Nach dem Lesen können Sie dem Risiko angemessene Fragebögen versenden und eine Bibliothek aufbauen, die sie schnell und wahrheitsgemäß beantwortet.
Definition
Einkäufer nutzen eigene Listen oder gemeinsame wie den SIG von Shared Assessments oder den CAIQ der Cloud Security Alliance. Die Antworten landen oft im Vertrag, was ihnen Gewicht gibt.
Warum es wichtig ist
Für einen Einkäufer ist er ein günstiger Weg, Lieferanten zu vergleichen. Für einen Lieferanten, der nichts vorbereitet hat, kann er ein Geschäft wochenlang aufhalten.
Seine Grenze ist, dass die Antworten Selbstauskünfte sind, also müssen Nachweise und Vertragsklauseln das Wichtigste absichern.
Wie es funktioniert
Wenn Sie einen versenden, passen Sie ihn an die Stufe an: eine kurze Liste bei geringem Risiko, die vollständige nur für kritische Lieferanten. Verlangen Sie Nachweise zu den wichtigen Punkten und lesen Sie die Antworten.
Wenn Sie antworten, führen Sie eine Bibliothek genehmigter Antworten, jeweils mit Nachweis und Verantwortlichem, und aktualisieren Sie sie nach jeder relevanten Änderung.
Beantworten Sie genau, was gefragt wird. Wo eine Praxis nur teilweise umgesetzt ist, sagen Sie es und erklären Sie die ausgleichende Maßnahme.
Ein Praxisbeispiel
Ein SaaS-Unternehmen mit 50 Beschäftigten erhält etwa vier Fragebögen im Monat mit je rund 200 Fragen. Es baut eine Bibliothek mit 150 genehmigten Antworten und eine Vertrauensseite mit seinem ISO/IEC-27001-Zertifikat auf.
Die durchschnittliche Antwortzeit sinkt von neun Tagen auf zwei, und der Vertrieb zieht die Sicherheit nur noch bei neuen Fragen hinzu.
Bewährte Praktiken
- Lassen Sie jede Antwort von jemandem genehmigen, der die Praxis kennt.
- Datieren Sie Ihre Antworten und überprüfen Sie sie einmal im Jahr.
- Teilen Sie Nachweise unter einer Vertraulichkeitsvereinbarung.
- Machen Sie aus immer wiederkehrenden Fragen öffentliche Dokumente.
Häufige Fehler
- Alles mit Ja zu beantworten, um den Verkauf abzuschließen. Diese Antworten können als Vertragsklauseln zurückkommen.
- Eine alte Antwort wiederzuverwenden, nachdem sich die Praxis geändert hat.
- Einem kleinen Lieferanten risikoarmer Leistungen 300 Fragen zu schicken.
- Antworten zu sammeln und nie zu lesen, was allen Zeit kostet.
Fragen
- Was ist der SIG-Fragebogen?
- Der Standardized Information Gathering Questionnaire von Shared Assessments, weit verbreitet bei Lieferantenprüfungen.
- Was ist der CAIQ?
- Der Consensus Assessments Initiative Questionnaire der Cloud Security Alliance, gedacht für Cloud-Anbieter.
- Kann ein Zertifikat einen Sicherheitsfragebogen ersetzen?
- Es kann ihn verkürzen, besonders wenn der Geltungsbereich passt. Viele Einkäufer fragen trotzdem nach Einzelheiten.
- Sind Antworten in Fragebögen rechtlich bindend?
- Sie können es sein, besonders wenn der Vertrag auf sie verweist, und eine falsche Antwort kann eine Falschdarstellung sein.
- Kann KI Sicherheitsfragebögen ausfüllen?
- Sie kann aus Ihren genehmigten Antworten einen Entwurf erstellen. Jemand, der die Praxis kennt, sollte ihn trotzdem prüfen.