Security Questionnaires & Automatisierung

Sicherheitsfragebögen kommen aus zwei Richtungen: Im Third-Party-Risk-Management (TPRM) prüfen Einkäufer ihre Anbieter, im Vertrieb sind ausgefüllte Fragebögen zunehmend Voraussetzung für den Abschluss. Treiber ist auch die Regulierung – NIS2 (Richtlinie (EU) 2022/2555) verlangt in Art. 21 Abs. 2 Buchst. d Maßnahmen zur Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern, DORA (Verordnung (EU) 2022/2554) verpflichtet Finanzunternehmen in Art. 28 Abs. 3 zu einem Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern. Für die beantwortende Seite entsteht erheblicher wiederkehrender Aufwand, weil sich die Fragen inhaltlich stark überschneiden, aber in Format und Formulierung variieren. Hinzu kommt Verbindlichkeit: Antworten sind vorvertragliche Aussagen, auf die sich Kunden und Prüfer später berufen können.

Zwei Kataloge haben sich als De-facto-Standards etabliert. Der Consensus Assessment Initiative Questionnaire (CAIQ) der Cloud Security Alliance umfasst in Version 4.1 283 Ja/Nein-Fragen und ist mit der Cloud Controls Matrix (CCM) v4.1 synchronisiert, die 207 Controls in 17 Domänen definiert (veröffentlicht Ende Januar 2026); daneben existiert eine verkürzte CAIQ-Lite-Variante. Der Standardized Information Gathering Questionnaire (SIG) von Shared Assessments deckt Risikodomänen von Cybersicherheit über IT, Datenschutz und Data Governance bis Business Resilience ab, wird jährlich aktualisiert und formalisiert mit dem Jahrgang 2026 Scoping-Presets (Lite, Core, Detail) für risikoabhängige Fragetiefe – ergänzt u. a. um ein Mapping auf ISO/IEC 42001 für KI-Governance. Daneben bleiben proprietäre Excel-Fragebögen einzelner Kunden verbreitet, die denselben Stoff in individueller Struktur abfragen.

Inhaltlich fragen die meisten Questionnaires dieselben Themenfelder ab: Governance und ISMS-Nachweise (etwa ISO/IEC-27001-Zertifikat oder SOC-2-Bericht), Identitäts- und Zugriffsmanagement, Verschlüsselung, sichere Entwicklung, Schwachstellen- und Patch-Management, Incident Response und Meldewege, Business Continuity, Datenschutz und Auftragsverarbeitung sowie Subdienstleister – zunehmend ergänzt um Fragen zum Einsatz von KI. Erwartet werden dabei nicht nur Ja/Nein-Angaben, sondern belastbare Nachweise: Zertifikate, Audit- und Pentestberichte, Richtlinienauszüge. Qualitätsmaßstab ist Konsistenz – Antworten müssen zum tatsächlichen Kontrollumfeld, zum Geltungsbereich der Zertifikate und zu den vertraglichen Zusagen passen, sonst werden sie im Audit oder im Schadensfall zum Risiko.

Fundament jeder Automatisierung ist eine kuratierte Antwort-Bibliothek: geprüfte Frage-Antwort-Paare mit Versionierung, fachlicher Ownership, Gültigkeitszeitraum und Quellenverweis auf die zugrunde liegenden Controls und Richtlinien. KI-gestützte Werkzeuge setzen darauf auf, erkennen semantisch ähnliche Fragen über unterschiedliche Formulierungen hinweg und schlagen Antwortentwürfe aus Bibliothek und Sicherheitsdokumentation vor. Ein menschlicher Review vor Versand bleibt zwingend: Sprachmodelle können plausible, aber unzutreffende Antworten erzeugen, und jede Antwort ist eine Zusicherung gegenüber dem Kunden. Tragfähig wird der Ansatz erst mit Governance – Freigabeprozess, Audit-Trail pro Antwort und regelmäßiger Abgleich der Bibliothek mit dem realen Kontrollzustand.

Ein Trust Center kehrt die Logik um: Statt jeden Fragebogen einzeln zu beantworten, stellt der Anbieter Zertifikate, Prüfberichte, Richtlinienübersichten, Subdienstleister-Listen und ausgefüllte Standardfragebögen wie CAIQ oder SIG proaktiv in einem Portal bereit – sensible Dokumente typischerweise hinter einer NDA-Freigabe. Gut gepflegte Trust Center können einen Teil eingehender Fragebögen vollständig ersetzen und den Rest auf die tatsächlich offenen Punkte verkürzen. Ein standardisiertes öffentliches Pendant für Cloud-Anbieter ist das STAR-Register der Cloud Security Alliance: Level 1 ist eine CAIQ-basierte Selbstauskunft, Level 2 eine Drittprüfung als STAR Attestation (SOC 2) bzw. STAR Certification (ISO/IEC 27001). Entscheidend ist Aktualität – ein veraltetes Trust Center erzeugt mehr Rückfragen, als es vermeidet.

Für die anfragende Seite ist der Fragebogen nur ein Schritt im TPRM-Lebenszyklus: Die Kritikalitätseinstufung des Anbieters bestimmt die angemessene Fragetiefe, danach folgen Bewertung der Antworten und Nachweise, vertragliche Kontrollen und kontinuierliches Monitoring; NIS2 verlangt in Art. 21 Abs. 3 ausdrücklich, die spezifischen Schwachstellen und Cybersicherheitspraktiken der unmittelbaren Anbieter zu berücksichtigen. Wer Standardkataloge wie CAIQ oder SIG akzeptiert statt eigener Excel-Vorlagen, senkt den Aufwand auf beiden Seiten, ohne Aussagekraft zu verlieren. Für die beantwortende Seite gehören ein definierter Intake-Prozess mit Zuständigkeiten und Fristen sowie der Rückfluss der Erkenntnisse ins eigene ISMS dazu – wiederkehrende Lücken in Fragebögen sind ein guter Indikator für echten Handlungsbedarf. Anforderungen an beide Rollen beschreibt ISO/IEC 27036-2:2022 für das Management der Informationssicherheit in Lieferantenbeziehungen.