bleiben nicht in einer Schublade. Sie werden in der Regel dem Vertrag beigefügt oder darin erwähnt und werden zu Erklärungen, auf die sich Ihr Kunde stützen wird. Kommt es zu einem Vorfall, wird die Rechtsabteilung als Erstes nachlesen, was Sie behauptet hatten.
Ein jährlich getestetes Offsite-Backup anzugeben, das es gar nicht gibt, verschafft Ihnen keinen Auftrag: Es verwandelt einen künftigen technischen Vorfall in eine nachweisbare Vertragsverletzung, mit dem Vertrauensverlust und den finanziellen Folgen, die daraus entstehen. Ein ehrliches Nein schliesst selten eine Tür. Ein falsches Ja lässt sie im schlimmsten Moment zuschlagen.
Es gibt einen noch praktischeren Grund. Diese Fragebögen werden von Personen gelesen, die Dutzende davon bearbeiten. Ein KMU mit zwölf Mitarbeitenden, das hundert Prozent der Fragen positiv beantwortet, einschliesslich zur permanenten Überwachung und zu vierteljährlichen Penetrationstests, wirkt nicht vorbildlich. Es wirkt unglaubwürdig.
Wie antworten Sie ehrlich, ohne sich zu disqualifizieren?
Die richtige Antwort auf eine Lücke ist kein trockenes Nein. Es ist eine dreiteilige Antwort, die Prüfende sofort erkennen und die sie beruhigt.
Schreiben Sie statt «Nein»: «Noch nicht in dieser Form vorhanden. Unsere Fernzugriffe sind heute auf drei namentlich benannte Personen beschränkt, und die Zwei-Faktor-Authentifizierung ist dort aktiv. Die vollständige Einführung ist mit unserem Dienstleister für das erste Quartal geplant.» Sie zeigen damit drei Dinge in drei Zeilen: Sie haben die Frage verstanden, Sie kennen Ihre tatsächliche Situation, und Sie haben einen Plan. Genau das sucht die prüfende Person.
Einige Grundsätze ergänzen diese Formel. Beantworten Sie die gestellte Frage, nicht die, die Ihnen lieber gewesen wäre. Trifft eine Frage auf Ihre Tätigkeit nicht zu, schreiben Sie das und begründen Sie es, statt ein Feld leer zu lassen. Lassen Sie das Ganze von Ihrem IT-Dienstleister für die technischen Elemente prüfen, behalten Sie aber die Kontrolle über die organisatorischen, vertraglichen und datenbezogenen Fragen: Sie binden die Geschäftsleitung.
Zwei Zulieferer aus der Westschweiz erhalten denselben Fragebogen von einem deutschen Industrieunternehmen. Der erste kreuzt alle zweiundsiebzig Fragen in einer Stunde mit Ja an. Der zweite beantwortet fünfundvierzig mit Ja, achtzehn mit Nein mit je einer Frist, und neun mit nicht zutreffend, mit Begründung. Den Auftrag erhält der zweite, weil sein Dossier das einzig glaubwürdige ist und dem Einkäufer kein rechtliches Risiko auferlegt. Der erste erhält eine Anfrage nach Belegen, die er nicht beantworten kann.
Was Sie niemals tun sollten
Vier Fehler kommen immer wieder vor, und sie lassen sich leicht beheben, sobald man sie benennt.
Lügen oder beschönigen. Der Punkt wurde bereits behandelt, verdient aber, wiederholt zu werden: Es ist das einzige wirklich schwerwiegende Risiko der ganzen Übung.
Das Dokument ungelesen zurücksenden. Manche Fragebögen enthalten Verpflichtungen, die in die Fragen eingebaut sind, insbesondere Fristen für die Meldung von Vorfällen von vierundzwanzig oder achtundvierzig Stunden, oder ein Recht auf Prüfung Ihrer Räumlichkeiten. Sie akzeptieren diese, indem Sie sie ankreuzen.
Vollständig an Dritte delegieren. Wenn Sie die gesamte Antwort ohne Überprüfung Ihrem Informatiker oder einem Berater überlassen, unterschreiben Sie Aussagen, die Sie beim Nachgespräch weder erklären noch einhalten können.
Jeden Fragebogen als Einzelereignis behandeln. Das ist der häufigste und ermüdendste Fehler: bei jeder Anfrage wieder bei null anzufangen und dieselben Informationen in denselben E-Mails vom letzten Jahr zu suchen.
Wie machen Sie daraus einen kommerziellen Vorteil?
Drehen Sie die Perspektive um. Ihr Kunde hat Ihnen gerade kostenlos die genaue Liste dessen geliefert, was er für wichtig hält, und was Ihre Wettbewerber ebenfalls nachweisen müssen.
Daraus ergeben sich zwei Nutzen. Erstens wird der Fragebogen zu Ihrer Roadmap: die Fragen, die Sie mit Nein beantworten, nach Aufwand und Wichtigkeit geordnet, ergeben einen viel relevanteren Aktionsplan als eine online gefundene allgemeine Liste. Zweitens wird die Fähigkeit, schnell und sauber zu antworten, selbst zu einem Argument. Bei einer Ausschreibung, bei der zwei Lieferanten gleichwertig sind, hebt sich derjenige, der innerhalb von achtundvierzig Stunden ein klares Sicherheitsdossier übermittelt, sofort von demjenigen ab, der eine Fristverlängerung verlangt.
Einige KMU aus der Westschweiz haben daraus einen Bestandteil ihrer Verkaufsargumentation gemacht, indem sie ihren Angeboten für Grosskunden von sich aus eine zweiseitige Notiz zu ihrem Sicherheitsdispositiv beilegen.
Das Dossier, das Sie ein für alle Mal vorbereiten sollten
Das Ziel ist es, ein wiederverwendbares Dossier zu erstellen, das Sie zweimal im Jahr aktualisieren, statt es bei jeder Anfrage neu aufzubauen. Sieben Elemente reichen aus.
- Ein Steckbrief Ihres Informationssystems. Ihre wichtigsten Werkzeuge, Ihre Hosting-Anbieter, wo Ihre Daten liegen und in welchem Land.
- Die Liste Ihrer kritischen Dienstleister, mit dem, worauf jeder Zugriff hat.
- Der Name der für die Sicherheit verantwortlichen Person bei Ihnen, auch wenn es die Geschäftsführung selbst ist. Ein Feld ohne Namen macht immer misstrauisch.
- Ihre IT-Richtlinie und der Nachweis, dass sie dem Personal zur Kenntnis gebracht wurde.
- Ihr Backup-System und das Datum des letzten Wiederherstellungstests, beschrieben in der 3-2-1-Backup-Regel.
- Ihr Vorfallverfahren, einschliesslich der Frist, innerhalb der Sie sich verpflichten, einen betroffenen Kunden zu informieren. Eine Seite reicht aus, wie unser Artikel zum Reaktionsplan bei Vorfällen erklärt.
- Ihre Verarbeitung personenbezogener Daten: welche Daten Ihrer Kunden Sie besitzen, auf welcher Grundlage und wo sie gehostet werden, im Einklang mit Ihren Pflichten unter dem nDSG.
Der Aufbau dieses Dossiers dauert beim ersten Mal einige Tage. Es dient danach für alle Ihre Kunden, für Ihre Versicherung, und am Tag, an dem ein Vorfall eintritt.
Es bleibt eine Grenze, die klar benannt werden muss. Ein Fragebogen ehrlich auszufüllen sagt Ihnen, was Sie angeben, nicht was Ihr Unternehmen tatsächlich schützt. Die beiden Fragen sind unterschiedlich. Ein angegebenes Backup kann im Stillen versagen, ein vergessener Dienstleisterzugriff kann jahrelang offen bleiben, und kein Formular erkennt das. Zu überprüfen, ob Ihre Antworten der Realität entsprechen, erfordert eine Kontrolle durch jemanden, der weiss, wo er hinschauen muss, und diese Überprüfung hat für Sie ebenso viel Wert wie für Ihren Kunden.
Für eine erste Einschätzung Ihrer Situation, bevor Sie starten, deckt der Cyber-Check-up die meisten Themen ab, die Sie in diesen Dokumenten wiederfinden werden. Die weiteren Anforderungen, die ein Schweizer KMU betreffen können, sind im Themenbereich Vorschriften zusammengefasst.