Kostenlose Vorlagen
Sicherheitsfragebogen für Lieferanten
Senden Sie diese Fragen an Ihre wichtigen Lieferanten, denn NIS2 Artikel 21 Absatz 2 Buchstabe d verlangt Sicherheit in der Lieferkette. Jede Frage erklärt, was ein Ja bedeutet.
So nutzen Sie die Vorlage
- 1Laden Sie die Datei für Excel herunter oder drucken Sie sie.
- 2Füllen Sie die leeren Spalten mit Ihrem Team oder Ihren Lieferanten aus.
- 3Legen Sie Verantwortliche und Termine fest und prüfen Sie in einigen Monaten erneut.
Inhalt: 31 Punkte
1.Haben Sie eine schriftliche Informationssicherheitsrichtlinie, die von Ihrer Geschäftsleitung genehmigt ist?
Ja bedeutet, dass eine aktuelle Sicherheitsrichtlinie besteht, von der Geschäftsleitung genehmigt, regelmäßig überprüft und Ihren Mitarbeitenden bekannt ist.
NIS2 21(2)(a) · ISO 27001 A.5.1
2.Haben Sie eine Person benannt, die in Ihrer Organisation für Informationssicherheit verantwortlich ist?
Ja bedeutet, dass eine benannte interne oder externe Person für Sicherheit zuständig ist, von der Geschäftsleitung unterstützt wird und für Kunden erreichbar ist.
NIS2 21(2)(a) · ISO 27001 A.5.2, A.5.4
3.Ermitteln und bewerten Sie Informationssicherheitsrisiken mindestens einmal jährlich und verfolgen Sie deren Behandlung?
Ja bedeutet, dass Sie einer festgelegten Risikomethode folgen, ein Risikoregister mit Verantwortlichen und Maßnahmen führen und es mindestens jährlich sowie nach größeren Änderungen aktualisieren.
NIS2 21(2)(a) · ISO 27001 A.5.1, A.5.7
4.Haben Sie einen schriftlichen Plan zur Reaktion auf Sicherheitsvorfälle mit Rollen, Schritten und Kontakten?
Ja bedeutet, dass ein aktueller Plan festlegt, wer bei einem Sicherheitsvorfall was tut, einschließlich Eskalation, Eindämmung, Wiederherstellung und Kontaktdaten.
NIS2 21(2)(b) · ISO 27001 A.5.24, A.5.26
5.Werden Sie uns innerhalb von 24 Stunden informieren, nachdem Sie von einem Sicherheitsvorfall erfahren, der unsere Daten oder Ihre Leistungen für uns betrifft?
Ja bedeutet, dass Sie einen benannten Kontakt und einen Prozess haben, um uns binnen 24 Stunden zu warnen und bis zum Abschluss des Vorfalls auf dem Laufenden zu halten.
NIS2 21(2)(b) · ISO 27001 A.5.24, A.5.26
6.Protokollieren Sie sicherheitsrelevante Ereignisse und überwachen Sie diese, um verdächtige Aktivitäten zu erkennen?
Ja bedeutet, dass Anmeldungen, Admin-Aktionen und Sicherheitswarnungen protokolliert, die Protokolle geschützt und festgelegt lange aufbewahrt und Warnungen zeitnah geprüft werden.
NIS2 21(2)(b) · ISO 27001 A.8.15, A.8.16
7.Dokumentieren Sie jeden Sicherheitsvorfall und nutzen Sie die Erkenntnisse, um Ihre Sicherheit zu verbessern?
Ja bedeutet, dass jeder Vorfall mit Ursache, Auswirkung und ergriffenen Maßnahmen dokumentiert wird und Verbesserungen bis zur Erledigung verfolgt werden.
NIS2 21(2)(b) · ISO 27001 A.5.25, A.5.27
8.Sichern Sie wichtige Daten und Systeme regelmäßig, wobei mindestens eine Kopie offline oder anderweitig vor Ransomware geschützt ist?
Ja bedeutet, dass Sicherungen nach einem schriftlichen Plan laufen, auch Cloud-Daten umfassen und mindestens eine Kopie aus Ihrem normalen Netz nicht verändert oder gelöscht werden kann.
NIS2 21(2)(c) · ISO 27001 A.8.13
9.Testen Sie die Wiederherstellung von Daten und Systemen aus Sicherungen mindestens einmal jährlich?
Ja bedeutet, dass mindestens jährlich tatsächliche Wiederherstellungen durchgeführt und zeitlich gemessen werden und Ergebnisse sowie Probleme dokumentiert sind.
NIS2 21(2)(c) · ISO 27001 A.8.13
10.Haben Sie einen getesteten Plan, um Ihre Leistungen für uns nach einer schweren Störung oder Krise fortzuführen oder wiederherzustellen?
Ja bedeutet, dass ein Notfall- und Krisenplan Wiederanlaufzeiten und Zuständigkeiten für diese Leistungen festlegt und im letzten Jahr getestet wurde, etwa in einer Übung.
NIS2 21(2)(c) · ISO 27001 A.5.29, A.5.30
11.Stellen Sie Sicherheitsanforderungen an Ihre eigenen Lieferanten und nehmen Sie diese in die Verträge mit ihnen auf?
Ja bedeutet, dass Verträge mit Lieferanten, die für uns relevante Daten oder Leistungen betreffen, Pflichten zu Sicherheit, Vertraulichkeit und Meldung von Vorfällen enthalten.
NIS2 21(2)(d) · ISO 27001 A.5.19, A.5.20
12.Teilen Sie uns mit, welche Unterauftragnehmer an Ihren Leistungen für uns beteiligt sind, und informieren Sie uns vor einem Wechsel?
Ja bedeutet, dass Sie eine aktuelle Liste der an unseren Leistungen oder Daten beteiligten Unterauftragnehmer samt Standort bereitstellen und Änderungen vorab ankündigen können.
NIS2 21(2)(d) · ISO 27001 A.5.21, A.5.19
13.Prüfen Sie die Sicherheit Ihrer kritischen Lieferanten vor Vertragsabschluss und danach regelmäßig?
Ja bedeutet, dass kritische Lieferanten vor Vertragsabschluss und danach mindestens alle ein bis zwei Jahre geprüft werden, etwa per Fragebogen, Zertifikat oder Audit.
NIS2 21(2)(d) · ISO 27001 A.5.22
14.Installieren Sie Sicherheitsupdates innerhalb festgelegter Fristen, kritische Updates innerhalb weniger Tage?
Ja bedeutet, dass Betriebssysteme, Anwendungen und Geräte nach festem Zeitplan aktualisiert, kritische Korrekturen vorrangig eingespielt und nicht mehr unterstützte Software ersetzt wird.
NIS2 21(2)(e) · ISO 27001 A.8.8, A.8.19
15.Scannen Sie Ihre Systeme regelmäßig auf Schwachstellen und beheben Sie Funde innerhalb von Fristen, die sich nach dem Schweregrad richten?
Ja bedeutet, dass Systeme, besonders aus dem Internet erreichbare, regelmäßig gescannt und Funde innerhalb schweregradabhängiger Fristen behoben werden.
NIS2 21(2)(e) · ISO 27001 A.8.8
16.Wenn Sie Software für uns entwickeln oder warten: Wenden Sie sichere Entwicklungspraktiken an, einschließlich Code-Review und Sicherheitstests vor der Freigabe?
Ja bedeutet, dass Regeln für sichere Programmierung gelten, Änderungen von einer zweiten Person geprüft und vor der Freigabe Sicherheitstests durchgeführt werden. Wählen Sie Nicht zutreffend, wenn Sie keine Software für uns entwickeln.
NIS2 21(2)(e) · ISO 27001 A.8.25, A.8.28, A.8.29
17.Haben Sie einen Prozess, um Meldungen zu Schwachstellen entgegenzunehmen und betroffene Kunden über Schwachstellen zu informieren?
Ja bedeutet, dass Schwachstellen an einen veröffentlichten Kontakt gemeldet werden können, Meldungen nach festem Prozess bearbeitet und betroffene Kunden über Risiken und Korrekturen informiert werden.
NIS2 21(2)(e) · ISO 27001 A.8.8, A.5.24
18.Prüfen Sie regelmäßig, ob Ihre Sicherheitsmaßnahmen wirken, zum Beispiel durch interne Audits oder Sicherheitskennzahlen?
Ja bedeutet, dass Sie Ihre Maßnahmen planmäßig prüfen, die Ergebnisse der Geschäftsleitung berichten und Korrekturmaßnahmen bis zur Erledigung verfolgen.
NIS2 21(2)(f) · ISO 27001 A.5.35, A.5.36
19.Wurde Ihre Sicherheit in den letzten drei Jahren unabhängig überprüft, etwa durch ein externes Audit, eine Zertifizierung oder einen Penetrationstest?
Ja bedeutet, dass eine unabhängige Stelle Ihre Sicherheit oder die für unsere Leistungen genutzten Systeme geprüft hat und Sie uns auf Anfrage eine Zusammenfassung, ein Zertifikat oder einen Bericht geben können.
NIS2 21(2)(f) · ISO 27001 A.5.35, A.8.8
20.Erhalten alle Ihre Mitarbeitenden bei Eintritt und mindestens einmal jährlich eine Schulung zur Sicherheitssensibilisierung?
Ja bedeutet, dass alle, auch die Geschäftsleitung, bei Eintritt und jährlich in Sicherheitsgrundlagen geschult werden und Sie die Teilnahme dokumentieren.
NIS2 21(2)(g) · ISO 27001 A.6.3
21.Sind Ihre Mitarbeitenden darin geschult, Phishing zu erkennen, und werden E-Mails auf Phishing und schädliche Anhänge gefiltert?
Ja bedeutet, dass Mitarbeitende lernen, Phishing zu erkennen, etwa mit simulierten Phishing-Mails, und eingehende E-Mails auf Spam, Phishing und Schadsoftware gefiltert werden.
NIS2 21(2)(g) · ISO 27001 A.6.3, A.8.7
22.Sind alle Ihre Laptops, Desktops und Server zentral verwaltet, sicher konfiguriert und durch aktuellen Schadsoftwareschutz geschützt?
Ja bedeutet, dass Geräte einer sicheren Basiskonfiguration folgen, Einstellungen und Updates zentral durchgesetzt werden und der Schadsoftwareschutz auf allen aktiv und aktuell ist.
NIS2 21(2)(g) · ISO 27001 A.8.1, A.8.7, A.8.9
23.Werden unsere Daten bei jeder Übertragung über öffentliche Netze verschlüsselt, zum Beispiel mit aktuellen TLS-Versionen?
Ja bedeutet, dass alle Verbindungen mit unseren Daten, einschließlich Web, APIs, Dateiübertragung und E-Mail-Transport, aktuelle Verschlüsselung nutzen und veraltete Protokolle deaktiviert sind.
NIS2 21(2)(h) · ISO 27001 A.8.24, A.5.14
24.Werden unsere Daten dort verschlüsselt, wo sie gespeichert sind, auch auf Laptops, Mobilgeräten und Sicherungen, mit geschützten Schlüsseln?
Ja bedeutet, dass Speicher mit unseren Daten mit aktuellen Verfahren verschlüsselt ist und die Schlüssel verwaltet und getrennt von den geschützten Daten aufbewahrt werden.
NIS2 21(2)(h) · ISO 27001 A.8.24
25.Erhalten Personen nur die Zugriffe, die sie brauchen, mit eingeschränkten Administratorrechten und mindestens jährlicher Überprüfung der Zugriffsrechte?
Ja bedeutet, dass Zugriffe nach dem Need-to-know-Prinzip genehmigt werden, alle ein persönliches Konto haben, Adminrechte wenige und getrennt sind und Rechte jährlich geprüft werden.
NIS2 21(2)(i) · ISO 27001 A.5.15, A.5.18, A.8.2
26.Entziehen Sie ausscheidenden Personen an ihrem letzten Arbeitstag alle Zugriffe und nehmen Sie ihre Geräte zurück?
Ja bedeutet, dass Konten sowie Fern- und Cloud-Zugriffe von Personen, die ausscheiden oder die Rolle wechseln, rechtzeitig entzogen und Laptops, Telefone und Zutrittskarten zurückgegeben werden.
NIS2 21(2)(i) · ISO 27001 A.5.18, A.6.5, A.5.11
27.Werden Mitarbeitende und externe Kräfte mit Zugriff auf unsere Daten angemessen überprüft und zur Vertraulichkeit verpflichtet?
Ja bedeutet, dass Hintergrundprüfungen zur Rolle und zum geltenden Recht passen und Verträge oder unterschriebene Vereinbarungen Mitarbeitende und externe Kräfte zur Vertraulichkeit verpflichten.
NIS2 21(2)(i) · ISO 27001 A.6.1, A.6.2, A.6.6
28.Führen Sie ein aktuelles Verzeichnis der Hardware, Software, Cloud-Dienste und Daten, die für Ihre Leistungen für uns genutzt werden?
Ja bedeutet, dass ein aktuelles Verzeichnis diese Assets mit Verantwortlichen und Kritikalität aufführt und bei Änderungen aktualisiert wird.
NIS2 21(2)(i) · ISO 27001 A.5.9, A.5.12
29.Ist die Multi-Faktor-Authentifizierung für E-Mail, Fernzugriff und Cloud-Dienste verpflichtend?
Ja bedeutet, dass alle Nutzenden für diese Dienste einen zweiten Faktor wie eine App oder einen Sicherheitsschlüssel verwenden müssen, ohne Ausnahmen für reguläre Konten.
NIS2 21(2)(j) · ISO 27001 A.8.5
30.Nutzen alle Administratorkonten und alle Zugriffe auf Systeme mit unseren Daten eine Multi-Faktor-Authentifizierung?
Ja bedeutet, dass Adminkonten und jeder Zugriff auf Systeme, die unsere Daten verarbeiten, auch durch Ihre eigenen Lieferanten, stets einen zweiten Faktor erfordern.
NIS2 21(2)(j) · ISO 27001 A.8.5, A.8.2
31.Nutzen Sie gesicherte Sprach-, Video- und Textkommunikation sowie einen gesicherten Kanal für Notfälle, wenn die üblichen Systeme ausfallen?
Ja bedeutet, dass die geschäftliche Kommunikation über von Ihnen freigegebene verschlüsselte Werkzeuge läuft und für Notfälle ein alternativer gesicherter Weg zu Mitarbeitenden und Kunden besteht.
NIS2 21(2)(j) · ISO 27001 A.5.14, A.8.20
| Nr. | Frage | Was ein Ja bedeutet | NIS2 | ISO 27001 | Antwort (Ja / Teilweise / Nein / Nicht zutreffend) | Nachweis oder Kommentar |
|---|---|---|---|---|---|---|
| 1 | Haben Sie eine schriftliche Informationssicherheitsrichtlinie, die von Ihrer Geschäftsleitung genehmigt ist? | Ja bedeutet, dass eine aktuelle Sicherheitsrichtlinie besteht, von der Geschäftsleitung genehmigt, regelmäßig überprüft und Ihren Mitarbeitenden bekannt ist. | 21(2)(a) | A.5.1 | ||
| 2 | Haben Sie eine Person benannt, die in Ihrer Organisation für Informationssicherheit verantwortlich ist? | Ja bedeutet, dass eine benannte interne oder externe Person für Sicherheit zuständig ist, von der Geschäftsleitung unterstützt wird und für Kunden erreichbar ist. | 21(2)(a) | A.5.2, A.5.4 | ||
| 3 | Ermitteln und bewerten Sie Informationssicherheitsrisiken mindestens einmal jährlich und verfolgen Sie deren Behandlung? | Ja bedeutet, dass Sie einer festgelegten Risikomethode folgen, ein Risikoregister mit Verantwortlichen und Maßnahmen führen und es mindestens jährlich sowie nach größeren Änderungen aktualisieren. | 21(2)(a) | A.5.1, A.5.7 | ||
| 4 | Haben Sie einen schriftlichen Plan zur Reaktion auf Sicherheitsvorfälle mit Rollen, Schritten und Kontakten? | Ja bedeutet, dass ein aktueller Plan festlegt, wer bei einem Sicherheitsvorfall was tut, einschließlich Eskalation, Eindämmung, Wiederherstellung und Kontaktdaten. | 21(2)(b) | A.5.24, A.5.26 | ||
| 5 | Werden Sie uns innerhalb von 24 Stunden informieren, nachdem Sie von einem Sicherheitsvorfall erfahren, der unsere Daten oder Ihre Leistungen für uns betrifft? | Ja bedeutet, dass Sie einen benannten Kontakt und einen Prozess haben, um uns binnen 24 Stunden zu warnen und bis zum Abschluss des Vorfalls auf dem Laufenden zu halten. | 21(2)(b) | A.5.24, A.5.26 | ||
| 6 | Protokollieren Sie sicherheitsrelevante Ereignisse und überwachen Sie diese, um verdächtige Aktivitäten zu erkennen? | Ja bedeutet, dass Anmeldungen, Admin-Aktionen und Sicherheitswarnungen protokolliert, die Protokolle geschützt und festgelegt lange aufbewahrt und Warnungen zeitnah geprüft werden. | 21(2)(b) | A.8.15, A.8.16 | ||
| 7 | Dokumentieren Sie jeden Sicherheitsvorfall und nutzen Sie die Erkenntnisse, um Ihre Sicherheit zu verbessern? | Ja bedeutet, dass jeder Vorfall mit Ursache, Auswirkung und ergriffenen Maßnahmen dokumentiert wird und Verbesserungen bis zur Erledigung verfolgt werden. | 21(2)(b) | A.5.25, A.5.27 | ||
| 8 | Sichern Sie wichtige Daten und Systeme regelmäßig, wobei mindestens eine Kopie offline oder anderweitig vor Ransomware geschützt ist? | Ja bedeutet, dass Sicherungen nach einem schriftlichen Plan laufen, auch Cloud-Daten umfassen und mindestens eine Kopie aus Ihrem normalen Netz nicht verändert oder gelöscht werden kann. | 21(2)(c) | A.8.13 | ||
| 9 | Testen Sie die Wiederherstellung von Daten und Systemen aus Sicherungen mindestens einmal jährlich? | Ja bedeutet, dass mindestens jährlich tatsächliche Wiederherstellungen durchgeführt und zeitlich gemessen werden und Ergebnisse sowie Probleme dokumentiert sind. | 21(2)(c) | A.8.13 | ||
| 10 | Haben Sie einen getesteten Plan, um Ihre Leistungen für uns nach einer schweren Störung oder Krise fortzuführen oder wiederherzustellen? | Ja bedeutet, dass ein Notfall- und Krisenplan Wiederanlaufzeiten und Zuständigkeiten für diese Leistungen festlegt und im letzten Jahr getestet wurde, etwa in einer Übung. | 21(2)(c) | A.5.29, A.5.30 | ||
| 11 | Stellen Sie Sicherheitsanforderungen an Ihre eigenen Lieferanten und nehmen Sie diese in die Verträge mit ihnen auf? | Ja bedeutet, dass Verträge mit Lieferanten, die für uns relevante Daten oder Leistungen betreffen, Pflichten zu Sicherheit, Vertraulichkeit und Meldung von Vorfällen enthalten. | 21(2)(d) | A.5.19, A.5.20 | ||
| 12 | Teilen Sie uns mit, welche Unterauftragnehmer an Ihren Leistungen für uns beteiligt sind, und informieren Sie uns vor einem Wechsel? | Ja bedeutet, dass Sie eine aktuelle Liste der an unseren Leistungen oder Daten beteiligten Unterauftragnehmer samt Standort bereitstellen und Änderungen vorab ankündigen können. | 21(2)(d) | A.5.21, A.5.19 | ||
| 13 | Prüfen Sie die Sicherheit Ihrer kritischen Lieferanten vor Vertragsabschluss und danach regelmäßig? | Ja bedeutet, dass kritische Lieferanten vor Vertragsabschluss und danach mindestens alle ein bis zwei Jahre geprüft werden, etwa per Fragebogen, Zertifikat oder Audit. | 21(2)(d) | A.5.22 | ||
| 14 | Installieren Sie Sicherheitsupdates innerhalb festgelegter Fristen, kritische Updates innerhalb weniger Tage? | Ja bedeutet, dass Betriebssysteme, Anwendungen und Geräte nach festem Zeitplan aktualisiert, kritische Korrekturen vorrangig eingespielt und nicht mehr unterstützte Software ersetzt wird. | 21(2)(e) | A.8.8, A.8.19 | ||
| 15 | Scannen Sie Ihre Systeme regelmäßig auf Schwachstellen und beheben Sie Funde innerhalb von Fristen, die sich nach dem Schweregrad richten? | Ja bedeutet, dass Systeme, besonders aus dem Internet erreichbare, regelmäßig gescannt und Funde innerhalb schweregradabhängiger Fristen behoben werden. | 21(2)(e) | A.8.8 | ||
| 16 | Wenn Sie Software für uns entwickeln oder warten: Wenden Sie sichere Entwicklungspraktiken an, einschließlich Code-Review und Sicherheitstests vor der Freigabe? | Ja bedeutet, dass Regeln für sichere Programmierung gelten, Änderungen von einer zweiten Person geprüft und vor der Freigabe Sicherheitstests durchgeführt werden. Wählen Sie Nicht zutreffend, wenn Sie keine Software für uns entwickeln. | 21(2)(e) | A.8.25, A.8.28, A.8.29 | ||
| 17 | Haben Sie einen Prozess, um Meldungen zu Schwachstellen entgegenzunehmen und betroffene Kunden über Schwachstellen zu informieren? | Ja bedeutet, dass Schwachstellen an einen veröffentlichten Kontakt gemeldet werden können, Meldungen nach festem Prozess bearbeitet und betroffene Kunden über Risiken und Korrekturen informiert werden. | 21(2)(e) | A.8.8, A.5.24 | ||
| 18 | Prüfen Sie regelmäßig, ob Ihre Sicherheitsmaßnahmen wirken, zum Beispiel durch interne Audits oder Sicherheitskennzahlen? | Ja bedeutet, dass Sie Ihre Maßnahmen planmäßig prüfen, die Ergebnisse der Geschäftsleitung berichten und Korrekturmaßnahmen bis zur Erledigung verfolgen. | 21(2)(f) | A.5.35, A.5.36 | ||
| 19 | Wurde Ihre Sicherheit in den letzten drei Jahren unabhängig überprüft, etwa durch ein externes Audit, eine Zertifizierung oder einen Penetrationstest? | Ja bedeutet, dass eine unabhängige Stelle Ihre Sicherheit oder die für unsere Leistungen genutzten Systeme geprüft hat und Sie uns auf Anfrage eine Zusammenfassung, ein Zertifikat oder einen Bericht geben können. | 21(2)(f) | A.5.35, A.8.8 | ||
| 20 | Erhalten alle Ihre Mitarbeitenden bei Eintritt und mindestens einmal jährlich eine Schulung zur Sicherheitssensibilisierung? | Ja bedeutet, dass alle, auch die Geschäftsleitung, bei Eintritt und jährlich in Sicherheitsgrundlagen geschult werden und Sie die Teilnahme dokumentieren. | 21(2)(g) | A.6.3 | ||
| 21 | Sind Ihre Mitarbeitenden darin geschult, Phishing zu erkennen, und werden E-Mails auf Phishing und schädliche Anhänge gefiltert? | Ja bedeutet, dass Mitarbeitende lernen, Phishing zu erkennen, etwa mit simulierten Phishing-Mails, und eingehende E-Mails auf Spam, Phishing und Schadsoftware gefiltert werden. | 21(2)(g) | A.6.3, A.8.7 | ||
| 22 | Sind alle Ihre Laptops, Desktops und Server zentral verwaltet, sicher konfiguriert und durch aktuellen Schadsoftwareschutz geschützt? | Ja bedeutet, dass Geräte einer sicheren Basiskonfiguration folgen, Einstellungen und Updates zentral durchgesetzt werden und der Schadsoftwareschutz auf allen aktiv und aktuell ist. | 21(2)(g) | A.8.1, A.8.7, A.8.9 | ||
| 23 | Werden unsere Daten bei jeder Übertragung über öffentliche Netze verschlüsselt, zum Beispiel mit aktuellen TLS-Versionen? | Ja bedeutet, dass alle Verbindungen mit unseren Daten, einschließlich Web, APIs, Dateiübertragung und E-Mail-Transport, aktuelle Verschlüsselung nutzen und veraltete Protokolle deaktiviert sind. | 21(2)(h) | A.8.24, A.5.14 | ||
| 24 | Werden unsere Daten dort verschlüsselt, wo sie gespeichert sind, auch auf Laptops, Mobilgeräten und Sicherungen, mit geschützten Schlüsseln? | Ja bedeutet, dass Speicher mit unseren Daten mit aktuellen Verfahren verschlüsselt ist und die Schlüssel verwaltet und getrennt von den geschützten Daten aufbewahrt werden. | 21(2)(h) | A.8.24 | ||
| 25 | Erhalten Personen nur die Zugriffe, die sie brauchen, mit eingeschränkten Administratorrechten und mindestens jährlicher Überprüfung der Zugriffsrechte? | Ja bedeutet, dass Zugriffe nach dem Need-to-know-Prinzip genehmigt werden, alle ein persönliches Konto haben, Adminrechte wenige und getrennt sind und Rechte jährlich geprüft werden. | 21(2)(i) | A.5.15, A.5.18, A.8.2 | ||
| 26 | Entziehen Sie ausscheidenden Personen an ihrem letzten Arbeitstag alle Zugriffe und nehmen Sie ihre Geräte zurück? | Ja bedeutet, dass Konten sowie Fern- und Cloud-Zugriffe von Personen, die ausscheiden oder die Rolle wechseln, rechtzeitig entzogen und Laptops, Telefone und Zutrittskarten zurückgegeben werden. | 21(2)(i) | A.5.18, A.6.5, A.5.11 | ||
| 27 | Werden Mitarbeitende und externe Kräfte mit Zugriff auf unsere Daten angemessen überprüft und zur Vertraulichkeit verpflichtet? | Ja bedeutet, dass Hintergrundprüfungen zur Rolle und zum geltenden Recht passen und Verträge oder unterschriebene Vereinbarungen Mitarbeitende und externe Kräfte zur Vertraulichkeit verpflichten. | 21(2)(i) | A.6.1, A.6.2, A.6.6 | ||
| 28 | Führen Sie ein aktuelles Verzeichnis der Hardware, Software, Cloud-Dienste und Daten, die für Ihre Leistungen für uns genutzt werden? | Ja bedeutet, dass ein aktuelles Verzeichnis diese Assets mit Verantwortlichen und Kritikalität aufführt und bei Änderungen aktualisiert wird. | 21(2)(i) | A.5.9, A.5.12 | ||
| 29 | Ist die Multi-Faktor-Authentifizierung für E-Mail, Fernzugriff und Cloud-Dienste verpflichtend? | Ja bedeutet, dass alle Nutzenden für diese Dienste einen zweiten Faktor wie eine App oder einen Sicherheitsschlüssel verwenden müssen, ohne Ausnahmen für reguläre Konten. | 21(2)(j) | A.8.5 | ||
| 30 | Nutzen alle Administratorkonten und alle Zugriffe auf Systeme mit unseren Daten eine Multi-Faktor-Authentifizierung? | Ja bedeutet, dass Adminkonten und jeder Zugriff auf Systeme, die unsere Daten verarbeiten, auch durch Ihre eigenen Lieferanten, stets einen zweiten Faktor erfordern. | 21(2)(j) | A.8.5, A.8.2 | ||
| 31 | Nutzen Sie gesicherte Sprach-, Video- und Textkommunikation sowie einen gesicherten Kanal für Notfälle, wenn die üblichen Systeme ausfallen? | Ja bedeutet, dass die geschäftliche Kommunikation über von Ihnen freigegebene verschlüsselte Werkzeuge läuft und für Notfälle ein alternativer gesicherter Weg zu Mitarbeitenden und Kunden besteht. | 21(2)(j) | A.5.14, A.8.20 |
ISO 27001 wird nur mit Control-Codes genannt. Die Fragen sind dieselben wie bei den eingebauten Lieferantenprüfungen von CloudSignLab.
Mit CloudSignLab erledigen
Senden Sie die Fragen online: Lieferanten antworten ohne Konto, und Sie sehen die Punktzahl gegen Ihr Minimum.
Neue Vorlagen und NIS2-Neuigkeiten erhalten
Freiwillig: Wir schreiben Ihnen, wenn wir eine neue Vorlage oder einen Leitfaden veröffentlichen. Sie bestätigen zuerst per E-Mail und können sich jederzeit abmelden.