IT-Sicherheit im Lieferantenfragebogen: Was Grosskunden prüfen und welche Nachweise zählen

Ein Kunde schickt 90 Fragen, eine Frist von zwei Wochen — und niemand im Betrieb weiss, wer das ausfüllen soll

Die Datei heisst „Supplier Security Assessment" oder „Lieferantenselbstauskunft Informationssicherheit". Sie kommt von einem Kunden, mit dem man seit Jahren zusammenarbeitet, und im Begleittext steht ein Satz, der die Sache ernst macht: Ohne vollständige Rückmeldung wird die Rahmenvereinbarung nicht verlängert. Im Anhang eine Tabelle mit Fragen zu Mehrfaktor-Anmeldung, Patchständen, Verschlüsselung, Aufbewahrungsfristen von Protokolldaten und Meldefristen bei Vorfällen.

Für kleine und mittlere Betriebe ist das die unangenehmste Form von Sicherheitsanforderung: Sie kommt von aussen, ist nicht verhandelbar, hat eine Frist, und die Antworten haben rechtliche Wirkung. Dieser Beitrag erklärt, woher diese Fragebogen kommen, wie man sie beantwortet, ohne sich später angreifbar zu machen, welche Lücken sich mit Software schliessen lassen und welche nicht.

Warum bekommen wir plötzlich solche Fragebogen?

Weil Ihr Kunde selbst dazu verpflichtet wurde, und die Verpflichtung nach unten weitergibt. Das ist kein Misstrauen gegen Sie, sondern eine Kettenreaktion aus drei Quellen.

In der Schweiz enthält der IKT-Minimalstandard des Bundes einen eigenen Abschnitt zur Lieferkette. Er verlangt, dass Lieferanten und Dienstleister identifiziert, nach Priorität geordnet und über einen Risikobewertungsprozess bewertet werden, dass Verträge sie zu entsprechenden Massnahmen verpflichten und dass man sich die Erfüllung regelmässig in Auditberichten nachweisen lässt. Wer diesen Standard umsetzt — und das tun zunehmend Versorger, Spitäler, Verwaltungen und deren Zulieferer — kommt an einer Lieferantenabfrage nicht vorbei.

In der Europäischen Union verlangt die NIS-2-Richtlinie in Artikel 21 Absatz 2 Buchstabe d ein Konzept für die Sicherheit der Lieferkette, das die Beziehungen zu den direkten Anbietern und Diensteanbietern regelt, inklusive Kriterien für deren Auswahl. Betroffene Einrichtungen geben diese Anforderungen vertraglich an Zulieferer weiter, die selbst gar nicht unter die Richtlinie fallen.

Und in der Automobilbranche existiert mit TISAX seit Jahren ein eigenes Prüfsystem, das Einzelaudits der Hersteller ersetzt hat und dessen Anforderungen von den Herstellern bis zu den Zulieferern der zweiten und dritten Ebene durchgereicht werden.

Müssen wir den Fragebogen überhaupt ausfüllen?

Gesetzlich verpflichtet ist ein nicht regulierter Zulieferer dazu in der Regel nicht. Vertraglich sieht es anders aus: Der Kunde darf die Zusammenarbeit von der Auskunft abhängig machen, und genau das tut er. Die Frage ist deshalb keine rechtliche, sondern eine geschäftliche.

Was Sie aber sehr wohl verhandeln können, ist der Umfang. Viele Fragebogen sind Standarddokumente, die ein Grosskonzern an alle Lieferanten schickt — vom Rechenzentrumsbetreiber bis zum Schreiner, der die Empfangstheke gebaut hat. Fragen zu Rechenzentrumszutritt oder Softwareentwicklungsprozessen sind für einen Betrieb ohne eigene Entwicklung schlicht nicht anwendbar. Ein sauberes „nicht anwendbar, da keine eigene Softwareentwicklung" ist eine vollwertige Antwort und besser als ein erfundenes Ja.

Fragen Sie ausserdem nach, welche Daten des Kunden Sie tatsächlich verarbeiten. Davon hängt ab, welcher Teil des Fragebogens für Sie überhaupt relevant ist — und häufig lässt sich der Umfang so um die Hälfte reduzieren.

Sind die Antworten rechtlich bindend?

In aller Regel ja, und das ist der wichtigste Punkt des ganzen Themas. Ausgefüllte Fragebogen werden üblicherweise als Anhang zum Vertrag genommen oder in der Rahmenvereinbarung als zugesicherte Eigenschaft referenziert. Damit wird aus einem Häkchen in einer Tabelle eine vertragliche Zusicherung.

Die praktische Konsequenz zeigt sich erst im Schadensfall. Wenn nach einem Vorfall geprüft wird, wie der Angreifer hereinkam, und dabei herauskommt, dass die zugesicherte Mehrfaktor-Anmeldung auf dem Fernzugang gar nicht aktiv war, ist die Ausgangslage eine völlig andere als bei einem Betrieb, der offen „nein, geplant bis Ende Quartal" angegeben hatte. Im ersten Fall geht es um eine falsche Zusicherung, im zweiten um ein bekanntes und akzeptiertes Risiko.

Daraus folgt die einzige Regel, die wirklich zählt: Kein Ja ohne Beleg. Wer eine Frage nicht sicher beantworten kann, klärt sie, bevor er ankreuzt. Bei umfangreichen Rahmenverträgen lohnt es sich, den ausgefüllten Fragebogen vor dem Absenden rechtlich prüfen zu lassen, weil er Bestandteil des Vertragswerks wird.

Welche Fragenblöcke kommen fast immer vor?

Die Fragebogen unterscheiden sich im Aufbau, aber inhaltlich wiederholen sich dieselben zehn bis zwölf Themen. Wer sie einmal sauber beantwortet hat, kann den grössten Teil beim nächsten Kunden wiederverwenden.

Typisch sind: Zugriffsverwaltung und Mehrfaktor-Anmeldung, insbesondere für Fernzugänge und Administratorkonten. Schutz der Endgeräte und Server. Aktualisierungsstand und Umgang mit Schwachstellen. Verschlüsselung von Notebooks und Wechseldatenträgern. Datensicherung samt getesteter Wiederherstellung. Protokollierung und wie lange die Protokolle aufbewahrt werden. Erkennung von Vorfällen und die Meldefrist an den Kunden. Schulung der Belegschaft. Umgang mit Unterauftragnehmern. Und schliesslich der Ort der Datenverarbeitung.

Auffällig ist, was in dieser Liste selten steht: Zertifikate. Die meisten Fragebogen fragen nach umgesetzten Massnahmen, nicht nach Papieren. Eine Zertifizierung hilft, den Aufwand zu verkürzen, ersetzt die Antworten aber nicht automatisch.

Welche Fragen lassen sich mit Software beantworten und welche nicht?

Die folgende Übersicht ordnet die häufigsten Blöcke danach, ob ein Produkt die Antwort liefert oder ob organisatorische Arbeit dahintersteht. Der Unterschied ist beim Ausfüllen entscheidend: Bei der ersten Gruppe genügt eine Beschaffung, bei der zweiten braucht es einen dokumentierten Ablauf, den niemand kaufen kann.

Fragenblock	Mit Software belegbar	Was zusätzlich nötig ist
Mehrfaktor-Anmeldung	✓	Liste der abgedeckten Zugänge
Endgeräte- und Serverschutz	✓	Nachweis der Vollständigkeit
Aktualisierungsstand	✓	Fristen für kritische Lücken
Verschlüsselung der Notebooks	✓	Verfahren bei Schlüsselverlust
Protokollierung und Aufbewahrung	Teilweise	Festgelegte Aufbewahrungsdauer
Datensicherung	Teilweise	Protokoll des Rückspieltests
Erkennung von Vorfällen	Teilweise	Benannte Zuständigkeit
Meldefrist an den Kunden	✕	Geübte Meldekette
Schulung der Belegschaft	✓	Teilnahmenachweis
Unterauftragnehmer	✕	Aktuelle Liste und Verträge
Ort der Datenverarbeitung	✕	Angaben der Anbieter

Zu den drei mit Teilweise gekennzeichneten Punkten: Ein Produkt kann Protokolle erzeugen, aber nicht entscheiden, wie lange Sie sie aufbewahren wollen — die Aufbewahrungsdauer ist eine Festlegung, die Sie treffen und schriftlich hinterlegen müssen. Eine Sicherungssoftware sichert, ersetzt aber nicht den dokumentierten Rückspieltest, nach dem im Fragebogen ausdrücklich gefragt wird. Und eine Erkennungslösung meldet, ersetzt aber nicht die Person, die auf die Meldung reagiert.

Was antworte ich, wenn wir eine Anforderung nicht erfüllen?

Nein — mit Begründung, Ersatzmassnahme und Termin. Diese dreiteilige Antwort ist in der Praxis fast immer akzeptiert und in jedem Fall besser als ein geschöntes Ja.

Ein Beispiel für eine tragfähige Formulierung: „Aktuell nicht umgesetzt. Der Fernzugang ist derzeit auf drei namentlich benannte Administratorkonten beschränkt und wird protokolliert. Einführung der Mehrfaktor-Anmeldung ist für das dritte Quartal beauftragt." Der Kunde sieht damit dreierlei: Sie kennen die Lücke, sie ist nicht ungesichert, und es gibt einen Termin. Genau danach sucht ein Einkäufer, der selbst Rechenschaft ablegen muss.

Vermeiden Sie dagegen zwei Muster. Erstens das leere Ja, das Sie im Ernstfall nicht belegen können. Zweitens den unbestimmten Verweis auf die Zukunft ohne Datum — „ist in Planung" liest sich für den Empfänger wie „passiert nie" und führt regelmässig zu Rückfragen, die mehr Zeit kosten als eine ehrliche Terminangabe.

Was zählt als Nachweis?

Ein Beleg, der aus dem System selbst stammt, datiert ist und den Umfang zeigt. Ein Bildschirmfoto einer Einstellungsseite belegt, dass eine Funktion eingeschaltet ist — nicht, dass sie auf allen Geräten wirkt. Genau danach wird aber gefragt.

Brauchbar sind deshalb Berichte aus der zentralen Verwaltungskonsole: die Liste aller verwalteten Geräte mit Schutzstatus, der Verschlüsselungsstatus je Gerät, der Bericht über offene Schwachstellen mit Altersangabe, das Protokoll des letzten Rückspieltests, die Teilnahmeliste der Schulung. Alle diese Berichte haben ein Datum und einen Geltungsbereich, und beides ist der eigentliche Wert.

Das ist auch der Punkt, an dem eine zentrale Konsole den Unterschied macht. Ein Betrieb, der Schutzsoftware einzeln auf jedem Gerät installiert hat, kann die Frage nach der Abdeckung nicht seriös beantworten — er kann nur zählen, was er zu wissen glaubt. Ein Betrieb mit zentraler Verwaltung exportiert einen Bericht.

Welche Produkte schliessen die häufigsten Lücken?

Vier Blöcke fallen in Fragebogen regelmässig durch, und für alle vier gibt es eine unmittelbar beschaffbare Antwort.

Mehrfaktor-Anmeldung. Der am häufigsten bemängelte Punkt überhaupt, weil er direkt am wahrscheinlichsten Einstiegsweg ansetzt. ESET Secure Authentication ⧉ deckt den zweiten Faktor für Fernzugänge und Anmeldungen ab. Achten Sie beim Ausfüllen darauf, für welche Zugänge Sie das Ja geben — Fragebogen unterscheiden zwischen Fernzugang, Administratorkonten und normaler Anmeldung.

Verschlüsselung der Notebooks. Hier zählt weniger die Verschlüsselung selbst als der zentrale Nachweis, dass sie überall aktiv ist, und ein Verfahren für den Schlüsselverlust. ESET Full Disk Encryption ⧉ und SOPHOS Central Device Encryption ⧉ verwalten beides aus der Konsole. Wird zusätzlich nach Wechseldatenträgern gefragt, deckt ESET Endpoint Encryption Pro ⧉ auch diesen Teil ab.

Notebooks verschlüsseln: worauf es bei der zentralen Verwaltung ankommt
Erklärt Vorabstart-Authentisierung, zentrale Schlüsselverwaltung und die Wiederherstellung, wenn ein Kennwort verloren geht.

Aktualisierungsstand und Schwachstellen. Gefragt wird nicht, ob Sie aktualisieren, sondern innerhalb welcher Frist kritische Lücken geschlossen werden und wie Sie das belegen. Bitdefender GravityZone Patch Management ⧉ und Kaspersky Vulnerability and Patch Management ⧉ liefern die Berichte, aus denen sich diese Frist belegen lässt — inklusive der Anwendungen von Drittanbietern, die in Fragebogen ausdrücklich mitgemeint sind.

Schulung der Belegschaft. Verlangt wird ein Teilnahmenachweis, nicht eine einmalige Präsentation. Kaspersky Automated Security Awareness Platform ⧉ erzeugt genau diese Auswertung je Person und Zeitraum.

Patchmanagement und der Nachweis gegenüber Dritten
Zeigt, wie sich der Aktualisierungsstand dokumentieren lässt, sodass er in Audits und Kundenfragebogen Bestand hat.

Wie beantworte ich die Fragen zu Datensicherung und Protokollierung?

Bei der Datensicherung wird fast nie nach der Sicherung gefragt, sondern nach der Wiederherstellung. Die typische Formulierung lautet sinngemäss: Wann wurde zuletzt eine vollständige Wiederherstellung getestet und dokumentiert? Wer darauf kein Datum nennen kann, hat die Frage nicht beantwortet, egal wie gut die Sicherung läuft. Acronis Cyber Protect Advanced Server ⧉ deckt die Sicherung ab — das Protokoll des Rückspieltests müssen Sie führen, und zwar mit Datum, Umfang und benanntem Durchführenden.

Bei der Protokollierung geht es um zwei Angaben: Was wird aufgezeichnet und wie lange bleibt es verfügbar. Wer nur einen klassischen Virenschutz betreibt, kann die erste Frage knapp und die zweite gar nicht beantworten. Eine Lösung mit fortlaufender Aufzeichnung wie Bitdefender GravityZone Business Security Enterprise ⧉ liefert beides, weil sich dort die Aufbewahrung ausdrücklich festlegen lässt.

Wird zusätzlich nach der Aufbewahrung von E-Mails gefragt, was bei Kunden aus regulierten Branchen üblich ist, gehört das in ein eigenes System. MailStore Server ⧉ archiviert unabhängig vom Postfach und macht die Aufbewahrungsdauer damit belegbar.

Wer sollte den Fragebogen ausfüllen und unterschreiben?

Ausfüllen sollte ihn, wer die Systeme kennt. Unterschreiben sollte ihn, wer den Betrieb vertreten darf. Das sind selten dieselben Personen, und die Trennung ist wichtig, weil mit der Unterschrift eine Zusicherung abgegeben wird.

In der Praxis bewährt sich ein Ablauf in drei Schritten: Der IT-Verantwortliche oder der betreuende Dienstleister füllt aus und legt zu jeder Antwort den Beleg ab. Die Geschäftsleitung liest die Nein-Antworten und die zugesagten Termine, denn sie muss diese Termine anschliessend auch finanzieren. Erst danach geht das Dokument hinaus.

Wenn ein externer IT-Dienstleister ausfüllt, klären Sie vorher, wer für die Richtigkeit einsteht. Der Dienstleister kennt die technischen Antworten, kann aber keine Zusicherung im Namen Ihres Betriebs abgeben.

Wie verhindere ich, dass jeder Kunde bei null anfängt?

Mit einem eigenen Antwortbestand, den Sie pflegen, statt jeden Fragebogen einzeln zu bearbeiten. Legen Sie zu jedem der wiederkehrenden Themen eine Antwort in zwei Längen an: zwei Sätze für Tabellenfelder, ein Absatz für Freitextfelder. Dazu jeweils den zugehörigen Beleg mit Datum.

Drei Dinge machen diesen Bestand haltbar. Erstens ein Änderungsdatum je Antwort, damit Sie sehen, was veraltet ist. Zweitens eine feste Überprüfung, sinnvollerweise einmal jährlich und zusätzlich nach jeder grösseren Umstellung. Drittens die Trennung von belegten Antworten und Absichtserklärungen — sobald ein zugesagter Termin verstreicht, ohne dass die Massnahme umgesetzt wurde, muss die Antwort geändert werden, bevor sie erneut hinausgeht.

Der Aufwand beim ersten Fragebogen ist damit deutlich höher, beim zweiten und dritten deutlich niedriger. Betriebe, die regelmässig solche Anfragen bekommen, sparen sich damit den grössten Teil der Arbeit.

Lohnt sich eine Zertifizierung statt der einzelnen Fragebogen?

Ab einer gewissen Anzahl Anfragen ja, und die Rechnung ist einfach: Sobald Sie mehr Zeit mit Fragebogen verbringen als eine Zertifizierung Aufwand verursachen würde, kippt es. Die drei Wege unterscheiden sich deutlich in Reichweite und Aufwand.

Kriterium	ISO/IEC 27001	TISAX	Schweizer KMU-Label
Wer verlangt es	Branchenübergreifend	Automobilindustrie	Schweizer Kunden
Grundlage	Managementsystem	VDA-ISA-Katalog	Auf KMU zugeschnitten
Ergebnis	Zertifikat	Label, kein Zertifikat	Label
Gültigkeitsdauer	See note	Drei Jahre	See note
Ergebnis mehrfach nutzbar	✓	✓	✓
Ersetzt Einzelfragebogen vollständig	✕	In der Branche	✕
Aufwand für einen Kleinbetrieb	Hoch	Hoch	Mittel

Zu den offenen Feldern: Die Gültigkeitsdauer eines ISO-27001-Zertifikats und der Schweizer KMU-Label hängt von der jeweiligen Zertifizierungsstelle und vom Überwachungsrhythmus ab und wird deshalb hier nicht pauschal angegeben — verlässlich ist nur die Angabe für TISAX, wo das Label drei Jahre gilt. Als Schweizer KMU-Label sind Cyber-Safe und, für IT-Dienstleister, CyberSeal am verbreitetsten; sie richten sich ausdrücklich an Betriebe, die keine ISO-Zertifizierung anstreben.

Was genau ist TISAX und wann brauchen wir es?

TISAX ist das Prüf- und Austauschsystem der Automobilindustrie, betrieben von der ENX Association im Auftrag des Verbands der Automobilindustrie. Grundlage ist der VDA-ISA-Fragenkatalog, der sich inhaltlich weitgehend mit ISO 27001 überschneidet, aber branchenspezifische Themen wie den Prototypenschutz ergänzt.

Der praktische Vorteil liegt im Namen: Das Ergebnis wird einmal durch einen akkreditierten Prüfdienstleister ermittelt und anschliessend über die ENX-Plattform gezielt mit mehreren Auftraggebern geteilt. Statt für jeden Hersteller ein eigenes Audit zu durchlaufen, teilen Sie ein Ergebnis. Das Label ist drei Jahre gültig, danach folgt ein erneutes Assessment. Formal ist es übrigens kein Zertifikat, sondern ein Label — ein Unterschied, der in Ausschreibungstexten gelegentlich für Verwirrung sorgt.

Brauchen werden Sie es, wenn Sie als Zulieferer, Entwicklungs- oder IT-Dienstleister für Automobilhersteller arbeiten. Die Anforderung wird dabei zunehmend auch an Zulieferer der zweiten und dritten Ebene weitergereicht. Für alle anderen Branchen ist TISAX nicht der richtige Weg.

Wie hängt das mit dem Schweizer IKT-Minimalstandard zusammen?

Der IKT-Minimalstandard des Bundes ist in der Schweiz der häufigste inhaltliche Ursprung solcher Fragebogen. Er ist entlang der fünf Funktionen identifizieren, schützen, erkennen, reagieren und wiederherstellen aufgebaut, richtet sich in erster Linie an Betreiber kritischer Infrastrukturen und deren Lieferanten und hat Empfehlungscharakter.

Für Zulieferer ist er aus zwei Gründen interessant. Erstens erklärt sein Lieferkettenabschnitt, warum die Fragen kommen und in welcher Form der Kunde Nachweise erwartet — nämlich regelmässig und in Berichtsform. Zweitens ist er eine brauchbare Selbsteinschätzung: Er beurteilt jede Massnahme auf einer Reifegradskala, statt nur Ja oder Nein zu verlangen. Wer ihn einmal für den eigenen Betrieb durchgeht, hat die meisten Fragebogenantworten bereits beisammen und kennt zusätzlich seine Lücken in einer Reihenfolge.

Was er nicht ist: ein Zertifikat. Sie können sich nicht darauf berufen, sondern nur die Umsetzung belegen.

Was verlangt die NIS-2-Richtlinie von uns, wenn wir selbst nicht betroffen sind?

Direkt nichts, indirekt einiges. Die Richtlinie verpflichtet die betroffenen Einrichtungen, ein Konzept für die Sicherheit der Lieferkette festzulegen, das die Beziehungen zu ihren direkten Anbietern regelt, und Kriterien für deren Auswahl zu bestimmen. Diese Einrichtungen erfüllen ihre Pflicht, indem sie die Anforderungen vertraglich weitergeben — an Sie.

Für Sie als Zulieferer bedeutet das: Sie unterliegen keiner Registrierungs- oder Meldepflicht gegenüber einer Behörde, wohl aber vertraglichen Zusagen gegenüber Ihrem Kunden. Besonders häufig sind dabei Meldefristen — der Kunde muss selbst innerhalb kurzer Fristen melden und braucht Ihre Information deshalb früher. Prüfen Sie solche Klauseln genau: Eine Zusage, einen Vorfall innerhalb von zwölf Stunden zu melden, setzt voraus, dass Sie ihn überhaupt innerhalb von zwölf Stunden bemerken.

Ob Ihr eigener Betrieb aufgrund von Sektor und Grösse doch selbst betroffen sein könnte, ist eine eigene Prüfung, die hier nicht ausgeführt ist.

Welche Pflichten gelten ab welcher Unternehmensgrösse?
Ordnet ein, ab wann Meldepflichten, Kundenanforderungen und Nachweispflichten für einen Betrieb tatsächlich greifen.

Was gilt bei Kunden aus dem Finanzsektor?

Dort sind die Anforderungen deutlich präziser. Die europäische Verordnung über die digitale operationale Resilienz verpflichtet Finanzunternehmen, ein vollständiges Register aller Vertragsverhältnisse mit Anbietern von Informations- und Kommunikationstechnologie zu führen und in diesen Verträgen bestimmte Mindestinhalte zu vereinbaren.

Konkret heisst das für Sie als Anbieter: Rechnen Sie mit Klauseln zu Prüf- und Auditrechten, mit der Pflicht, Unterauftragnehmer offenzulegen, und mit definierten Ausstiegsszenarien. Das geht über den üblichen Fragebogen hinaus und betrifft den Vertrag selbst. Wenn ein Finanzkunde Ihnen ein Vertragswerk mit solchen Klauseln vorlegt, ist das kein Verhandlungsspielraum, sondern seine eigene Pflicht.

Wer sowohl Schweizer als auch europäische Kunden bedient, steht regelmässig vor zwei Regelwerken nebeneinander. Die Gegenüberstellung im Detail sprengt diesen Beitrag.

Cybersicherheitspflichten in der Schweiz und in der EU im Vergleich
Stellt die schweizerische Meldepflicht und die Anforderungen der NIS-2-Richtlinie nebeneinander und zeigt, wo sie sich unterscheiden.

Wie sichere ich mich beim Beantworten selbst ab?

Durch Präzision im Geltungsbereich. Die meisten Streitfälle entstehen nicht, weil jemand gelogen hat, sondern weil eine Antwort weiter verstanden wurde, als sie gemeint war.

Vier Gewohnheiten helfen dabei. Schreiben Sie in jede Antwort hinein, worauf sie sich bezieht — „alle Windows-Notebooks", nicht einfach „ja". Datieren Sie den Fragebogen und vermerken Sie, auf welchen Stand er sich bezieht, damit eine zwei Jahre alte Auskunft nicht als aktuelle Zusicherung gilt. Geben Sie keine Zusagen über Dritte ab, die Sie nicht kontrollieren; zu Unterauftragnehmern nennen Sie, was vertraglich vereinbart ist, nicht was Sie vermuten. Und halten Sie fest, wer intern welche Antwort geliefert hat, damit sich später nachvollziehen lässt, worauf eine Angabe beruhte.

Ein letzter Punkt, der oft vergessen geht: Zugesagte Termine müssen nachverfolgt werden. Ein Fragebogen mit drei offenen Massnahmen und drei Terminen erzeugt drei Verpflichtungen — wer sie nicht in eine Wiedervorlage schreibt, steht beim nächsten Audit mit denselben Lücken und einer nicht eingehaltenen Zusage da. Das ist schlechter als die ursprüngliche Lücke.

Wie fange ich konkret an?

Nicht mit dem Ausfüllen. Gehen Sie den Fragebogen zuerst einmal komplett durch und markieren Sie jede Frage mit einer von vier Farben: sicher Ja mit Beleg, sicher Nein, unklar, nicht anwendbar. Diese Sortierung dauert eine Stunde und zeigt sofort, wo die eigentliche Arbeit liegt.

Danach zwei Stapel bearbeiten. Die unklaren Fragen klären Sie technisch, bevor Sie irgendetwas ankreuzen. Die Nein-Antworten sortieren Sie danach, was sich kurzfristig beschaffen und belegen lässt — Mehrfaktor-Anmeldung, Verschlüsselung, Patchverwaltung und Schulungsnachweise gehören meist in diese Gruppe — und was einen organisatorischen Ablauf braucht, etwa die Meldekette oder den Rückspieltest. Für die erste Gruppe genügt eine Bestellung, für die zweite brauchen Sie eine benannte Person und einen Termin.

Und behalten Sie den Zweck im Blick: Der Kunde will nicht einen makellosen Betrieb sehen, sondern einen, der seine Lage kennt. Ein ehrlicher Fragebogen mit vier Nein-Antworten und vier Terminen erzeugt deutlich mehr Vertrauen als eine Spalte lauter Häkchen, die beim ersten Nachhaken zerfällt.

---