Es beginnt meist unspektakulär: Ein Grosskunde schickt ein Excel mit achtzig Fragen zur Informationssicherheit, oder die Versicherung verlangt für die Erneuerung der Cyberpolice einen ausgefüllten Fragebogen. Plötzlich entscheidet Ihre Sicherheitslage über Aufträge und Prämien.
Warum das zunimmt
Grosse Unternehmen haben gelernt, dass Angriffe oft über die Lieferkette kommen – also über ihre kleineren Zulieferer. Deshalb verlangen sie Nachweise, bevor sie Zugriff auf Daten oder Systeme gewähren. Versicherer wiederum haben in den letzten Jahren hohe Schadenssummen bezahlt und prüfen heute genau, wen sie zu welchen Konditionen versichern.
Was praktisch immer gefragt wird
Die Fragebögen unterscheiden sich im Detail, aber ein harter Kern kommt fast immer vor: Multi-Faktor-Authentifizierung für E-Mail, Fernzugriff und Administratoren. Backups, die getrennt vom Netzwerk aufbewahrt und regelmässig auf Wiederherstellbarkeit getestet werden. Aktuelle Systeme mit geregeltem Patch-Prozess. Sensibilisierte Mitarbeitende mit nachweisbaren Schulungen. Und ein Notfallplan, der festhält, wer bei einem Vorfall was tut.
Die drei klassischen Fehler
Erstens: Schönfärben. Falschangaben können im Schadenfall die Versicherungsdeckung kosten und Kundenbeziehungen zerstören. Zweitens: Der IT-Dienstleister füllt alleine aus – er kennt aber weder Ihre Prozesse noch Ihre Verträge vollständig. Drittens: Erst beim zweiten Fragebogen reagieren, obwohl der erste bereits gezeigt hat, wo die Lücken liegen.
So bereiten Sie sich vor
Behandeln Sie den ersten Fragebogen als kostenlose Standortbestimmung: Jede Frage, die Sie nicht mit gutem Gewissen bejahen können, ist eine konkrete Massnahme. Priorisieren Sie nach Risiko, setzen Sie die wichtigsten Punkte um und dokumentieren Sie sauber. Beim nächsten Fragebogen antworten Sie dann nicht mehr defensiv, sondern nutzen ihn als Verkaufsargument: Sicherheit wird zum Wettbewerbsvorteil.
Fazit
Der Fragebogen Ihres Kunden ist lästig – aber er ist auch die ehrlichste Aussensicht auf Ihre Sicherheit, die Sie gratis bekommen. Wer ihn ernst nimmt, gewinnt doppelt: beim Kunden und bei der eigenen Widerstandsfähigkeit.
It usually starts unspectacularly: a major customer sends an Excel file with eighty questions on information security, or the insurer demands a completed questionnaire to renew the cyber policy. Suddenly your security posture decides over contracts and premiums.
Why this is increasing
Large companies have learned that attacks often come through the supply chain – that is, through their smaller suppliers. So they demand evidence before granting access to data or systems. Insurers, for their part, have paid out large claims in recent years and today examine closely whom they insure and on what terms.
What is practically always asked
The questionnaires differ in detail, but a hard core appears almost every time: multi-factor authentication for e-mail, remote access and administrators. Backups that are kept separate from the network and regularly tested for recoverability. Up-to-date systems with a governed patch process. Sensitised employees with documented training. And an emergency plan that records who does what in an incident.
The three classic mistakes
First: sugar-coating. False statements can cost insurance coverage in a claim and destroy customer relationships. Second: the IT service provider fills it in alone – but they know neither your processes nor your contracts completely. Third: reacting only at the second questionnaire, even though the first one already showed where the gaps are.
How to prepare
Treat the first questionnaire as a free assessment: every question you cannot answer with a clear conscience is a concrete measure. Prioritise by risk, implement the most important points and document cleanly. At the next questionnaire you no longer answer defensively, but use it as a sales argument: security becomes a competitive advantage.
Conclusion
Your customer's questionnaire is a nuisance – but it is also the most honest outside view of your security you will get for free. Take it seriously and you win twice: with the customer and in your own resilience.