wer ist verantwortlich für das Ausfüllen von Kundenfragebogen zur Sicherheit

Verantwortlich ist die Rolle, nicht die Abteilung

Es gibt keine gesetzliche Vorgabe, wer im Unternehmen den Sicherheitsfragebogen ausfüllt — das ist interne Regelung, keine Verpflichtung aus einer Verordnung. In der Praxis liegt es bei dem, der die Antwort begründen kann: häufig der IT-Manager oder Security Officer für die technischen Maßnahmen und HR oder Geschäftsführung für Richtlinien und Bewusstsein. Bei einer ISO-27001-Zertifizierung ist dies üblicherweise bereits in der Rollenverteilung des Informationssicherheitsmanagementsystems festgelegt, und dann ist der Fragebogen eine Frage der Abfrage dieses Systems, nicht einer erneuten Klärung.

Wo es häufig schiefgeht, ist nicht die Frage, wer ausfüllt, sondern die Frage, wer genehmigen darf. Eine technische Antwort kann korrekt sein, aber wenn die Person, die sie einträgt, keinen Überblick hat darüber, was an externe Parteien weitergegeben werden darf, gelangen Informationen nach außen, die dort nicht hingehören. Das ist ein Grund, das Ausfüllen und die Freigabe als zwei separate Schritte zu sehen: der erste ist sachlich, der zweite ist eine Abwägung über Vertraulichkeit. Diese gleiche Unterscheidung spielt beispielsweise auch bei der Frage ob das Unternehmen einen Kontinuitätsplan hat — auch dort ist die Antwort häufig bekannt, aber nicht immer beabsichtigt, um im Detail weitergegeben zu werden.

Was der Fragebogen inhaltlich prüft

Die zehn Maßnahmen des Artikel 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) geben einen guten Überblick über die Kategorien, die in Kundenfragebögen vorkommen: Risikoanalyse, Vorfallbehandlung, Geschäftskontinuität, Lieferantensicherheit, Zugangsrichtlinien und ähnliches. Wer ISO/IEC 27001 anwendet, erkennt dieselben Themen in den Kontrollmaßnahmen von Annex A — das macht den Standard zu einem nützlichen internen Nachschlagewerk, auch wenn das Zertifikat selbst dem Kunden nicht vorgelegt wird. Für die Frage ob das Unternehmen ISO 9001-zertifiziert ist gilt die gleiche Logik: es geht um eine separate Norm, aber die Frage, wer die Antwort kennt und verwaltet, liegt organisatorisch häufig bei der gleichen Person.