IT-Sicherheitsfragebogen

Facility Management: Verträge und Vereinbarungen » Anhänge » Daten, Systeme und Nachhaltigkeit » IT-Sicherheitsfragebogen

IT-Sicherheitsfragebogen für Facility Management

Fragen am tatsächlichen Zugriffsrisiko ausrichten
Antworten müssen bewertbar sein
Ergebnisse in den Vertrag überführen

Fragen am tatsächlichen Zugriffsrisiko ausrichten

Nicht jeder FM-Dienstleister benötigt denselben Prüfungsumfang. Ein Reinigungsunternehmen ohne Systemzugriff besitzt ein anderes Risikoprofil als ein Betreiber, der per Fernzugriff auf Gebäudeautomation, CAFM oder technische Netze zugreift. Der Fragebogen sollte deshalb risikoorientiert aufgebaut sein.

Prüfbereich	Typische Fragestellung
Sicherheitsorganisation	Gibt es definierte Verantwortlichkeiten und Sicherheitsrichtlinien?
Benutzer und Zugriffe	Wie werden Konten, Rollen und Berechtigungen verwaltet?
Fernzugriffe	Wie werden externe Zugänge abgesichert und protokolliert?
Endgeräte	Welche Anforderungen gelten für eingesetzte Notebooks und mobile Geräte?
Schwachstellen	Wie werden Updates, Patches und bekannte Sicherheitslücken behandelt?
Sicherheitsvorfälle	Wie werden Vorfälle erkannt, bewertet und gemeldet?
Unterauftragnehmer	Welche weiteren Unternehmen erhalten Zugriff auf Systeme oder Daten?
Notfallvorsorge	Wie werden Wiederanlauf und Ausfall kritischer IT-Leistungen vorbereitet?

Besonders bei kritischen Dienstleisterbeziehungen sollten auch Lieferketten und Unterauftragnehmer transparent werden. Das BSI empfiehlt für sicherheitsrelevante Lieferantenbeziehungen unter anderem klar definierte Sicherheitsanforderungen, Transparenz über die Lieferkette und – abhängig von der Kritikalität – geeignete Nachweise oder Audits.

Antworten müssen bewertbar sein

Ein Fragebogen besitzt wenig Nutzen, wenn ausschließlich mit „Ja“ oder „Nein“ geantwortet wird. Für wesentliche Anforderungen sollte deshalb angegeben werden, wie die jeweilige Maßnahme umgesetzt wird und wodurch sie nachgewiesen werden kann.

Geeignete Nachweise können beispielsweise Sicherheitsrichtlinien, Zertifizierungen, Prozessbeschreibungen, Auditberichte oder technische Konzepte sein. Dabei sollte der Auftraggeber nur solche Dokumente verlangen, die für die konkrete Risikobewertung erforderlich sind.

Auch Abweichungen müssen bewertbar bleiben. Nicht jede fehlende Zertifizierung bedeutet automatisch ein unvertretbares Sicherheitsrisiko. Entscheidend ist, ob angemessene alternative Maßnahmen bestehen und ob verbleibende Risiken akzeptiert oder durch zusätzliche Vertragsanforderungen reduziert werden können.

Ergebnisse in den Vertrag überführen

Der IT-Sicherheitsfragebogen sollte nicht nach der Vergabe in der Dokumentenablage verschwinden. Erkenntnisse aus der Prüfung müssen dort, wo sie relevant sind, in verbindliche Vertragsanforderungen überführt werden.

Dies kann beispielsweise Anforderungen an Zugänge, Sicherheitsvorfälle, Schwachstellenmanagement, Unterauftragnehmer, Auditmöglichkeiten oder den Umgang mit Informationen bei Vertragsende betreffen. Für bestimmte von NIS2 erfasste Organisationen sehen die europäischen Anforderungen ausdrücklich auch Sicherheitsanforderungen gegenüber direkten Lieferanten und Dienstleistern sowie Regelungen zu Vorfallmeldungen, Auditrechten, Schwachstellen und Unterauftragnehmern vor.

Bei längeren FM-Verträgen sollte die Bewertung außerdem aktualisiert werden, wenn sich Systeme, Zugriffsrechte, Unterauftragnehmer oder das Risikoprofil wesentlich verändern.

Ein guter IT-Sicherheitsfragebogen beantwortet somit nicht nur die Frage, ob ein Dienstleister „IT-sicher“ ist. Er macht nachvollziehbar, welche digitalen Abhängigkeiten bestehen, welche Schutzmaßnahmen vorhanden sind, wo Risiken verbleiben und welche Anforderungen vertraglich abgesichert werden müssen.

Damit wird der Fragebogen zu einem pragmatischen Bindeglied zwischen Dienstleisterauswahl, Risikobewertung und verbindlicher IT-Sicherheitsgovernance im Facility Management.

IT-Sicherheitsfragebogen

IT-Sicherheitsfähigkeit von FM-Dienstleistern systematisch prüfen