Sicherheitsfragebögen souverän beantworten

Wenn ein größerer Kunde kurz vor dem Abschluss steht, folgt meist ein Sicherheitsfragebogen. Das können ein paar Dutzend Fragen in einer Tabelle sein oder mehrere Hundert in einem Standardformat. Für ein kleines Team kann sich das anfühlen wie eine Prüfung, für die niemand gelernt hat. Das muss nicht sein.

Verstehen, worum es wirklich geht

Hinter jedem Fragebogen steht eine einzige Frage: Können wir Ihnen unsere Daten anvertrauen? Die einzelnen Punkte decken bekannte Themen ab: Zugriffskontrolle, Verschlüsselung, Backups, Incident Response, Dienstleister sowie On- und Offboarding von Mitarbeitenden. Das meiste sind Variationen weniger Themenbereiche – deshalb zahlt sich Vorbereitung enorm aus.

Eine Antwortbibliothek aufbauen

Führen Sie ein zentrales Dokument mit Ihren aktuellen Antworten auf die häufigsten Fragen – einmal verfasst und ein paar Mal im Jahr überprüft. Jede Antwort sollte kurz, präzise und konkret sein: was Sie tun, welches Tool Sie dafür nutzen und wie oft. Beim nächsten Fragebogen müssen Sie dann meist nur noch kopieren und gegenprüfen, statt unter Zeitdruck alles neu zu schreiben.

Ehrlich mit Lücken umgehen

Es ist verlockend, überall mit „Ja“ zu antworten. Tun Sie es nicht. Das Sicherheitsteam eines Kunden liest viele solcher Fragebögen, und vage oder beschönigte Antworten fallen auf. Wenn Sie etwas noch nicht tun, sagen Sie es – und erklären Sie, was Sie stattdessen tun oder wann Sie die Lücke schließen wollen.

Ein ehrliches „Noch nicht, und so sieht unser Plan aus“ schafft mehr Vertrauen als eine Antwort, die im nächsten Gespräch in sich zusammenfällt. Zudem werden Antworten aus Fragebögen oft im Vertrag referenziert; Genauigkeit zählt also auch nach dem Verkauf.

Dokumente griffbereit haben

Viele Fragebögen verlangen Nachweise: eine Richtlinie zur Informationssicherheit, einen Incident-Response-Plan, die Zusammenfassung eines aktuellen Penetrationstests, eine Liste der Dienstleister, die Kundendaten verarbeiten. Erstellen Sie diese Dokumente, bevor Sie sie brauchen, halten Sie sie kurz und aktuell. Ein einseitiges Diagramm, das zeigt, wo Kundendaten liegen, beantwortet oft schon überraschend viele Fragen.

Einen Prüfbericht sprechen lassen

Sobald Sie einen SOC 2-Bericht haben, akzeptieren viele Kunden diesen anstelle des Großteils ihres Fragebogens oder zusammen mit einem kürzeren Standardfragebogen wie SIG Lite oder CAIQ. Solche Berichte werden üblicherweise unter einer Vertraulichkeitsvereinbarung geteilt. Bis es so weit ist, erfüllen eine klare Sicherheitsseite und eine gepflegte Antwortbibliothek denselben Zweck.

Eine verantwortliche Person bestimmen

Fragebögen geraten ins Stocken, wenn sie im Team herumgereicht werden. Übertragen Sie einer Person die Verantwortung: Sie sammelt die Antworten, stimmt sie mit den Verantwortlichen der jeweiligen Systeme ab und verschickt die finale Fassung. Behalten Sie eine Kopie jedes beantworteten Fragebogens und dessen, was Sie verschickt haben, damit Ihre Antworten von Kunde zu Kunde konsistent bleiben.

Die Kurzfassung

Schreiben Sie Ihre Antworten einmal auf, bleiben Sie ehrlich und aktuell, halten Sie die Richtlinien bereit und übertragen Sie einer Person die Verantwortung. Dann werden Fragebögen zu einem ganz normalen Teil des Vertriebs – und nicht zum Grund, warum ein Abschluss scheitert.