Ein Auftraggeber sendet einen Sicherheitsfragebogen und verlangt Nachweise zu Zugängen, Backups oder Schwachstellen. Für einen Zulieferer entstehen daraus zwei unterschiedliche Fragen: Fällt der eigene Betrieb unter das Gesetz, und was wird im konkreten Kundenverhältnis verlangt? Ein sauberer Nachweis hält beides auseinander.
Die eigene Einordnung nach dem BSIG richtet sich nach gesetzlichen Kriterien wie Sektor, Einrichtungsart, Größe und Sonderfällen. Allein die Belieferung eines betroffenen Kunden macht nicht jedes Unternehmen automatisch selbst zu einer wichtigen Einrichtung. Sicherheitsanforderungen können dennoch aus einem Vertrag, einer Ausschreibung oder der Lieferantenbewertung entstehen.
Ein Kunde möchte möglicherweise den Fernwartungszugang zu seiner Anlage bewerten; ein anderer die Verarbeitung von Auftrags- und Personendaten. Das ist nicht immer eine Prüfung des gesamten Unternehmens. Halten Sie fest, welche Leistung, Standorte, Systeme und Unterauftragnehmer gemeint sind. So wird ein allgemeiner Firmenreport nicht versehentlich als Beleg für einen anderen Bereich verwendet.
Zu einer Antwort gehören Quelle, Datum, Verantwortlicher und gegebenenfalls eine Einschränkung. Eine Richtlinie beschreibt den vorgesehenen Prozess; ein Protokoll dokumentiert eine konkrete Durchführung. Wenn der Kunde eine technische Prüfung verlangt, müssen Methode und Umfang zu seiner Frage passen. Nicht vorhandene Belege werden als offen benannt, statt die Antwort vorschnell mit „Ja“ abzuschließen.
Ein Sicherheitscheck kann etwa einen vereinbarten Zugang oder eine bestimmte Systemgruppe untersuchen. Der Bericht sollte zeigen, welches Kundenthema dadurch gestützt wird und welche Teile ungeprüft bleiben. Eine gefundene Lücke wird mit Auswirkung und Maßnahme erklärt. Das erleichtert eine sachliche Rückmeldung, ohne eine universelle NIS2-Konformität zu versprechen.
Der Auftraggeber benötigt oft eine belastbare Zusammenfassung, aber nicht jede interne Adresse, Kontenbezeichnung oder technische Schwachstellendetailtiefe. Stimmen Sie Empfänger, erforderlichen Umfang und Übermittlungsweg ab. Ein gekürzter Bericht muss seine Aussagekraft erhalten: Umfang, offene Punkte und Prüftermin dürfen nicht zugunsten eines guten Eindrucks verschwinden.
Ein einmal ausgefüllter Fragebogen bleibt nicht automatisch aktuell. Neue Zugänge, ein anderer Dienstleister oder geänderte Leistungen können eine erneute Bewertung erfordern. Bewahren Sie die abgegebene Fassung und ihre Belege zusammen auf. Für zugesagte Maßnahmen werden Zuständigkeit, Zieltermin und Nachprüfung dokumentiert; neue Anforderungen werden konkret mit dem Kunden geklärt.
Öffnen Sie die Stationen. Jede zeigt eine konkrete Prüffrage und den nächsten verantwortlichen Schritt.
Der Auftraggeber fragt nach der Absicherung eines Zugangs zu seiner Anlage. Seine Frage und der betroffene Vertrag werden dem Vorgang zugeordnet.
Geprüft wird der vereinbarte Fernwartungsweg einschließlich berechtigter Konten. Andere Kundennetze werden nicht ohne deren Berechtigung einbezogen.
Einstellung, Zugriff und vereinbarter Test werden mit Datum dokumentiert. Ungeprüfte Voraussetzungen bleiben im Ergebnis erkennbar.
Die verantwortliche Person prüft Bericht und Kundenantwort. Technische Details gehen nur an den dafür vorgesehenen Empfänger; eine offene Maßnahme bleibt sichtbar.
§ 30 BSIG erfasst bei betroffenen Einrichtungen auch sicherheitsbezogene Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Daraus folgt keine einheitliche Form eines Zertifikats, das jeder Zulieferer zwingend vorlegen müsste.
Wir besprechen Ihren konkreten Fragebogen und einen passenden technischen Prüfauftrag. TULPAR kann Teil des vereinbarten Sicherheitschecks sein. Die rechtliche Betroffenheit, vertragliche Pflichten und Anerkennung durch den Auftraggeber werden nicht allein aus einem Scanergebnis abgeleitet.
Nein. Die eigene gesetzliche Einordnung muss nach den maßgeblichen Kriterien erfolgen. Zusätzliche Anforderungen im Kundenvertrag können unabhängig davon bestehen.
Das lässt sich nicht pauschal sagen. Klären Sie die konkrete Frage, die geforderte Methode und den betroffenen Leistungsbereich mit dem Auftraggeber.
Er darf den Empfängerkreis und die benötigte Detailtiefe berücksichtigen. Die Reichweite der Prüfung, wesentliche offene Punkte und der Zeitpunkt müssen trotzdem verständlich bleiben.
Den tatsächlichen Stand nennen, Verantwortlichkeit und geplante Korrektur festhalten und den erforderlichen Nachweis nachreichen. Eine Planung ist kein bereits bestandener Test.
Wir klären mit Ihnen und Ihrer IT-Betreuung, was untersucht werden soll, welche Systeme dazugehören und wer das Ergebnis weiterbearbeitet. Umfang, erlaubte Methoden, Bericht und Betreuung stehen im individuellen Angebot.
Bringen Sie für das erste Gespräch die betroffenen Arbeitsbereiche und Ihre Ansprechpartner mit. Zugangsdaten, interne Netzwerkpläne und vertrauliche Befunde gehören nicht in das öffentliche Kontaktformular.
Mustafa Sahinli · Buzzard AI, Erlensee
TULPAR und das Sicherheitsangebot →Wir besprechen die Sicherheitsanforderungen Ihres Auftraggebers, vorhandene Systeme und die beteiligten Personen. Sie erhalten eine klare Einordnung, welcher Teil sich sinnvoll unterstützen lässt und was dafür benötigt wird.
Bitte senden Sie über dieses erste Kontaktformular keine Patienten-, Mandanten- oder anderen vertraulichen Falldaten.
Direkt anrufen: 06183 909 99 92
Buzzard AI