Warum die Fragebögen kommen
NIS2 trat ab Oktober 2024 über nationale Gesetze in der gesamten EU in Kraft. Es erfasst Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung, Herstellung bestimmter Waren, Lebensmittel, digitale Anbieter und mehr und verpflichtet betroffene Organisationen, die Sicherheit der Lieferkette zu steuern: die Sicherheit ihrer direkten Lieferanten und Dienstleister zu bewerten. Die praktische Form dieser Bewertung ist ein Fragebogen, und er geht an jeden Lieferanten mit Zugang zu den Systemen oder Daten der Organisation.
Was ein Fragebogen nach NIS2-Muster fragt
Die Richtlinie listet die Maßnahmen auf, die betroffene Einrichtungen treffen müssen, und die Fragebögen folgen dieser Liste: Risikoanalyse und Sicherheitsrichtlinien; Umgang mit Sicherheitsvorfällen; Geschäftskontinuität, Backups und Krisenmanagement; Sicherheit der Lieferkette, also Fragen zu Ihren eigenen Lieferanten; Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Umgang mit Schwachstellen; wie Sie die Wirksamkeit Ihrer Maßnahmen bewerten; Cyberhygiene und Schulung; Kryptografie; Personalsicherheit und Zugriffskontrolle; sowie Multi-Faktor-Authentifizierung und sichere Kommunikation.
Die Fragen zu Sicherheitsvorfällen sind die besonderen. Eine betroffene Einrichtung muss ihrer Behörde innerhalb von 24 Stunden, nachdem sie von einem erheblichen Vorfall erfahren hat, eine Frühwarnung geben, also wird sie fragen, ob Sie sie schnell genug benachrichtigen, über welchen Kanal und mit welchen Informationen. Halten Sie eine Antwort mit Frist und benanntem Kontakt bereit.
Antworten als Lieferant
Antworten Sie wie bei jedem Sicherheitsfragebogen: die Kontrolle, der Verantwortliche, die Häufigkeit, die Nachweise. Zwei Ergänzungen schaffen Vertrauen bei NIS2-Prüfern. Erstens eine klare Zusage zur Meldung von Sicherheitsvorfällen: „Wir benachrichtigen betroffene Kunden innerhalb von X Stunden nach Bestätigung eines Vorfalls, der ihre Daten betrifft, per E-Mail an den benannten Sicherheitskontakt, mit einer Nachmeldung innerhalb von 72 Stunden“. Zweitens Ihre eigene Lieferantenliste: Die Pflicht des Kunden folgt der Kette, also wird er fragen, wer Ihre Hosting-, E-Mail- und KI-Anbieter sind und wie Sie diese bewerten.
Dieselben Antworten, eine Überschrift mehr
Die Maßnahmen, die NIS2 auflistet, überschneiden sich fast vollständig mit den Kontrollen von ISO 27001 und dem Sicherheitskriterium von SOC 2. Eine Bibliothek mit einer freigegebenen Antwort je Kontrolle beantwortet auch einen NIS2-Fragebogen; was sich ändert, ist der Schwerpunkt auf Meldung, Kontinuität und Lieferanten. Responsemate entwirft jeden Fragebogen aus dieser einen Bibliothek und zeigt, wo Ihre Antworten dünn sind, bei NIS2 meist die Zeilen zu Meldung und Lieferanten. Wie die Wissensdatenbank Antworten aktuell hält.
Häufige Fragen
Gilt NIS2 für uns, wenn wir ein kleiner Softwareanbieter sind?
Meist nicht direkt. NIS2 erfasst wesentliche und wichtige Einrichtungen in den aufgeführten Sektoren oberhalb einer Größenschwelle. Fallen aber Ihre Kunden darunter, müssen sie das Risiko steuern, das Sie darstellen, und ihr Fragebogen ist das Mittel dazu. Außerhalb von NIS2 zu stehen erspart Ihnen den Fragebogen nicht.
Was fragt ein NIS2-Fragebogen, was andere nicht fragen?
Mehr zur Meldung von Sicherheitsvorfällen (können Sie den Kunden schnell genug informieren, damit er seine eigene 24-Stunden-Frühwarnpflicht einhält), zu Geschäftskontinuität und Krisenmanagement und zu Ihren eigenen Lieferanten, weil die Richtlinie der Kette folgt.