NIS2, DORA und die DSGVO verpflichten Ihre Kunden, jeden Anbieter und Diensteanbieter einzeln zu prüfen — deren Lieferkettenpflichten kommen deshalb immer wieder als Ihr Spreadsheet an. Die praktikable Antwort liegt auf Ihrer Seite: ein freigegebener Antwortbestand, eine dokumentierte Herkunft für jede Antwort und Review dort, wo die Konfidenz niedrig ist.
NIS2, DORA und die DSGVO verpflichten Ihre Kunden, jeden Anbieter und Diensteanbieter einzeln zu prüfen — deren Lieferkettenpflichten kommen deshalb immer wieder als Ihr Spreadsheet an. Die praktikable Antwort liegt auf Ihrer Seite: ein freigegebener Antwortbestand, eine dokumentierte Herkunft für jede Antwort und Review dort, wo die Konfidenz niedrig ist.
Haben Sie sich je gefragt, warum die Sicherheitsfragebögen nie aufhören? Sie beantworten einen gründlich, und der nächste kommt trotzdem: ein anderer Kunde, eine andere Vorlage, weitgehend dieselben Fragen. Der Grund liegt eine Stufe über Ihnen. Der Fragebogen in Ihrem Posteingang existiert, weil die Aufsichtsbehörde Ihres Kunden zuerst gefragt hat. Richtlinie (EU) 2022/2555 (NIS2) Art. 21(3) verpflichtet die Mitgliedstaaten sicherzustellen, dass erfasste Einrichtungen «die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse», berücksichtigen. Fällt Ihr Kunde in den Anwendungsbereich von NIS2, sind Sie der unmittelbare Anbieter, auf den dieser Satz zeigt. Die Kette ist kurz: Seine Aufsicht verlangt anbieterspezifische Sorgfalt, eine Frageliste ist der billigste Weg, diese Sorgfalt zu dokumentieren, und die Liste landet als Spreadsheet in Ihrem Posteingang. Multiplizieren Sie das mit jedem Kunden, der eine solche Pflicht trägt, und der Zustrom ist dauerhaft.
Ein Hinweis zur deutschen Fassung dieses Beitrags: Alle Zitate aus NIS2, DORA und DSGVO folgen den amtlichen deutschen Sprachfassungen auf EUR-Lex.
Lesen wir die drei Texte, die den Zustrom erzeugen. NIS2 bindet «wesentliche und wichtige Einrichtungen» (über die nationale Umsetzung, denn es ist eine Richtlinie) daran, «geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen» für die Sicherheit ihrer Netz- und Informationssysteme zu ergreifen (Art. 21(1)). Art. 21(2) macht dann eine Mindestliste verbindlich: Die Massnahmen müssen «zumindest Folgendes umfassen», und Buchstabe (d) lautet «Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern». Das Wort «einzelnen» in Art. 21(3) leistet hier echte Arbeit. Eine Pflicht, die Anbieter für Anbieter formuliert ist, lässt sich mit einer generischen Vendor-Policy kaum erfüllen, also wird sie Anbieter für Anbieter erfüllt, Frage für Frage.
Für Kunden im Finanzsektor ist der Mechanismus schärfer. Verordnung (EU) 2022/2554 (DORA) Art. 28(1)(a) sagt: Finanzunternehmen, die vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen getroffen haben, «bleiben jederzeit in vollem Umfang für die Einhaltung und Erfüllung aller Verpflichtungen nach dieser Verordnung und nach dem anwendbaren Finanzdienstleistungsrecht verantwortlich». Sie zu beauftragen überträgt ihre Pflichten nicht; genau deshalb müssen sie in Ihren Betrieb hineinsehen. Art. 28(4) listet auf, was vor der Vertragsunterschrift passieren muss, und Buchstabe (d) ist der Satz, der den Pre-Sales-Fragebogen erzeugt: Finanzunternehmen müssen «bei potenziellen IKT-Drittdienstleistern der gebotenen Sorgfaltspflicht nachkommen und während des gesamten Auswahl- und Bewertungsprozesses sicherstellen, dass der IKT-Drittdienstleister geeignet ist». Man beachte «während des gesamten»: Die Fragen kehren nach der Unterschrift wieder. Art. 28(5) fügt ein Tor hinzu: «Finanzunternehmen dürfen vertragliche Vereinbarungen nur mit IKT-Drittdienstleistern schließen, die angemessene Standards für Informationssicherheit einhalten.» Und nach Art. 28(3) berichten sie mindestens einmal jährlich an ihre zuständige Behörde über neue vertragliche IKT-Vereinbarungen, wobei das vollständige Informationsregister der Behörde auf Verlangen zur Verfügung steht; die Sorgfalt hinter jedem Eintrag hat also ein Publikum.
Die älteste Fassung der Pflicht ist Verordnung (EU) 2016/679 (DSGVO) Art. 28(1): «Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.» Verarbeiten Sie personenbezogene Daten im Auftrag eines Kunden, müssen diese «hinreichend Garantien» irgendwie festgestellt werden, und eine Frageliste ist, wie Verantwortliche den Nachweis einsammeln.
Keiner dieser Texte erwähnt ein Spreadsheet. Sie verpflichten Ihre Kunden, Sie zu bewerten, und überlassen ihnen das Format der Bewertung. Das macht den eingehenden Strom strukturell: Er wächst mit Ihrer Kundenzahl und mit deren regulatorischer Exponierung, und er schrumpft nicht, wenn Sie gut antworten. Gut zu antworten ist, was den Vertrag (und die Runde im nächsten Jahr) am Leben hält.
Der Absender kontrolliert das Artefakt. Der Export seines GRC-Tools, seine Spalten, seine Abschnittsüberschriften, seine Antwortskala — hier Ja/Nein/Teilweise, dort Freitext. In seinem Format zu antworten ist Teil dessen, was geprüft wird: Ein Anbieter, der «siehe unsere Security-Seite» zurückschickt, fällt durch genau die Sorgfaltsübung, die der Kunde dokumentieren muss. Formatstandardisierung steht Ihnen als Empfänger also nicht zur Verfügung.
Zur Verfügung steht Ihre Seite des Tischs. Die Fragenmenge konvergiert, auch wenn die Formate es nie tun. Encryption at rest, Access Reviews, Backup-Rhythmus, Subprozessoren, Vorfallsmeldung: Beim zehnten Fragebogen haben Sie fast jede Frage schon einmal beantwortet. Die Stunden fliessen nicht in das Wissen um die Antworten. Sie fliessen ins Wiederfinden dessen, was Sie letztes Quartal geschrieben haben, ins erneute Ausfechten von Formulierungen, um die schon einmal jemand gerungen hat, und in die Frage, ob die Antwort in der alten Datei je von jemandem freigegeben wurde, der senior genug war, sie zu verantworten. Jeder neue Fragebogen beginnt bei null, weil die früheren Antworten in den Anhängen gesendeter Mails leben. Der Postausgang ist das institutionelle Gedächtnis, und der Postausgang verzinst sich nicht.
Ich lese diese Asymmetrie als nicht verhandelbar: Der Absender wählt das Format, Ihnen gehören nur die Antworten. Der Hebel liegt also in Wiederverwendung und Herkunft, und jeder Prozess, der diese beiden ignoriert, zahlt auf jedem Fragebogen den vollen Preis.
Aus dem beschriebenen Schmerz ergeben sich vier Eigenschaften. Alle sind werkzeugunabhängig; definieren wir sie also präzise, bevor wir auf irgendeine Software schauen.
Nichts davon setzt bestimmte Software voraus. Ein Team kann das mit einem geteilten Spreadsheet, einer Namenskonvention und Disziplin betreiben. Die Eigenschaften sind die Erkenntnis; was folgt, ist eine Implementierung davon, offengelegt mitsamt ihren Grenzen.
So haben wir die Schleife bei devguard implementiert, im Modul für eingehende Fragebögen: Upload → Parse → Match → Review → Export. (Ausgehende Assessments, also die, die Sie Ihren eigenen Anbietern schicken, sind ein separates Modul, bewusst vollständig von diesem getrennt.) Der Upload nimmt XLSX, CSV oder PDF entgegen; die Anwendung zeigt, ob eine Datei noch verarbeitet wird, bereit fürs Review oder gescheitert ist, und ein fehlgeschlagener Spreadsheet-Parse zeigt die erkannten Spalten an, sodass Sie Frage- und Antwortspalten von Hand neu zuordnen können, statt in einer Sackgasse zu landen. Jede geparste Frage wird gegen Ihre Antwortbibliothek gematcht, und jede Antwort trägt ein sichtbares Herkunftslabel: aus der freigegebenen Bibliothek übernommen, von der KI entworfen, für diesen Fragebogen von Hand geschrieben oder noch unberührt.
Diese Labels sind das Herkunftsmodell des vorigen Abschnitts konkret gemacht, und die Trennung der Achsen bleibt: Das Label verzeichnet, woher der Text kommt; eine separate Review-Markierung verzeichnet, dass ein Mensch ihn freigegeben hat. Das Aufmerksamkeits-Routing hängt an der Match-Qualität: Ein semantischer Match unterhalb einer hohen Konfidenzschwelle wird zur Prüfung markiert, schwächere Textähnlichkeits-Matches immer, und der Review-Screen zeigt markierte Antworten zuerst. Das Freigeben einer Antwort, einzeln oder im Bulk, befördert sie in die Bibliothek. Eine korrigierte Antwort aktualisiert den kanonischen Eintrag, statt ihn zu forken. Die Erstbefüllung kann aus der Historie kommen: Laden Sie einen bereits ausgefüllten Fragebogen mit der Importoption hoch, werden dessen Antworten in die Bibliothek befördert und als von Hand geschrieben und reviewed markiert.
Zwei Dinge wollten wir nicht bauen, und beide Verzichte haben Kosten. Erstens: Wir haben kein Käuferportal gebaut. Das Modul funktioniert nur für angemeldete Mitglieder Ihres Workspace, ohne Share-Link; der Export erzeugt ein Standard-XLSX oder -CSV im Layout Section/Question/Answer/Status, nicht freigegebene Entwürfe sind standardmässig ausgeschlossen, und Ihr Kunde öffnet die Datei ohne Konto und ohne Login. Die Kosten: Das Modul gibt Ihnen nichts Käuferseitiges; die Datei zurückzuschicken bleibt Ihr Job. Zweitens: Wir haben keine stille KI gebaut. Die Schleife Upload–Parse–Match–Review–Export läuft vollständig ohne Generierung; steht das semantische Matching nicht zur Verfügung, fällt das Matching auf einfacheren Textvergleich zurück. KI-Entwürfe sind ein Knopf, den Sie drücken — nie ein Default: Die Funktion füllt nur unberührte Antworten, kennzeichnet alles, was sie schreibt, als KI-entworfen mit Zeitstempel, und nichts davon gilt als freigegeben, bis ein Mensch es abzeichnet. Die Kosten: weniger vorbefüllte Antworten am ersten Tag, weil die Verzinsung aus Freigaben kommt und nicht aus dem Modell.
Der Test für jeden Antwortprozess, gekauft oder gebaut, ist der zehnte Fragebogen: Er sollte grösstenteils beantwortet starten, und die Review-Zeit sollte in die Handvoll Fragen fliessen, die Ihre Bibliothek noch nie gesehen hat. Die vier Eigenschaften — Freigaben, die sich verzinsen, Herkunft an jeder Antwort, Aufmerksamkeit nach Konfidenz geroutet, eine Antwort als einfache Datei — sind es, die das möglich machen; das Tooling ist zweitrangig. Und der Tisch hat zwei Seiten. Dieselben Sorgfaltspflichten, die Ihren Posteingang füllen, machen Sie zum Absender, wenn Sie Ihre eigenen Anbieter unter Vertrag nehmen. Für diesen Platz beginnen Sie mit der genauen Lektüre der Wechselrechte der Datenverordnung, vom Stuhl des Einkäufers aus gelesen.
Das oben beschriebene Modul ist devguards Security Questionnaires, Teil von devguard.ch/platform.
Start free, bring your frameworks, and keep the evidence attached as the work ships — no setup friction, no audit-week fire drill.
Start free, bring your frameworks, and keep the evidence attached as the work ships — no setup friction, no audit-week fire drill.