Fragebogenarten
Sicherheitsfragebogen
Eine Liste von Fragen, die ein Kunde einem Lieferanten schickt, um zu beurteilen, ob er ihm seine Daten und Systeme anvertrauen kann. Alles von dreißig Fragen in einem Formular bis zu mehreren Hundert über viele Tabellenblätter.
Lieferanten-Sicherheitsbewertung (VSA)
Der Prozess auf Kundenseite, zu dem der Fragebogen gehört: der Fragebogen, die Prüfung der Nachweise, eine Risikobewertung und eine Entscheidung. Manche Kunden nennen auch den Fragebogen selbst „VSA“.
SIG
Der Standardized-Information-Gathering-Fragebogen von Shared Assessments, der Standard bei Banken, Versicherern und Großunternehmen. SIG Core ist der vollständige Satz, SIG Lite die Kurzfassung. Siehe SIG vs. CAIQ vs. DDQ.
CAIQ
Der Consensus Assessment Initiative Questionnaire der Cloud Security Alliance, entwickelt für Cloud-Dienste und auf die Cloud Controls Matrix abgebildet.
DDQ
Ein Due-Diligence-Fragebogen: breiter als reine Sicherheit, er deckt das Unternehmen, seine Finanzen, Versicherungen und Kontinuität ebenso ab wie seine Sicherheitskontrollen.
Sicherheitsteil einer Ausschreibung (RFP)
Die Sicherheitsfragen innerhalb einer Ausschreibung. Meist ein verkürzter Fragebogen, beantwortet unter einer Frist, die der Vertriebszyklus setzt und nicht das Sicherheitsteam.
Beantworten
Antwortbibliothek
Der Bestand freigegebener Antworten, eine je Sachverhalt, aus dem Fragebögen beantwortet werden. Jeder Eintrag trägt einen Verantwortlichen und ein Datum. Siehe eine Antwortbibliothek aufbauen.
Wissensdatenbank
In Responsemate: die Antwortbibliothek plus die Dokumente, Links und früheren Fragebögen, aus denen die KI antwortet.
Nachweise
Ein Dokument, das belegt, dass eine Antwort stimmt: eine Richtlinie, ein Zertifikat, ein Testbericht, ein Übungsprotokoll. Siehe welche Nachweise Sie beilegen sollten.
Nicht zutreffend
Eine ehrliche Antwort, wenn eine Frage etwas beschreibt, das Sie nicht tun oder nicht haben, mit einem Satz zur Begründung. Prüfer akzeptieren das, wenn der Grund echt ist.
Konfidenzwert
In Responsemate: die Einstufung High, Medium oder Low an jedem Antwortentwurf, mit den Gründen: wie direkt die Quellen die Frage beantworten, wie gut sie zu ihr passen und wie aktuell sie sind.
Quelle
Woher ein Antwortentwurf stammt: der Q&A-Eintrag, die Datei, der Link oder die frühere Antwort, aus der er gebaut wurde. Eine Antwort mit Quellen lässt sich prüfen; eine ohne ist eine Meinung.
Aktualität
Ob eine Quelle oder Antwort noch aktuell ist: ein Zertifikat vor seinem Ablaufdatum, eine innerhalb des Jahres geprüfte Richtlinie, eine Mitarbeiterzahl aus diesem Quartal.
Freigeben
Der Schritt, in dem eine für die Antwort verantwortliche Person sie bestätigt. Ein Entwurf wird erst zur Antwort, wenn jemand ihn freigibt.
Rahmenwerke und Normen
ISO 27001
Die internationale Norm für ein Informationssicherheits-Managementsystem. Zertifizierung bedeutet, dass ein Auditor geprüft hat, dass das System in einem definierten Geltungsbereich existiert und funktioniert. Siehe ISO 27001-Fragebögen.
SOC 2
Ein Prüfbericht, den ein Auditor nach den Trust Services Criteria der AICPA über die Kontrollen einer Dienstleistungsorganisation ausstellt. Typ I beschreibt die Kontrollen zu einem Stichtag, Typ II prüft sie über einen Zeitraum. Siehe SOC 2-Fragebögen.
ISAE 3000 und ISAE 3402
Internationale Prüfungsstandards für Prüferberichte über die Kontrollen einer Dienstleistungsorganisation, in Europa verbreitet, wo SOC 2 weniger genutzt wird. Siehe ISAE 3000-Fragebögen.
NIS2
Die EU-Richtlinie zur Sicherheit von Netz- und Informationssystemen, seit 2024 über nationales Recht in Kraft, die betroffene Organisationen für die Sicherheit ihrer Lieferanten verantwortlich macht. Siehe NIS2-Lieferantenfragebögen.
DORA
Die EU-Verordnung zur digitalen operationalen Resilienz im Finanzsektor, anwendbar seit 2025, mit detaillierten Anforderungen daran, wie Finanzunternehmen ihre IKT-Drittdienstleister steuern. Siehe DORA-Fragebögen.
DSGVO
Die EU-Datenschutz-Grundverordnung. In einem Fragebogen erscheint sie als Fragen zu personenbezogenen Daten, Rechtsgrundlage, Auftragsverarbeitern und Unterauftragsverarbeitern, Übermittlungen und Meldung von Datenpannen. Siehe DSGVO-Lieferantenbewertungen.
NIST CSF
Das Cybersecurity Framework des US-amerikanischen National Institute of Standards and Technology: fünf Funktionen (Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen), an denen sich viele Fragebögen orientieren.
Cyber Essentials
Eine von der britischen Regierung getragene Zertifizierung über fünf grundlegende Kontrollen. Wird häufig von britischen Behörden und deren Lieferanten verlangt.
Kontrolle
Eine konkrete Maßnahme, die ein Risiko verringert: vierteljährliche Zugriffsprüfungen, Verschlüsselung ruhender Daten, ein getestetes Backup. Rahmenwerke sind Listen von Kontrollen; Fragebögen fragen, ob Sie sie haben.
Kontroll-Mapping
Die Verknüpfung Ihrer Antworten und Nachweise mit den Kontrollen eines Rahmenwerks. So sehen Sie, welche Kontrollen Sie abdecken und welche nicht, und beantworten einen rahmenwerkbasierten Fragebogen aus dem, was Sie bereits haben.
Verträge und Datenschutz
Auftragsverarbeitungsvertrag (AVV, DPA)
Der Vertrag nach DSGVO zwischen einem Kunden (Verantwortlicher) und einem Lieferanten (Auftragsverarbeiter), der regelt, wie personenbezogene Daten verarbeitet werden. Fragebögen fragen, ob Sie einen haben, und verlangen ihn oft.
Auftragsverarbeiter (Sub-processor)
Ein Lieferant, den Ihr Lieferant zur Verarbeitung der Kundendaten einsetzt: der Hosting-Anbieter, der E-Mail-Dienst, der KI-Anbieter. Kunden erwarten eine veröffentlichte Liste und eine Mitteilung bei Änderungen.
Datenresidenz
Wo Daten geografisch gespeichert und verarbeitet werden. „EU-Datenresidenz“ bedeutet, dass die Daten EU-Rechenzentren nicht verlassen.
Trust Center
Eine öffentliche Seite, auf der ein Unternehmen seine Sicherheitslage, Zertifikate und Richtlinien veröffentlicht, damit Kunden sie lesen können, bevor sie fragen. Sie beantwortet häufige Fragen im Voraus; den eigenen Fragebogen eines Kunden beantwortet sie nicht. Siehe Responsemate vs. ein Trust Center.
Penetrationstest
Ein Test, bei dem Sicherheitsspezialisten versuchen, in ein System einzudringen, und berichten, was sie gefunden haben. Fragebögen fragen nach dem Datum des letzten Tests, seinem Umfang und ob die Befunde behoben wurden.
Maximaler Datenverlust und Wiederanlaufzeit (RPO, RTO)
Wie viele Daten Sie bei einem Ausfall verlieren könnten (die Zeit seit dem letzten brauchbaren Backup) und wie lange der Dienst ausfallen dürfte. Fragebögen zur Geschäftskontinuität fragen nach beidem.