Der Fragebogen braucht einen Eigentümer

So oder ähnlich höre ich die Sorge: „Der Kunde will den Fragebogen bis Freitag zurück. Wer kann mir sagen, was wir dort guten Gewissens ankreuzen können?“

Der Wunsch dahinter ist vernünftig. Ein Sicherheitsfragebogen soll rechtzeitig beantwortet werden, der Betrieb soll weiterlaufen, und niemand will mit einer Angabe nach außen treten, die sich später im eigenen Haus nicht erklären lässt. Gerade unter diesem Druck liegt die naheliegende Bitte auf dem Tisch: Kann der IT-Dienstleister den Fragebogen nicht einfach mit ausfüllen?

Er kann wichtige technische Angaben liefern. Er kennt die Systeme und Zugänge. Er sieht, wo etwas im Alltag hakt. Der Fachbereich weiß, welche Abläufe er braucht. Die Geschäftsführung will, dass Kunden und Mitarbeitende nicht warten. Auch der Einkäufer des Kunden oder ein Prüfer fordert Nachweise, weil er selbst prüfen muss. Alle schauen auf einen berechtigten Teil der Lage.

Die Frage hinter den einzelnen Kästchen

Schwierig wird es, wenn aus diesen Teilen keine gemeinsame Aussage wird. Dann kreist derselbe Fragebogen zwischen Geschäftsführung, Fachbereich und Dienstleister. Die technische Antwort ist vielleicht rasch gefunden. Offen bleibt jedoch, ob sie den tatsächlichen Betrieb beschreibt und wer sie nach außen vertritt.

Genau dort entsteht die eigentliche Betriebsfrage: Wer kann diese Angabe heute erklären, wenn ein Kunde nachfragt? Und wer entscheidet, wenn Technik, Arbeitsablauf und Erwartung des Kunden nicht sauber zusammenpassen?

Das ist keine Kritik am Dienstleister. Ein guter Dienstleister betreut Systeme, macht Risiken sichtbar und setzt technische Maßnahmen um. Ihm die betriebliche Entscheidung vollständig zu überlassen, hilft aber keinem Beteiligten. Welche Aussage das Unternehmen nach außen vertritt, kann nur dort entschieden werden, wo der eigene Ablauf, die Folgen für die Arbeit und die Verantwortung zusammenkommen.

Ohne diese Rolle bleibt die Antwort zwischen den Beteiligten liegen. Die technische Auskunft, der betriebliche Ablauf und die Entscheidung nach außen kommen dann nicht an einem Ort zusammen. Der Fragebogen wird beantwortet, aber die Entscheidung dahinter hat keinen Eigentümer.

Ein Beleg für die Reihenfolge

Der BSI-Online-Kurs zur Dokumentation einer Business-Impact-Analyse nennt Prozesse, Abhängigkeiten, eine Liste kritischer Prozesse mit Wiederanlaufpriorisierung und eine Ressourcenübersicht. Er ordnet die Anfertigung des Berichts außerdem einer verantwortlichen Rolle zu und nennt die Vorlage an die Leitung zur Genehmigung. [FQ-F01, FQ-F02]

Das ist kein Maßstab für Kundenfragebögen und keine Vorgabe für Ihren Betrieb. Der Kurs macht aber etwas sichtbar, das für die eigene Antwortfähigkeit nützlich ist: Ein Befund gewinnt erst an Wert, wenn klar ist, woran Abläufe hängen, wer ihn einordnet und wer eine Entscheidung trägt.

Wie ich das sehe: Ein Sicherheitsnachweis ist nur dann belastbar, wenn er den Betrieb beschreibt, der tatsächlich arbeitet. Dazu gehören technische Angaben. Sie reichen allein jedoch nicht aus, wenn niemand sagen kann, wie sie zum Ablauf gehören und wer die Aussage vertreten kann. Der Befund zeigt den Standort. Die Reihenfolge kommt aus dem Betrieb.

Das ist ein Unterschied, der unter Fristendruck leicht verloren geht. Wer zuerst nur Kästchen füllt, sammelt Informationen. Wer zunächst eine entscheidungsfähige Rolle benennt, kann die Informationen in eine Aussage überführen, die im Haus verständlich bleibt. Technik unterstützt diese Arbeit. Sie nimmt sie dem Unternehmen nicht ab.

Drei Fragen für den Sicherheitsfragebogen

Ich würde daraus kein großes Projekt machen. Nehmen Sie den aktuellen Fragebogen und markieren Sie die drei Fragen, bei denen Sie intern am längsten nach einer Antwort suchen müssten.

Die Arbeit beginnt mit einer klaren Einordnung. Die markierten Fragen zeigen, an welcher Stelle das gemeinsame Bild fehlt. Vielleicht liegt eine technische Information vor, aber ihr Bezug zum Ablauf bleibt unklar. Vielleicht kennt der Fachbereich die tägliche Arbeit, kann aber nicht bestätigen, welche Schutzmaßnahme dafür tatsächlich gilt. Vielleicht kann die Geschäftsführung nur dann entscheiden, wenn beide Seiten ihre Beobachtung nebeneinanderlegen.

Die drei Fragen geben dem Termin einen konkreten Gegenstand. Sie trennen, was eine technische Information ist, was den tatsächlichen Ablauf beschreibt und was im Haus noch geklärt werden muss. So bleibt eine offene Stelle auch als offene Stelle sichtbar.

Thema ist die Antwortfähigkeit für genau diesen Fragebogen. Bereich sind die Betriebsabläufe, die seine Fragen berühren. Die Geschäftsführung benennt eine intern entscheidungsfähige Person. Admin oder IT-Dienstleister liefern die technischen Angaben. In einem kurzen Termin entsteht daraus eine gemeinsame Arbeitsgrundlage, keine vollständige Prüf- oder Compliance-Methode:

• Was beschreibt diese Angabe im tatsächlichen Betrieb?
• Wer kann die technische Information dazu erläutern?
• Wer bestätigt, dass die Aussage nach außen vertreten wird?
• Was bleibt offen und wird daher nicht als geklärt dargestellt?

Halten Sie die Antworten direkt an den drei markierten Fragen fest. Damit liegt für diese Angaben fest, welche technische Auskunft vorliegt, wer die Aussage vertritt und was noch offen ist.

Wenn diese Grenze zwischen Geschäftsführung und Technik bei Ihnen noch unscharf ist, kann ich als Übersetzer zwischen beiden Seiten helfen, die richtigen Aufgaben festzuhalten und die Entscheidungslage verständlich zu machen.

Quellen

• FQ-F01, FQ-F02: Bundesamt für Sicherheit in der Informationstechnik, „3.8 Ergebnisse dokumentieren“, Veröffentlichungs- oder Aktualisierungsdatum nicht angegeben, abgerufen 11.10.2026: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/Zertifizierte-Informationssicherheit/IT-Grundschutzschulung/Online-Kurs-Notfallmanagement/3_BusinessImpactAnalysieren/7_ErgebnisseDokumentieren/ErgebnisseDokumentieren_node.html
• bsi.bund.de

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.