Der am häufigsten vorkommende Fehler
Der häufigste Fehler bei einer Cybersicherheits-Frageliste besteht nicht darin, dass Sie etwas falsch ausfüllen, sondern dass Sie etwas ausfüllen, das Sie nicht mehr nachweisen können. Eine Antwort wie "wir machen Sicherungen" oder "Passwortrichtlinie wurde eingeführt" wird oft aus dem Gedächtnis eingegeben, während der Abnehmer eigentlich nach der aktuellen Situation fragt: ist die Maßnahme noch gültig, und gibt es ein Dokument, das das bestätigt. Dieser Unterschied zwischen dem, was Sie denken zu tun, und dem, was Sie nachweisen können, ist der Kern fast jeder Ablehnung.
Die Lösung liegt nicht in besserer Formulierung, sondern in einer anderen Reihenfolge: zunächst Ihre Nachweise in Ordnung bringen, dann erst antworten. Wer umgekehrt vorgeht, füllt aus dem Gedächtnis aus und läuft Gefahr, dass die Antwort nicht mehr mit der Wirklichkeit übereinstimmt.
Warum dies häufiger schiefgeht, als Sie denken
Eine Cybersicherheits-Frageliste kommt selten allein. Eine Bank sendet ein Format, ein großer Kunde sendet ein anderes Format, und ein Versicherer stellt wiederum andere Fragen — alle über etwa dieselben Themen. Aufsichtsbehörden und Branchenverbände verweisen dabei regelmäßig auf die zehn Maßnahmen, die in der NIS2-Richtlinie genannt werden, wie Zugriffskontrolle, Incident Response und die Sicherheit der Lieferkette. Wer diese zehn Themen nicht als festen Ausgangspunkt nimmt, beantwortet jede Liste erneut von vorne, und das ist, wo Inkonsistenzen entstehen.
Fehler 1: dieselbe Antwort, nur anders formuliert
Weil jedes Portal sein eigenes Format verwendet, wird dieselbe Tatsache oft etwas anders aufgeschrieben. Bei einer Liste schreiben Sie, dass der Zugriff "auf autorisierte Mitarbeiter beschränkt ist", bei einer anderen, dass es "ein Rollenmodell" gibt. Beides kann wahr sein, aber wenn ein Abnehmer die Antworten nebeneinander legt — und das passiert zunehmend häufiger, auch automatisch — fallen die Unterschiede auf. Nicht, weil etwas falsch ist, sondern weil es inkonsistent aussieht.
Fehler 2: eine Maßnahme auf dem Papier, nicht in der Praxis
Ein Richtliniendokument, das vor drei Jahren aufgestellt und nie aktualisiert wurde, ist kein Beweis dafür, dass eine Maßnahme jetzt noch angewendet wird. Aufsichtsbehörden und Abnehmer schauen hier nicht nur auf das Vorhandensein eines Dokuments, sondern auf das Datum und darauf, wer es festgelegt hat. Eine Frageliste auf der Grundlage eines veralteten Dokuments auszufüllen ist der zweithäufigste Fehler.
Fehler 3: abgelaufene Nachweise, die niemand ersetzt
Zertifikate, Penetrationstestberichte und Versicherungsnachweise haben eine Gültigkeitsdauer. Wer diese nicht zentral verwaltet, stellt oft erst beim Ausfüllen einer neuen Liste fest, dass ein Nachweis abgelaufen ist. Das kostet Zeit, und manchmal muss die ganze Einreichung warten, bis ein neues Nachweis vorliegt. lesen Sie pro Thema, welche Nachweise üblicherweise angefordert werden und wann sie durchschnittlich ablaufen.
Fehler 4: den Umfang zu weit oder zu eng ausfüllen
Eine Frage über "Ihre Organisation" wird manchmal so beantwortet, als ginge es um eine Filiale, während der Abnehmer die ganze juristische Person meint — oder umgekehrt. Das scheint ein Detail zu sein, aber bestimmt, ob die Antwort inhaltlich korrekt ist. Bei Unsicherheit über den Umfang einer Frage ist es ratsam, die Definition in der Frageliste selbst zu überprüfen, oder die Frage direkt dem Abnehmer vorzulegen.
Wie Sie dies in der Praxis vermeiden
Die meisten dieser Fehler entstehen, weil dieselbe Information an mehreren Stellen lose aufbewahrt wird: in Postfächern, in Excel-Dateien, im Kopf eines Mitarbeiters. Eine zentrale Übersicht der Maßnahmen und Nachweise mit einem klaren Datum der letzten Überprüfung pro Nachweis vermeidet den größten Teil der oben genannten Fehler. Diese Übersicht muss nicht für jede Liste neu aufgebaut werden; sie wird ergänzt, sobald sich etwas ändert.
Supplia.eu wurde genau dafür entwickelt: Das System erkennt die Fragen in einer hochgeladenen Liste und ergänzt sie aus Ihrer Kettenakte, dann bestätigen Sie selbst bei jeder Antwort, ob sie korrekt ist. Wir bewerten oder erklären nichts — die inhaltliche Überprüfung und die Einreichung bei dem Portal Ihres Kunden bleiben bei Ihnen. Mit ein paar Fragen sehen Sie schnell, wo sich Ihre Akte derzeit befindet, und auf der Seite über unsere Arbeitsweise steht genau, woher die Informationen stammen.
Was dies nicht ersetzt
Dieser Artikel beschreibt allgemeine Muster, keine Bewertung Ihrer spezifischen Antworten oder Akte. Ob eine konkrete Maßnahme das erfüllt, was eine Bank, ein Versicherer oder ein großer Kunde genau verlangt, hängt von der Fragestellung dieser Partei selbst ab. Im Zweifelsfall über eine spezifische Frage ist es ratsam, diese dem Abnehmer vorzulegen oder bei rechtlichen Fragen einen Juristen zu befragen. Auf der Seite mit häufig gestellten Fragen steht ein Überblick, was wir tun und nicht tun.
Möchten Sie wissen, ob Ihre Akte die häufigsten Fehler bereits vermeidet? Führen Sie den kostenlosen Quick-Scan durch oder blättern Sie durch die Themen in der Wissensdatenbank — beide sind unverbindlich zugänglich.