Einstieg · Kundenanforderung
IT-Sicherheitsnachweis für Großkunden: den Lieferantenfragebogen belastbar beantworten
Wermescher Advisory erhebt in 1 bis 2 Tagen, was dein Großkunde wissen will, und beantwortet den Fragebogen mit belegbaren Aussagen. Du bekommst ein Nachweis-Paket zum Weitergeben, einen Maßnahmenplan für die offenen Punkte und eine ehrliche Einschätzung, wie kritisch die Lücken für den Auftrag sind. Fixpreis 2.990 EUR.
- 1–2 Tage
- 2.990 EUR (zzgl. USt.)
- Nachweis-Paket + Maßnahmenplan
Wann relevant
Wann sich das lohnt.
- Ein Großkunde hat dir einen Sicherheitsfragebogen geschickt und du weißt bei der Hälfte der Fragen nicht, wie du sie ehrlich beantwortest.
- In einer Ausschreibung stehen Security-Anforderungen, die über eine Selbsterklärung hinausgehen.
- Der Kunde verlangt einen benannten Sicherheitsverantwortlichen — im Haus gibt es keinen.
- Ein Auftrag hängt an der Antwort, und niemand im Unternehmen will die Verantwortung für die Aussagen übernehmen.
- Du willst wissen, was passiert, wenn du eine Frage mit Nein beantwortest.
Leistungsumfang
Was wir übernehmen.
Fragebogen-Analyse
Wir lesen den Fragebogen gegen den Standard, aus dem er stammt — ISO 27001, TISAX, NIS2 Artikel 21 oder ein kundeneigener Katalog. Damit ist klar, was hinter jeder Frage wirklich geprüft wird.
Strukturierte Erhebung
1 bis 2 Tage Interviews mit Geschäftsführung, IT und den betroffenen Fachbereichen, dazu Sichtung der vorhandenen Dokumente. Erhoben wird gezielt entlang der Fragen, die beantwortet werden müssen.
Nachweis-Paket
Der ausgefüllte Fragebogen, eine Management-Summary für die Geschäftsführung und eine Belegliste, die auf die vorhandenen Dokumente verweist — als Paket, das du direkt weitergeben kannst.
Ampel für offene Punkte
Wir trennen, was sofort zu schließen ist, was gegenüber dem Kunden verhandelbar ist und was ehrlich mit Nein beantwortet wird. Jede Einstufung ist begründet.
Maßnahmenplan mit Zeitschiene
Für die offenen Punkte ein Plan mit Verantwortlichen und Terminen. Viele Kunden akzeptieren einen belastbaren Plan dort, wo heute noch kein Ja möglich ist.
Begleitung in der Rückfrage-Runde
Auf Wunsch begleiten wir das Gespräch mit der Einkaufs- oder Security-Seite deines Kunden und vertreten die getroffenen Aussagen fachlich.
Ergebnis
Was dir das bringt.
- Ausgefüllter Kundenfragebogen — jede Antwort belegbar, keine Vermutungen.
- Management-Summary für die Geschäftsführung: Wo stehen wir, was hängt am Auftrag.
- Belegliste, die jede Antwort auf ein vorhandenes Dokument oder eine Praxis zurückführt.
- Ampel für die offenen Punkte — sofort schließen, verhandeln oder offen ausweisen.
- Maßnahmenplan mit Zeitschiene als Anlage zum Fragebogen.
Ablauf
So gehen wir vor.
- 01
Fragebogen sichten
Du schickst uns den Fragebogen und die Kundenanforderung. Wir ordnen ein, aus welchem Standard er stammt, wie viel Aufwand realistisch dahintersteckt und bis wann das machbar ist.
- 02
Erhebungstag(e)
Vor Ort oder remote — 1 bis 2 Tage Interviews und Dokumenten-Sichtung, gezielt entlang der zu beantwortenden Fragen.
- 03
Nachweis-Paket erstellen
Wir füllen den Fragebogen aus, schreiben die Management-Summary, legen die Belegliste an und stufen die offenen Punkte ein.
- 04
Durchsprache & Freigabe
Wir gehen das Paket mit dir durch, bevor es zum Kunden geht. Du entscheidest über jede Aussage — verantwortet wird sie fachlich von uns.
FAQ
Häufige Fragen.
Was kostet es, einen Lieferantenfragebogen beantworten zu lassen?
Fixpreis 2.990 EUR netto, unabhängig davon, ob die Erhebung einen oder zwei Tage braucht. Enthalten sind Fragebogen-Analyse, Erhebung, Nachweis-Paket, Maßnahmenplan und die gemeinsame Durchsprache vor der Freigabe. Umfangreiche Kataloge mit mehreren hundert Fragen oder mehrere Standorte klären wir vorab im Erstgespräch — dann kommt ein individuelles Angebot.
Was mache ich, wenn ich eine Frage ehrlich mit Nein beantworten muss?
Du beantwortest sie mit Nein und legst den Maßnahmenplan bei. Das ist in der Praxis der bessere Weg: Einkaufsabteilungen prüfen Lieferantenangaben zunehmend nach, und eine falsche Selbstauskunft fällt spätestens beim Kundenaudit oder im Schadensfall auf. Ein offen ausgewiesenes Nein mit Termin und Verantwortlichem wird häufig akzeptiert; ein widerlegtes Ja kostet den Auftrag und die Glaubwürdigkeit.
Reicht das dem Großkunden, oder braucht er ISO 27001 oder TISAX?
Das hängt davon ab, was der Kunde verlangt. Viele Fragebögen sind Selbstauskünfte und erwarten belegbare Antworten, kein Zertifikat — dafür genügt das Nachweis-Paket. Verlangt der Kunde ausdrücklich ein Zertifikat, führt der Weg über eine ISO-27001-Zertifizierung oder über TISAX in der Automobil-Lieferkette. Was in deinem Fall gefordert ist, klären wir beim Sichten des Fragebogens im ersten Schritt.
Was ist, wenn der Kunde einen benannten Sicherheitsverantwortlichen verlangt?
Diese Anforderung steht in immer mehr Fragebögen, weil sie sich aus den NIS2-Pflichten des Kunden ableitet. Wenn im Haus niemand die Rolle trägt, lässt sie sich als externe Funktion besetzen — planbar im Budget und mit klarer Verantwortung gegenüber Kunden und Aufsicht. Wie ein solches Mandat aufgesetzt wird und was es kostet, steht unter Externer CISO.
Hängt das mit NIS2 zusammen?
Meistens ja. Unternehmen, die selbst unter NIS2 beziehungsweise das NISG 2026 fallen, müssen Sicherheitsanforderungen an ihre Lieferanten weitergeben — daher der Fragebogen. Ob dein Unternehmen zusätzlich direkt betroffen ist, klärt der NIS2-Betroffenheits-Wegweiser. Welche Pflichten vertraglich weitergegeben werden dürfen und wo Audit-Rechte greifen, behandelt der Beitrag zum Drittparteienmanagement nach NIS2.
Was ist der Unterschied zum Cyber Reality Check?
Die Erhebung ist dieselbe, das Ergebnis ist anders zugeschnitten. Der Cyber Reality Check liefert einen Management-Report mit den Top 10 Risiken als interne Entscheidungsgrundlage. Der IT-Sicherheitsnachweis liefert das nach außen verwertbare Paket: den ausgefüllten Fragebogen deines Kunden, die Belegliste und den Maßnahmenplan. Wenn der Auslöser eine Kundenanforderung ist, ist dieses Format das passende.
Wie schnell geht das, wenn eine Frist läuft?
Vom Sichten des Fragebogens bis zum fertigen Paket sind zwei bis drei Wochen der Normalfall. Wenn eine Ausschreibungsfrist drängt, lässt sich der Ablauf verdichten — sag das im Erstgespräch dazu, dann klären wir zuerst, ob der Termin realistisch ist, bevor wir starten.
Ist die Beantwortung förderbar?
Beratungs- und Konzeptleistungen zur IT-Sicherheit sind in der Steiermark über die SFG-Aktion „Cyber!Sicher" förderbar, bundesweit über AWS KMU.DIGITAL. Zwei Bedingungen sind entscheidend: Der Antrag muss vor Maßnahmenbeginn gestellt sein, und die SFG-Mindestprojektgröße von 5.000 EUR förderfähigen Kosten wird erst erreicht, wenn der Nachweis Teil eines größeren Vorhabens ist. Konditionen und Stolpersteine stehen im Praxisvergleich der Cybersecurity-Förderungen.
Hintergrund
Sicherheitsanforderungen aus der Lieferkette: warum sie kommen und was sie verlangen
Für viele mittelständische Zulieferer ist der Fragebogen des Großkunden der erste ernsthafte Kontakt mit Informationssicherheit. Er kommt selten angekündigt, hat meist eine kurze Frist, und die Fragen sind in einer Sprache formuliert, die im eigenen Haus niemand spricht. Die eigentliche Aufgabe besteht darin, die Fragen richtig zu verstehen und die eigene Lage belegbar abzubilden.
Warum der Fragebogen überhaupt kommt
Der Auslöser liegt meist beim Kunden selbst. Wer unter NIS2 beziehungsweise das NISG 2026 fällt, muss Risiken in der Lieferkette steuern und die Sicherheit seiner direkten Lieferanten bewerten. Diese Pflicht wird nach unten weitergereicht — als Fragebogen, als Vertragsklausel oder als Anforderung in der Ausschreibung. Wo die Grenzen dieser Weitergabe liegen und welche Audit-Rechte ein Kunde tatsächlich durchsetzen kann, behandelt der Beitrag zum Drittparteienmanagement nach NIS2.
Woran man erkennt, was wirklich gefragt ist
Fast jeder Fragebogen leitet sich aus einem bekannten Rahmenwerk ab. Fragen zu Richtlinien, Rollen und Managementbewertung deuten auf ISO 27001; Fragen zu Prototypenschutz und Werksgelände auf TISAX; Fragen zu Meldefristen und Risikomanagement auf NIS2 Artikel 21. Diese Zuordnung entscheidet über den Aufwand: Sie zeigt, welche Antworten mit vorhandenen Unterlagen belegbar sind und welche echte Arbeit erfordern. Wie die Rahmenwerke zusammenhängen, zeigen die Standard-Mappings.
Der Fragebogen ist eine Momentaufnahme, kein Audit
Eine Selbstauskunft erhebt, was jemand angibt. Sie prüft nichts nach und deckt keine Lücken auf, nach denen niemand gefragt hat. Für den Kunden ist sie trotzdem verbindlich: Die Angaben landen in seiner Lieferantenbewertung und werden im Schadensfall herangezogen. Warum ein Risiko-Check, ein Fragebogen und ein Audit drei verschiedene Fragen beantworten, steht in Was ein Risiko-Check nicht ist.
Warum ehrliche Antworten die belastbarere Strategie sind
Die Versuchung, überall Ja anzukreuzen, ist groß, wenn ein Auftrag daran hängt. Sie trägt selten weit: Einkaufsabteilungen prüfen nach, Cyberversicherer stellen dieselben Fragen noch einmal, und spätestens ein Vorfall bringt die Abweichung ans Licht. Dann steht neben dem verlorenen Auftrag die Frage nach der Verantwortung im Raum — und die bleibt bei der Geschäftsführung. Welche Haftungsfragen aus Lieferantenbeziehungen entstehen, behandelt Lieferantenrisiken enden nicht am Vertragsende.
Was danach sinnvoll ist
Der erste Fragebogen ist selten der letzte. Wer regelmäßig Nachweise erbringen muss, fährt mit einer belastbaren Struktur besser als mit wiederholter Einzelfallarbeit: Das Cyber Governance Setup baut sie in 6 bis 12 Wochen auf, das Mandat als externer CISO besetzt die Rolle dauerhaft, die viele Kunden mittlerweile ausdrücklich verlangen. Weitere Beiträge zum Thema stehen im Themen-Hub Drittparteien und Lieferkette.
Andere Leistungen
Auch interessant
Cyber Reality Check
Cyber-Risiko-Check in 1–2 Tagen: Interviews, Bewertung gegen DIN SPEC 27076 oder ISO 27001, Management-Report mit den Top 10 Risiken.
NIS2 Strategiebriefing
Halbtags-Workshop mit Geschäftsführung und IT-Lead. Reifegrad-Einschätzung und schriftliche Empfehlung. Fixpreis 2.480 EUR.
Risk Management Workshop
Risikomanagement mit Methode statt Tool-Automatik — für Unternehmen, die ISO 27001 über ein GRC-Tool umgesetzt haben, aber noch keinen externen Risk-Profi an Bord hatten. 1-Tages-Workshop.
NIS2 Beratung
GAP-Analyse, Umsetzungs-Roadmap und laufende Begleitung zur NISG-Compliance — modular über Monate bis Jahresprojekt.
Cyber Governance Setup
CISO-Funktion in 6–12 Wochen aufbauen — Governance, Rollen, Prozesse. Übergabefähig in vCISO-Betrieb.
Security Risk Assessments
Strukturierte Bewertung der IT-Sicherheitslage. Klare Prioritäten statt Toollisten.
Externer CISO / vCISO
Sicherheitsführung als externe Funktion — strategisch, planbar, ohne Vollzeit-Stelle.
Interim Projektmanagement
Erfahrene Projektleitung für IT- und Sicherheitsvorhaben — temporär, fokussiert.