Security-Fragebogen vom Kunden: So beantwortet ihr ihn.
Immer mehr Zulieferer und Dienstleister bekommen Fragebögen zur IT-Sicherheit. Was dahintersteckt, was gefragt wird und wie ihr ihn beantwortet, ohne euch zu verzetteln.
Viele Unternehmen müssen inzwischen auch die Sicherheit ihrer Lieferanten prüfen. Deshalb kommen die Fragebögen. Beantwortet sie ehrlich, legt die üblichen Nachweise einmal sauber an und nennt für Lücken einen konkreten Termin. Die meisten Fragen drehen sich um MFA, Backups, Updates und einen Notfallplan.
Warum Kunden Fragebögen schicken
Neue EU-Vorgaben zur Cybersicherheit, Anforderungen von Versicherungen und eigene Sicherheitsrichtlinien sorgen dafür, dass größere Unternehmen die Sicherheit in ihrer Lieferkette nachweisen müssen. Wenn ihr Zugriff auf deren Systeme oder Daten habt, Software liefert oder für den laufenden Betrieb wichtig seid, gehört ihr dazu.
Was typischerweise gefragt wird
- Organisation: Gibt es eine verantwortliche Person für IT-Sicherheit? Gibt es schriftliche Richtlinien?
- Zugänge: Nutzt ihr Multi-Faktor-Authentifizierung? Wie werden Passwörter verwaltet? Was passiert, wenn jemand das Unternehmen verlässt?
- Updates: Wie schnell werden Sicherheitsupdates eingespielt? Gibt es noch Systeme ohne Herstellersupport?
- Backup: Wie oft wird gesichert, wo liegen die Sicherungen und wurde die Wiederherstellung schon getestet?
- Vorfälle: Gibt es einen Notfallplan? Wie schnell informiert ihr euren Kunden bei einem Sicherheitsvorfall?
- Daten des Kunden: Wo werden seine Daten gespeichert, wer hat Zugriff und welche Unterauftragnehmer setzt ihr ein?
- Mitarbeitende: Werden alle regelmäßig zu Phishing und sicherem Verhalten geschult?
Den Fragebogen an einem Tag beantworten
- Eine Person verantwortlich machen. Eine Person koordiniert, holt Antworten ein und behält die Frist im Blick.
- Erst sortieren, dann schreiben. Fragen in drei Stapel teilen: haben wir, haben wir teilweise, haben wir nicht.
- Kurz und konkret antworten. „MFA ist für E-Mail und VPN aktiv“ ist besser als ein Absatz über die Bedeutung von Sicherheit.
- Lücken mit Termin benennen. „Wird bis Ende März eingeführt“ wirkt seriöser als ein geschöntes Ja.
- Antworten und Nachweise ablegen. Für den nächsten Fragebogen habt ihr dann schon das meiste fertig.
Welche Nachweise Kunden oft verlangen
- Eine kurze IT-Sicherheitsrichtlinie, von der Geschäftsführung unterschrieben
- Passwort- und Zugriffsrichtlinie
- Backup-Konzept mit Protokoll des letzten Wiederherstellungstests
- Notfallplan oder IT-Notfallkarte
- Liste eurer Dienstleister und Unterauftragnehmer
- Nachweise über Schulungen, z. B. Teilnehmerlisten
- Vertrag zur Auftragsverarbeitung (AVV) nach DSGVO
Die Dokumente müssen nicht lang sein. Zwei Seiten, die stimmen und gelebt werden, sind mehr wert als ein Handbuch, das niemand kennt.
Vier Maßnahmen, die viele Fragen auf einmal beantworten
- MFA überall einschalten: Vor allem für E-Mail, Cloud-Dienste und Fernzugänge. Kostet meist nichts und ist die Frage, die fast jeder Fragebogen stellt.
- Passwortmanager einführen: Damit beantwortet ihr gleich mehrere Fragen zu Passwortregeln und Zugriffsverwaltung.
- Wiederherstellung testen: Ein Backup, das nie zurückgespielt wurde, ist kein Nachweis. Einmal testen und das Ergebnis protokollieren.
- Notfallkarte aushängen: Eine Seite mit Ansprechpartnern und Sofortmaßnahmen. Eine Vorlage dafür bietet das BSI mit seiner IT-Notfallkarte.
Wie Inova Digital unterstützt
Wir gehen den Fragebogen mit euch durch. Wer noch keinen Überblick über den eigenen Stand hat, startet mit unserem Sicherheitscheck nach DIN SPEC 27076. Danach schließen wir technische Lücken wie MFA, Passwortmanager oder Backup und betreiben diese Werkzeuge auf Wunsch für euch, gehostet in Deutschland. Mehr auf unserer Seite IT-Sicherheit.
Dieser Artikel dient der Orientierung und ist keine Rechtsberatung. Stand: Oktober 2026.
Häufige Fragen.
Gesetzlich verpflichtet seid ihr in der Regel nicht. Euer Kunde muss aber oft nachweisen, dass er seine Lieferkette absichert. Ohne Antwort riskiert ihr, als Lieferant aussortiert zu werden.
Dann antwortet ehrlich und nennt, bis wann ihr die Lücke schließt. Ein konkreter Plan wird oft akzeptiert. Falsche Angaben dagegen können später als Vertragsverletzung gelten.
Für die meisten kleinen Lieferanten nicht. Manche Kunden verlangen sie bei besonders sensiblen Leistungen. In der Regel reichen gut dokumentierte Basismaßnahmen.
Legt euch einmal eine Sammlung mit Standardantworten und Nachweisen an. Die meisten Fragebögen fragen dieselben Themen ab, nur anders formuliert. Ab dem zweiten Fragebogen geht es dann deutlich schneller.
Der Fragebogen liegt schon auf dem Tisch?
Schickt ihn uns. Wir sagen euch, was ihr schon erfüllt und was fehlt.