NIS2-Lieferantenfragebogen in wenigen Tagen beantworten: ein praktisches Beispiel

Ein mittelgroßer IT-Dienstleister aus Südamerika erhält von einem Kunden in der EU einen Lieferantenfragebogen zu NIS2. Der Kunde möchte wissen, wie Sie Sicherheitsmaßnahmen umsetzen, wie Sie Vorfälle melden und welche Nachweise Sie vorlegen können. Die Frist liegt bei zwei Wochen.

Schritt 1: Den Fragebogen gegen die Anforderungen legen. Ordnen Sie die Fragen den NIS2-Themen zu, etwa Risikoanalyse, Vorfallbehandlung, Lieferkettensicherheit und Schulung. In Sightadel lässt sich dafür die NIS2-Vorlage nutzen, die Sie als Ausgangspunkt für Ihre eigene Dokumentation verwenden.

Schritt 2: Lücken als Aufgaben erfassen. Jede Frage, für die noch kein Nachweis existiert, wird als Aufgabe mit Verantwortlichen und Termin angelegt. So sehen Sie auf einen Blick, was in den verbleibenden Tagen tatsächlich fehlt.

Schritt 3: Nachweise hinterlegen. Richtlinien, Verfahrensbeschreibungen, Schulungsprotokolle und Vorfallprozesse werden dem jeweiligen Punkt zugeordnet. Die Antworten an den Kunden verweisen dann direkt auf diese Dokumente.

Schritt 4: Die Außensicht belegen. Ein Kunde fragt oft nicht nur nach Papieren, sondern auch danach, wie Ihre Systeme von außen aussehen. Dafür kann der veyrisk-Bericht beigelegt werden. Er prüft die von außen sichtbare Angriffsfläche, also offene Dienste, Zertifikate, bekannte Schwachstellen sowie DNS und Mail, und liefert einen Bericht. Er ersetzt allerdings keinen Penetrationstest, und Sightadel stellt keine Zertifikate aus.

Wer sich das Vorgehen vorab ansehen möchte, findet im NIS2-Bereich von Sightadel die Vorlagen und Schritte, und einen Beispielbericht von veyrisk zeigt, wie der Nachweis zur Außensicht aufgebaut ist.