Selbstauskunft oder Fragebogen?
Die Selbstauskunft sammelt Stammdaten, Kontakte und Grundsätze. Der Sicherheitsfragebogen geht tiefer in die Informationssicherheit. Viele Firmen kombinieren beides.
Halten Sie die Selbstauskunft kurz. Den ausführlichen Fragebogen schicken Sie nur an Lieferanten mit erhöhtem Risiko.
Was in die Selbstauskunft gehört
| Teil | Inhalt |
|---|---|
| Stammdaten | Name, Rechtsform, Anschrift, Firmenbuch- oder Registernummer, UID-Nummer, LEI wenn vorhanden |
| Kontakte | Vertrieb, Buchhaltung, Informationssicherheit, Datenschutz und ein Notfallkontakt |
| Leistung und Standorte | Was der Lieferant liefert, von wo, und wo Ihre Daten verarbeitet werden |
| Zertifikate | Etwa ISO 9001, ISO/IEC 27001 oder ISO 14001, jeweils mit Geltungsbereich und Ablaufdatum |
| Unterauftragnehmer | Wer an der Leistung mitwirkt, mit Leistung und Land |
| Grundsätze | Verhaltenskodex, Umgang mit Menschenrechten und Umwelt |
| Versicherungen | Betriebshaftpflicht, bei IT-Leistungen auch eine Cyberversicherung |
Der Fragebogen zur Informationssicherheit
Richten Sie die Fragen an anerkannten Themen aus. In Österreich bieten sich die zehn Mindestinhalte aus § 32 Abs. 4 NISG 2026 an.
Auch die ISO/IEC 27001:2022 behandelt Lieferantenbeziehungen, in den Maßnahmen 5.19 bis 5.23 ihres Anhangs A.
- Eine Frage, ein Thema.
- Feste Antwortoptionen statt Freitext, wo es geht.
- Zu wichtigen Antworten einen Nachweis verlangen.
- Eine kurze Fassung für unkritische, eine lange für kritische Lieferanten.
| Frage | Gute Antwort | Nachweis |
|---|---|---|
| Ist für Fernzugriffe ein zweiter Faktor Pflicht? | Ja, für alle Konten mit Fernzugriff | Auszug aus der Richtlinie |
| Wie schnell melden Sie Vorfälle, die uns betreffen? | Innerhalb von 24 Stunden | Vertragsklausel oder Prozessbeschreibung |
| Gibt es ein gültiges Zertifikat nach ISO/IEC 27001? | Ja, mit passendem Geltungsbereich | Zertifikat mit Ablaufdatum |
| Werden Sicherungen getrennt aufbewahrt und getestet? | Ja, Test mindestens jährlich | Protokoll des letzten Tests |
| Wo werden unsere Daten verarbeitet? | In der EU oder mit geeigneter Grundlage | Liste der Standorte und Unterauftragnehmer |
Antworten prüfen
- Plausibel? Passt die Antwort zu Größe und Branche des Lieferanten?
- Belegt? Deckt das Zertifikat den Standort und die Leistung ab, die Sie kaufen?
- Stimmig mit der Außensicht? Öffentliche Konfiguration wie der E-Mail-Schutz widerspricht manchmal den Antworten.
- Aktuell? Notieren Sie das Ablaufdatum jedes Nachweises.
Tipps für Lieferanten
- Halten Sie eine Standardantwort bereit und pflegen Sie sie zweimal im Jahr.
- Benennen Sie eine Person für Sicherheitsfragen.
- Antworten Sie ehrlich. Eine Lücke mit Plan wirkt besser als ein Ja ohne Beleg.
Sparsam mit Personendaten
Fragen Sie nur Daten ab, die Sie wirklich brauchen. Für Kontakte genügen oft Funktion und Sammeladresse.
Vorlage: Inhalte einer Lieferantenselbstauskunft
Übernehmen Sie diese Punkte in Ihr Formular.
- Firmenname, Rechtsform und Anschrift.
- Firmenbuch- oder Registernummer, UID-Nummer, LEI wenn vorhanden.
- Kontakte für Vertrieb, Buchhaltung, Informationssicherheit, Datenschutz und Notfall.
- Beschreibung der Leistung und der Standorte.
- Ort der Datenverarbeitung und Unterauftragnehmer mit Land.
- Zertifikate mit Geltungsbereich und Ablaufdatum.
- Meldeweg und Frist für Sicherheitsvorfälle.
- Verhaltenskodex und Grundsätze zu Menschenrechten und Umwelt.
- Versicherungen mit Deckungssumme.
- Datum, Name und Funktion der Person, die die Angaben macht.
Sie dürfen diese Liste frei übernehmen und anpassen.
Häufige Fragen
Ist eine Lieferantenselbstauskunft Pflicht?
Ein bestimmtes Formular schreibt das NISG 2026 nicht vor. Es verlangt aber, die Cybersicherheitspraxis der Anbieter zu berücksichtigen (§ 32 Abs. 4 lit. d). Eine Selbstauskunft ist dafür ein üblicher Weg.
Wie oft sollte die Selbstauskunft erneuert werden?
Bei kritischen Lieferanten jährlich, sonst alle zwei bis drei Jahre. Dazu bei wichtigen Änderungen wie einem neuen Eigentümer oder Standort.
Was tun, wenn ein Lieferant nicht antwortet?
Erinnern Sie mit Frist und klären Sie, wer beim Lieferanten zuständig ist. Bei kritischen Lieferanten gehört die Mitwirkung in den Vertrag.
Quellen
- NISG 2026, § 32 Abs. 4, BGBl. I Nr. 94/2025
- ISO/IEC 27001:2022, Anhang A, Maßnahmen 5.19 bis 5.23, Informationssicherheit in Lieferantenbeziehungen
Rechtsquellen geprüft am 31.10.2026. Rechtsinformation, keine Rechtsberatung. Für Ihren Einzelfall fragen Sie bitte eine Fachperson.