wer ist verantwortlich für das Ausfüllen des Sicherheitsfragebogens

Rollenverteilung ist selbst keine Normvorgabe, die Antwort jedoch zu überprüfen

Der Fragebogen selbst schreibt nicht vor, wer ihn ausfüllt; Artikel 21 Absatz 2 NIS2 und Annex A der ISO/IEC 27001 befassen sich mit den Maßnahmen, die eine Organisation ergreift, nicht mit dem Funktionär, der das Formular unterzeichnet. In der Praxis ist es meist die Person, die die Informationssicherheitsrichtlinie kennt: ein Security Officer, IT-Manager oder bei kleineren Unternehmen der Geschäftsführer selbst. Bei einem ISO 27001-Zertifikat ist oft bereits ein Verantwortlicher im Managementsystem benannt — dieser Name ist dann der logische Ansprechpartner für diese Liste.

Was jedoch feststeht: die Antworten müssen auf etwas beruhen. Geht eine Frage um Zugangsschutz, muss jemand angeben können, welche Richtlinie oder welche Maßnahme dahintersteckt — nicht aus dem Kopf ausfüllen, sondern aus einer Dokumentation ablesen. Das macht es weniger eine Frage von "wer darf dies ausfüllen" und mehr von "wer hat die zugrunde liegenden Fakten zur Hand". Diese Person ist oft auch diejenige, die beurteilen kann, ob das Unternehmen KI-Systeme bei ihrer Dienstleistung einsetzt," da es dieselbe technische Erfassung berührt. Bei Unsicherheit darüber, wer intern Eigentümer einer Antwort ist, ist es oft die gleiche Person, die auch den Kontinuitätsplan bei einer schwerwiegenden Störung verwaltet — die beiden Themen überschneiden sich beim Quellenmaterial.

Woher dies folgt: Artikel 21 Absatz 2 und Anhang A

Artikel 21 Absatz 2 NIS2 nennt zehn Kategorien von Maßnahmen, darunter Risikomanagement, Incident-Handling und Zugangsrichtlinien — die Richtlinie regelt den Inhalt dieser Maßnahmen, nicht wer sie intern meldet. ISO/IEC 27001 Annex A arbeitet dies in konkrete Kontrollmaßnahmen aus, und Organisationen, die zertifiziert sind, haben typischerweise bereits einen Verantwortlichen in ihrem Managementsystem festgelegt. Diese bestehende Rollenverteilung ist die naheliegendste Quelle, auf die man beim Ausfüllen eines Sicherheitsfragebogens zurückgreifen kann.