Sicherheitsfragebogen erhalten? Was in den ersten 24 Stunden zu tun ist

Zuletzt aktualisiert: 28. Juli 2026 · Vom Deal-Rescue-Team · Diese Fragebögen zu beantworten ist unser gesamter Service; dies ist die Triage, um die er gebaut ist.

Unsere Deliverables und unser Support sind auf Englisch — der Standardsprache von Enterprise-Sicherheitsprüfungen. Diese Seite ist eine getreue Übersetzung unseres englischen Leitfadens.

Zuerst: Das ist eine gute Nachricht. Sicherheitsfragebögen kommen, wenn ein Deal das Procurement oder den Security Review erreicht — der Käufer prüft Sie ernsthaft. Der Fragebogen ist nicht die Bedrohung. Die Bedrohungen sind (a) zu spät zu antworten, während der Deal an Schwung verliert, und (b) mit Behauptungen zu antworten, die später in der Due Diligence zusammenbrechen. Die ersten 24 Stunden entscheiden über beides.

Stunde 1: Identifizieren Sie, was Sie tatsächlich erhalten haben

Öffnen und klassifizieren Sie, bevor irgendjemand zu tippen beginnt. Das Format verrät Ihnen Aufwand und Playbook:

• SIG Lite / SIG Core (Shared Assessments): standardisiert; SIG Lite ist die kurze Stufe, SIG Core deutlich länger. Üblich bei Käufern aus Finanzdienstleistungen, Gesundheitswesen und Versicherungen. Seit der Version 2026 gibt es eine eigene KI-Domäne — siehe unseren Leitfaden zur KI-Domäne der SIG 2026.
• CAIQ / AI-CAIQ (Cloud Security Alliance): Cloud-Kontrollen; der AI-CAIQ (Oktober 2025) etabliert sich als gängiges Instrument für KI-Due-Diligence — siehe den AI-CAIQ-Leitfaden.
• Individuelle Tabelle oder Portal (Excel, OneTrust, Whistic, KY3P…): alles von 20 bis zu Hunderten von Fragen. Prüfen Sie, ob die Fragen tatsächlich als Fragen formuliert sind — Export-Eigenheiten zählen, wenn Sie den Aufwand abschätzen.
• KI-Abschnitt in jedem der genannten Formate: zunehmend Standard. Wenn Ihr Produkt KI-Funktionen ausliefert, kommt es hier gerade jetzt am meisten auf Genauigkeit an — Artikel 50 der Verordnung (EU) 2024/1689 (EU AI Act) gilt ab dem 2. August 2026.

Zählen Sie die Fragen, notieren Sie die genannte Frist, und notieren Sie, wer ihn geschickt hat (Procurement, Security-Team oder Ihr Champion, der ihn weiterleitet — Ihr Champion ist Ihr Verbündeter für Kontext und Verlängerungen).

Stunde 2: Schützen Sie den Zeitplan

• Bestätigen Sie den Erhalt noch am selben Tag. Eine Zeile an den Absender: Sie haben ihn, Sie arbeiten daran, und wann die Antworten kommen. Funkstille ist der Weg, auf dem Deals ins Stocken geraten.
• Sagen Sie ein Datum zu, das Sie tatsächlich halten können. Entscheiden Sie zuerst den Lieferweg (nächster Abschnitt), dann versprechen Sie das Datum.
• Wenn die Frist unmöglich ist, fragen Sie früh — nicht am Fälligkeitstag. Eine kurze, konkrete Bitte mit Fokus auf Genauigkeit ist ein normaler Teil von Vendor-Reviews. Am ersten Tag zu fragen wirkt organisiert; am Fälligkeitstag zu fragen wirkt, als würden Sie untergehen.

Stunde 3: Entscheiden Sie, wer antwortet

Drei gangbare Wege — die ehrlichen Entscheidungskriterien stehen in unserem vollständigen Vergleich mit echten Preisen von 2026:

• Intern: richtig, wenn jemand im Team die abgefragten Frameworks kennt und der Deal auf interne Zeit warten kann. Methode: wie man die KI-Sektion beantwortet.
• Ein Service pro Fragebogen: richtig, wenn der Fragebogen die Ausnahme ist und der Deal jetzt blockiert ist. Genau das machen wir: pauschal 490 $ bis 60 Fragen, Entwürfe in 48 Stunden, jede rechtliche Aussage mit Artikelangabe belegt, bezahlt nach Lieferung — beurteilen Sie zuerst das öffentliche Muster.
• Eine GRC-Plattform: richtig, wenn dies Ihr fünfter Fragebogen in diesem Jahr ist und Compliance zum Programm wird statt zum Zwischenfall — siehe Plattform vs. Service vs. Eigenregie.

Welchen Weg Sie auch wählen: Eine Person verantwortet die Konsistenz. Widersprüche zwischen Abschnitten (Verschlüsselung „ja“ in einem Tab, „teilweise“ in einem anderen) sind ein klassisches Due-Diligence-Warnsignal.

Die zwei Fehler, die Deals wirklich scheitern lassen

1. Das hoffnungsvolle „Ja“. Mit „Ja“ auf eine Kontrolle zu antworten, die Sie nur teilweise haben, fühlt sich harmlos an — und ist der teuerste Fehler im Dokument. Beschreiben Sie, was heute existiert; packen Sie das Fehlende in eine Gap-Aussage mit Behebungsschritt und Datum. Käufer akzeptieren ehrliche Lücken mit Plan. Was sie nicht verzeihen, ist ein später entdecktes, überzogenes Ja.
2. Rechtliche Aussagen ohne Quellen. KI-Abschnitte verweisen inzwischen auf eine Verordnung, die in Kraft ist. Unbelegte Paraphrasen („wir erfüllen den EU AI Act“) laden zu Nachfragen ein, die Sie vielleicht nicht wollen. Jede rechtliche Aussage sollte ihren Artikel zitieren — das signalisiert zugleich, dass Sie das Terrain besser kennen als der Prüfer.

Die Checkliste für die ersten 24 Stunden

• ☐ Format klassifiziert (SIG / CAIQ / AI-CAIQ / individuell) und Fragen gezählt
• ☐ Frist, Absender und internen Champion notiert
• ☐ Erhalt bestätigt und ein Datum zugesagt
• ☐ Lieferweg gewählt (intern / Service / Plattform)
• ☐ Eine verantwortliche Person für Konsistenz benannt
• ☐ KI-Funktionen durch den Artikel-50-Checker laufen lassen (falls zutreffend)