NIS2-Lieferantenfragebogen (SAQ): was zu fragen ist, wie man ihn bewertet, plus kostenlose Vorlage

Was zu fragen ist: die sechs Bereiche, die zählen

Ein Fragebogen verdient seinen Platz, indem er kurz und gezielt ist. Decken Sie diese sechs Bereiche gut ab und hören Sie dann auf; die fünfzig zusätzlichen Felder, die niemand bewertet, bringen Länge, keine Sicherheit.

Wie man Antworten bewertet: nicht nur sammelt

Ein abgelegter und vergessener Fragebogen hat Sie Zeit gekostet und nichts gebracht. Der Wert liegt im Bewerten:

• Nach Kritikalität gewichten: ein „Nein“ bei MFA von einem Lieferanten, der Ihre Kundendaten hält, wiegt weit schwerer als ein fehlendes Richtliniendokument eines Anbieters niedriger Stufe. Legen Sie die Gewichte fest, bevor Sie ihn senden, nicht nachdem die Antworten eintreffen.
• „In Arbeit“ wie „Nein“ lesen: solange eine Kontrolle nicht vorhanden und belegt ist, ist sie eine Lücke mit Behebungsdatum, kein Bestehen. Gute Absichten überstehen kein Audit.
• Auf die Nicht-Antworten achten: vage oder ausweichende Antworten sind selbst eine Antwort. Fordern Sie Konkretes oder Nachweise, statt ein angekreuztes Kästchen für bare Münze zu nehmen.
• Nach Plan neu erheben: Antworten veralten. Ein einmal im Jahr ausgefüllter Fragebogen beschreibt einen Tag, nicht die elf Monate, die folgen.

Was tun, wenn ein Lieferant zu kurz greift

Eine Lücke ist nicht automatisch ein Grund, einen Lieferanten fallen zu lassen, aber sie muss irgendwohin führen. Vereinbaren Sie einen Behebungsplan mit benannten Verantwortlichen und Terminen, halten Sie ihn fest und machen Sie die wesentlichen Lücken vertraglich: ein Recht auf Nachweise, ein Behebungsdatum und einen Eskalationspfad, falls es sich verzögert.

Bei kritischen Lieferanten knüpfen Sie die Behebung an die Beziehung: Neubewertung vor Verlängerung, Sicherheitsklauseln im Vertrag und das Recht, Nachweise zu verlangen, statt Zusicherungen auf Treu und Glauben hinzunehmen. So oder so: halten Sie die Entscheidung fest. Ein Restrisiko zu akzeptieren ist eine völlig legitime Wahl, aber nur, wenn es eine schriftliche, verantwortete Entscheidung ist und nicht etwas, das durchgerutscht ist.

Der blinde Fleck des Fragebogens: Selbstauskunft

Jede Antwort ist eine Behauptung, die der Lieferant über sich selbst aufstellt. Manche sind ehrlich, manche hoffnungsvoll, manche zum Zeitpunkt Ihres Lesens schlicht veraltet. Ein Fragebogen sagt Ihnen, was ein Lieferant über seine Sicherheit glaubt, oder Sie glauben machen möchte; er sagt Ihnen nicht, was heute Morgen tatsächlich im Internet exponiert ist.

Deshalb stellen die stärksten Programme den Fragebogen neben externe technische Nachweise. Wenn ein Lieferant „ja, der gesamte Verkehr ist verschlüsselt“ schreibt und ein Scan ein abgelaufenes Zertifikat oder ein Klartext-Anmeldeformular findet, haben Sie einen Widerspruch, der ein Gespräch wert ist. Der Fragebogen erfasst Prozess und Absicht; kontinuierliches externes Monitoring bestätigt ihn, oder entlarvt seinen Bluff. Es geht nicht darum, sich für eines zu entscheiden. Es geht darum, beides zu nutzen.

Eine kostenlose Fragebogenvorlage zum Anpassen

Übernehmen Sie diese Abschnitte in Ihren eigenen Prozess. Halten Sie die Antworten bei ja / nein / in Arbeit plus einem Nachweisfeld, damit jede Behauptung später belegt (oder zerlegt) werden kann.

Wie norppa.io hilft

norppa.io sendet den Selbstbewertungsfragebogen direkt aus der Plattform an Ihre Lieferanten: keine Tabellenkalkulationen, kein Hinterherlaufen bei E-Mail-Verläufen. Die Antworten kommen nachverfolgt, versioniert und nach der von Ihnen gesetzten Gewichtung bewertet zurück.

Der entscheidende Teil: jede Antwort wird neben das aktuelle technische Risikoprofil des Lieferanten gestellt: mehr als hundert Prüfungen, täglich aufgefrischt. Wo ein selbstbewusstes „Ja“ mit dem kollidiert, was der Scan tatsächlich sieht, markiert es norppa.io, sodass Sie nicht nur lesen, was ein Lieferant sagt, sondern ob es standhält. Genau der blinde Fleck aus dem Abschnitt oben, geschlossen.