Sicherheitsfragebogen für Lieferanten
24 Fragen zu den wichtigsten Schutzmassnahmen – kurz genug, dass Lieferanten sie in 15 Minuten beantworten. Jede Frage ist dem IKT-Minimalstandard des Bundes und ISO/IEC 27001:2022 Anhang A zugeordnet.
Frei verwendbar mit Quellenangabe «Swiss Exposure Management». Antworten: Ja, Teilweise, Nein, Nicht anwendbar. Als CSV herunterladen
| # | Frage | IKT-Minimalstandard | ISO 27001 |
|---|---|---|---|
| Organisation | |||
| 1 | Ist eine Person bzw. Stelle für die Informationssicherheit verantwortlich? | ID.GV | A.5.2 |
| 2 | Gibt es eine schriftliche, von der Geschäftsleitung genehmigte Sicherheitsrichtlinie? | ID.GV | A.5.1 |
| 3 | Verfügen Sie über eine anerkannte Zertifizierung oder Prüfung (z. B. ISO 27001, SOC 2, ISAE 3402)? | ID.GV | A.5.35 |
| Zugang | |||
| 4 | Ist für alle Zugänge von aussen (E-Mail, VPN, Fernwartung, Cloud-Dienste) ein zweiter Faktor Pflicht? | PR.AC | A.8.5 |
| 5 | Brauchen Konten mit Administratorrechten einen zweiten Faktor? | PR.AC | A.8.2, A.8.5 |
| 6 | Werden Zugänge beim Austritt von Mitarbeitenden innert eines Arbeitstags gesperrt? | PR.AC | A.5.18, A.6.5 |
| 7 | Erhalten Mitarbeitende nur die Rechte, die sie für ihre Aufgabe brauchen, und werden diese regelmässig überprüft? | PR.AC | A.5.15, A.5.18 |
| Betrieb | |||
| 8 | Werden Sicherheitsupdates für Systeme mit Zugang aus dem Internet innert 14 Tagen eingespielt, kritische schneller? | ID.RA, PR.IP | A.8.8 |
| 9 | Werden alle eingesetzten Betriebssysteme und Anwendungen vom Hersteller noch unterstützt? | ID.AM, PR.IP | A.8.8 |
| 10 | Sind alle Arbeitsplätze und Server mit einem aktuellen Schutz gegen Schadsoftware ausgestattet? | DE.CM | A.8.7 |
| 11 | Werden sicherheitsrelevante Ereignisse protokolliert und die Protokolle mindestens 90 Tage aufbewahrt? | PR.PT, DE.AE | A.8.15 |
| Datensicherung | |||
| 12 | Gibt es Datensicherungen, die vom Netz getrennt bzw. unveränderbar aufbewahrt werden? | PR.IP | A.8.13 |
| 13 | Wird die Wiederherstellung mindestens jährlich getestet? | PR.IP, RC.RP | A.8.13 |
| Verschlüsselung | |||
| 14 | Werden Daten bei der Übertragung über öffentliche Netze verschlüsselt? | PR.DS | A.5.14, A.8.24 |
| 15 | Werden Notebooks, mobile Geräte und Datenträger mit Kundendaten verschlüsselt? | PR.DS | A.8.1, A.8.24 |
| Sicherheitsvorfälle | |||
| 16 | Gibt es einen Ablauf für Sicherheitsvorfälle mit Zuständigkeiten und Kontakten? | RS.RP | A.5.24, A.5.26 |
| 17 | Informieren Sie Ihre Kunden innert 72 Stunden über einen Sicherheitsvorfall, der sie betrifft? | RS.CO | A.5.26 |
| Datenschutz | |||
| 18 | Werden die Daten Ihrer Kunden nur in der Schweiz oder in Staaten mit angemessenem Datenschutz bearbeitet? | ID.GV | A.5.34 |
| 19 | Schliessen Sie mit Ihren Kunden eine Vereinbarung zur Auftragsbearbeitung ab? | ID.SC | A.5.20, A.5.34 |
| Unterauftragnehmer | |||
| 20 | Kennen und dokumentieren Sie alle Unterauftragnehmer, die Zugang zu Kundendaten haben? | ID.SC | A.5.19, A.5.21 |
| 21 | Verpflichten Sie Ihre Unterauftragnehmer vertraglich zu vergleichbaren Sicherheitsmassnahmen? | ID.SC | A.5.20 |
| Mitarbeitende | |||
| 22 | Werden Mitarbeitende mindestens jährlich zu Informationssicherheit und Phishing geschult? | PR.AT | A.6.3 |
| 23 | Sind alle Mitarbeitenden und externen Personen zur Vertraulichkeit verpflichtet? | PR.IP | A.6.6 |
| Notfallvorsorge | |||
| 24 | Gibt es einen Notfallplan, damit Ihre Leistungen bei einem Ausfall weitergehen? | RC.RP | A.5.29, A.5.30 |
Mit einem Konto bei Swiss Exposure Management versenden Sie den Fragebogen per Link, ergänzen eigene Fragen und erhalten die Auswertung mit Note und Abweichungen zu den Befunden von aussen.