Den Sicherheitsfragebogen einmal beantworten. Jedem Auftraggeber zeigen.
Ein Sicherheitsprofil für Ihr Unternehmen · und Antworten auf jeden Lieferantenfragebogen, der trotzdem kommt.
Ihre Auftraggeber machen alle dieselbe Lieferantenbewertung und schicken dafür jeder ein anderes Formular — mal eine Excel-Tabelle, mal ein Security Questionnaire auf Englisch. Das Sicherheitsprofil zeigt Ihre Nachweise an einer Stelle: für Menschen lesbar und für Prüfsoftware abrufbar. Kommt der Sicherheitsfragebogen trotzdem, werden seine Fragen aus Ihren eigenen Nachweisen beantwortet — mit Quellenangabe und Ihrer Freigabe.
Enthalten ab Datenschutz-Suite Standard, in jeder Stufe von Hugo ISMS und in Hugo Shield Premium.
Der dritte Sicherheitsfragebogen in diesem Quartal
Jeder Auftraggeber schickt etwas anderes
Das eine Unternehmen schickt eine Excel-Tabelle mit 180 Zeilen, das nächste ein Word-Dokument mit Freitextfeldern, das dritte ein PDF zum Ausdrucken. Inhaltlich fragen alle nach demselben — Zugriffskontrolle, Verschlüsselung, Notfallplan, Auftragsverarbeiter, Meldewege.
Die Frist steht schon im Betreff
Zehn Tage sind üblich, manchmal sieben. Der Fragebogen kommt selten zu einem ruhigen Zeitpunkt, sondern mitten in der Angebotsphase oder kurz vor der Vertragsverlängerung. Wer nicht liefert, wird nicht als „unsicher" eingestuft, sondern schlicht nicht berücksichtigt.
Die Antworten gibt es längst
Verarbeitungsverzeichnis, Auftragsverarbeiter-Liste, TOM-Bewertung, Zertifikate, Schulungsnachweise, der Notfall- und Meldeprozess — all das ist dokumentiert. Es wird nur jedes Mal von Hand in ein fremdes Formular übertragen, meistens von derselben Person.
Die Rechtslage, so wie sie ist
Es gibt keine gesetzliche Pflicht, Lieferanten mit Fragebögen zu prüfen. § 30 Abs. 2 Nr. 4 BSIG nennt als Maßnahme lediglich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern", und § 30 Abs. 1 stellt alle Maßnahmen unter den Vorbehalt der Verhältnismäßigkeit. Die Pflicht, die Cybersicherheitspraxis der unmittelbaren Anbieter zu berücksichtigen, steht in Art. 21 Abs. 3 der Richtlinie (EU) 2022/2555 und hat im BSIG keine eigene Entsprechung. Fragebögen sind Marktpraxis — und genau deshalb bekommen Sie sie trotzdem.
Art. 28 DSGVO kennt weder „prüfen" noch „Fragebogen". Der Wortlaut lautet, dass der Verantwortliche „nur mit Auftragsverarbeitern arbeitet, die hinreichend Garantien dafür bieten". Die Form ist frei. Die EDSA-Leitlinien 07/2020 (endgültige Fassung vom 07.07.2021) nennen in Rn. 95 ausdrücklich den Austausch von Unterlagen — Verzeichnis von Verarbeitungstätigkeiten, Informationssicherheitskonzept, Berichte über externe Datenschutzaudits, anerkannte internationale Zertifizierungen wie die ISO-27000-Reihe — und stellen in Rn. 96 klar, dass diese Liste nicht abschließend ist. Ein Sicherheitsprofil ist genau dieser Austausch von Unterlagen.
Wie viele Unternehmen es trifft: Der Regierungsentwurf zum NIS2-Umsetzungsgesetz (BT-Drs. 20/13184) rechnet mit rund 20.850 Einrichtungen — 2.950 besonders wichtige und 17.900 wichtige. Jede von ihnen hat Zulieferer, und jeder Zulieferer bekommt Post.
Sicherheitsfragebogen, Lieferantenbewertung, Security Questionnaire
Gemeint ist jedes Mal dasselbe: Ihr Auftraggeber will vor der Unterschrift wissen, wie es um Ihre Informationssicherheit steht. Nur der Name im Betreff wechselt — und mit ihm das Formular.
Sicherheitsfragebogen
Lieferantenfragebogen · Lieferanten-Sicherheitsfragebogen · Fragenkatalog
Der deutsche Name. Meist eine Excel-Datei aus dem Einkauf, 60 bis 300 Zeilen, im Betreff eine Frist. Inhaltlich ist es ein Fragenkatalog zu Ihren Sicherheitsmaßnahmen — nicht zu Ihren Zertifikaten.
Lieferantenbewertung
Lieferantenprüfung · Sicherheitsbewertung · Supplier Assessments
Die Sicht des Auftraggebers: Er will seine Lieferanten bewerten, klassifizieren und in ein Lieferantenregister eintragen. Der Fragebogen ist dabei nur das Werkzeug; bewertet wird Ihr Sicherheitsniveau.
Security Questionnaire
Vendor Security Assessment · Third Party Risk
Der englische Name, üblich bei internationalen Kunden und im SaaS-Einkauf. Dieselben Themen heißen dort access control, accounts, encryption und controls, im Anhang liegen Data Processing Agreements statt eines AVV. Ist die Frage englisch, ist auch der Antwortvorschlag englisch.
Lieferantenselbstauskunft
Selbstauskunft · Self Assessment
Derselbe Vorgang, nur betont, wer antwortet: Sie selbst, ohne Prüfung vor Ort. Verpflichtend ist eine Selbstauskunft nicht — sie wird vertraglich vereinbart oder ist Bedingung dafür, im Vergabeverfahren zu bleiben.
Die Fragen, die in fast jedem Sicherheitsfragebogen stehen
Zwei Fragenkataloge verschiedener Kunden überschneiden sich zu großen Teilen. Das ist der Grund, warum sich eine einmal sauber belegte Antwort mehrfach verwenden lässt.
Zugriff und Konten
Zugriffskontrolle, MFA, wie Konten (accounts) angelegt und beim Austritt wieder entzogen werden, wer Administrationsrechte hat.
Verschlüsselung und Netz
Verschlüsselung gespeicherter Daten, TLS 1.2 oder neuer im Transport, Firewall, VPN für den Fernzugriff.
Sicherheitsvorfälle
Wie ein Sicherheitsvorfall erkannt und gemeldet wird, in welcher Frist die Incident-Meldung herausgeht und was die Nachbereitung nach dem Vorfall (post-incident review) ergeben hat. Sicherheitsvorfälle der letzten zwölf Monate werden fast immer abgefragt.
Unterauftragnehmer
Wen Sie einsetzen, wo die Daten liegen, ob ein AVV vorliegt. Bei Unterauftragnehmern fragen Auftraggeber genauer nach, weil ihre eigene Kette dort weiterläuft.
Richtlinien und Governance
Ob dokumentierte Sicherheitsrichtlinien vorliegen, wer sie verantwortet und wie ihre Einhaltung geprüft wird. Governance-Fragen kosten wenig Zeit, wenn die Titel gepflegt sind.
Schwachstellen und kritische Systeme
Wie eine Schwachstelle gefunden und geschlossen wird, welche Systeme als kritische Systeme gelten und wo sensible Daten verarbeitet werden.
Wie Auftraggeber Lieferanten bewerten — von ISO 27001 bis TISAX
Kaum ein Einkauf denkt sich seinen Fragenkatalog selbst aus. Wer weiß, woher die Fragen stammen und was danach passiert, beantwortet sie schneller.
Woher die Fragen stammen
Die Vorlagen kommen aus bekannten Werken: ISO 27001 samt Anhang A, dem VDA-ISA-Katalog hinter TISAX, den Kriterien hinter SOC 2 oder dem BSI IT-Grundschutz. Große Auftraggeber mischen daraus einen eigenen Bogen. Deshalb fragen zwei Kunden inhaltlich das Gleiche und schicken trotzdem zwei verschiedene Dateien — und deshalb lohnt es sich, die Antworten einmal mit Quelle zu hinterlegen, statt sie jedes Mal neu zu formulieren.
Ein Zertifikat stellen wir nicht aus
Ein ISO-27001-Zertifikat vergibt eine akkreditierte Zertifizierungsstelle, ein TISAX-Label ein dafür zugelassener Prüfdienstleister, einen Bericht nach SOC 2 ein Wirtschaftsprüfer. Daran ändert Software nichts. Wir tun etwas anderes: Ihre dokumentierten Nachweise so aufbereiten, dass die Fragen daraus beantwortet werden können — mit Quellenangabe, mit dem Geltungsbereich, auf den sie sich beziehen, und mit einer offenen Lücke dort, wo nichts vorliegt. Ein Fragebogen fragt Sicherheitsmaßnahmen ab, kein Siegel: Wird Ihre Informationssicherheit bewertet, zählt am Ende, was Sie belegen können.
Von der Klassifizierung bis zu den Vertragsklauseln
Am Anfang steht keine Note, sondern eine Einordnung: Wie kritisch ist die Leistung, welche Daten sind im Spiel, wie groß wäre das Sicherheitsrisiko bei einem Ausfall. Nach dieser Klassifizierung richtet sich, wie umfangreich der Bogen ausfällt, den Sie bekommen. Kleine Zulieferer erhalten oft eine Kurzfassung, kritische Dienstleister die lange.
Am Ende landet das Ergebnis im Lieferantenregister — und in den Vertragsklauseln: Meldefristen bei einem Sicherheitsvorfall, Zustimmung zu Unterauftragnehmern, Auskunftsrechte, dazu Regeln für das Vertragsende, also Rückgabe und Löschung der Daten. Was Sie heute vertraglich zusagen, wird beim nächsten Durchgang geprüft: Für die laufende Geschäftsbeziehung kommt der Fragebogen wieder, meist einmal im Jahr.
Warum es gerade mehr wird
Mit NIS2 haben mehr Auftraggeber die Lieferkettensicherheit auf dem Zettel. Die Pflicht, die Cybersicherheitspraxis der unmittelbaren Anbieter zu berücksichtigen, steht in NIS2 Artikel 21 Absatz 3 der Richtlinie (EU) 2022/2555; die EU-Agentur für Cybersicherheit ENISA begleitet die Umsetzung mit technischen Hinweisen. Eine Pflicht, Fragebögen zu verschicken, folgt daraus nicht — viele Einkäufer wählen diesen Weg trotzdem, weil er sich für die eigene Compliance dokumentieren lässt. Für Sie als IT-Dienstleister, SaaS-Anbieter oder Managed Service Provider heißt das vor allem: mehr Post. Die Automatisierung liegt dann nicht darin, Antworten zu erfinden, sondern darin, die Wiederholung abzunehmen. Vertraulich bleibt dabei, was vertraulich ist — Dokumente werden nicht veröffentlicht, nur ihre Titel.
Ein Sicherheitsprofil, das vorbeugt — und ein Weg durch jeden Fragebogen
Das Profil erspart Ihnen einen Teil der Fragebögen. Für die anderen gibt es die Antwortmaschine.
Baustein 1
Das Sicherheitsprofil
Eine Seite je Unternehmen unter einer festen Adresse —
app.fraghugo.de/profil/ihr-name.
Sie zeigt, was Ihre Auftraggeber wissen wollen — aus den Daten, die Sie ohnehin in der
Plattform pflegen. Ändern Sie eine Maßnahme, ändert sich das Profil mit.
- Ansprechpartner: Wer bei Sicherheitsfragen antwortet und über welchen Weg — mit einem eigenen Eintrag für Meldungen zu Schwachstellen.
- Zertifikate und Nachweise: Was vorliegt, von wem, mit Geltungsdauer. Abgelaufene Nachweise verschwinden nicht still, sie werden als abgelaufen gekennzeichnet.
- Technische und organisatorische Maßnahmen: Aus der Bewertung, die Sie ohnehin pflegen — gruppiert nach Zugriff, Verschlüsselung, Protokollierung, Verfügbarkeit.
- Richtlinien — nur die Titel: Dass es eine Passwortrichtlinie und einen Notfallplan gibt, ist die Auskunft. Der Inhalt bleibt bei Ihnen; kein Dokument wird veröffentlicht.
- Auftragsverarbeiter: Wen Sie einsetzen und wofür — dieselbe Liste, die Art. 28 Abs. 2 DSGVO ohnehin transparent verlangt.
- Melde- und Notfallprozess: Wie schnell Sie im Ernstfall informieren, an wen, und wer die Entscheidung trifft. Die Frage, die in fast jedem Fragebogen vorkommt.
Dazu die maschinenlesbare Fassung. Unter derselben
Adresse mit der Endung .json
liegt dieselbe Auskunft als Datei. Die Prüfsoftware Ihres Auftraggebers liest sie selbst
aus — niemand muss etwas abtippen.
Baustein 2
Antworten auf den Fragebogen
Sie laden die Datei hoch, die Sie bekommen haben — Excel, CSV, Word oder PDF. Jede Frage wird aus Ihren eigenen Nachweisen beantwortet, mit Quellenangabe. Was nicht belegt ist, bleibt eine gekennzeichnete Lücke. Sie prüfen, ändern, geben frei; erst dann entsteht der Export.
So sieht eine Antwort aus
„Werden Zugriffe auf personenbezogene Daten protokolliert?"
Ja — Protokollierung der Zugriffe mit Aufbewahrung nach Ihrem Löschkonzept.
Quelle: TOM-Bewertung, Abschnitt Protokollierung · Löschkonzept, Stand aus Ihrer Plattform
Nichts wird erfunden. Eine Frage ohne Beleg bekommt keine plausible Formulierung, sondern den Vermerk, dass der Nachweis fehlt — samt Hinweis, was dafür nötig wäre.
Vier Stufen — von privat bis öffentlich
Die Stufe gilt je Profil und lässt sich jederzeit ändern, auch zurück. Die maschinenlesbare Fassung folgt derselben Stufe.
| Stufe | Wer sieht das Profil | Wofür gedacht | JSON-Fassung |
|---|---|---|---|
| Privat | Nur Ihr eigenes Team | Während Sie das Profil aufbauen und ordnen. Nichts ist von außen erreichbar, auch nicht über den direkten Link. | nicht abrufbar |
| Nur mit Link | Wer die Adresse kennt | Der schnelle Weg: Link in die Antwortmail, fertig. Nicht in Suchmaschinen, aber auch nicht geschützt — wer den Link weitergibt, gibt das Profil weiter. | mit demselben Link |
| Nach Nachweis | Wer eine E-Mail-Adresse bestätigt | Der Auftraggeber gibt seine dienstliche Adresse an und bekommt einen Code zugeschickt. Sie sehen, wer wann hineingesehen hat. Der übliche Fall bei Ausschreibungen. | nach demselben Nachweis |
| Öffentlich | Alle, auch Suchmaschinen | Für Unternehmen, die ihre Sicherheitslage bewusst zeigen — etwa als Software- oder IT-Dienstleister, der ohnehin ständig gefragt wird. | frei abrufbar |
Die Stufe „nur mit Link" ist bequem, aber kein Schutz: Wer die Adresse weitergibt, gibt das Profil weiter. Für Ausschreibungen ist „nach Nachweis" der bessere Weg — dort sehen Sie, wer wann hineingesehen hat.
Wie aus Ihren Nachweisen Antworten werden
Die Reihenfolge ist wichtig: Erst die Quelle, dann die Antwort — und am Ende immer ein Mensch.
Datei hochladen
Excel, CSV, Word oder PDF — so, wie Sie sie bekommen haben. Die Fragen werden erkannt und einzeln aufgelistet, damit Sie sehen, worüber gesprochen wird.
Antwort aus Ihren eigenen Nachweisen
Jede Frage wird gegen Ihre dokumentierten Angaben beantwortet. Zu jeder Antwort steht die Quelle: welcher Nachweis, welche Maßnahme, welcher Eintrag. Ohne Quelle keine Antwort.
Lücken bleiben Lücken
Was nicht belegt ist, wird als Lücke gekennzeichnet — nicht geraten, nicht sinngemäß aus einer ähnlichen Frage abgeleitet. Sie sehen auf einen Blick, was Sie noch klären müssen.
Sie prüfen und geben frei
Nichts geht ohne Ihre Freigabe in den Export. Sie können jede Antwort ändern, ergänzen oder streichen. Erst danach entsteht die Datei, die zurück an Ihren Auftraggeber geht.
Der Export sagt, wie er entstanden ist
Auf der ersten Seite und zusätzlich maschinenlesbar in der Datei steht, dass die Antworten maschinell aus den dokumentierten Nachweisen formuliert und von einem Menschen freigegeben wurden. So verlangt es Art. 50 Abs. 2 der Verordnung (EU) 2024/1689 für maschinell erzeugte Inhalte. Wir halten das nicht für Kleingedrucktes, sondern für ein Argument: Ihr Auftraggeber sieht, dass jemand hingesehen hat.
Vier Grenzen, die wir bewusst gezogen haben
Jede davon ließe sich aufweichen. Sie sind da, weil ein Nachweis, der auf einer Annahme beruht, schlechter ist als eine offene Lücke.
Kennzahlen aus Schulungen erst ab 25 Beschäftigten
Abschluss- und Melderaten erscheinen im Profil erst ab 25 Beschäftigten. Darunter ließen sich aus einer Quote einzelne Personen zurückrechnen — das wäre eine Leistungskontrolle, keine Sicherheitsauskunft.
Ein eingescanntes PDF ohne Text wird abgelehnt
Wenn ein Dokument nur ein Bild seiner selbst ist, sagen wir das und bitten um eine Textfassung. Der bequemere Weg wäre, aus dem Dateinamen und ein paar erkannten Wörtern etwas zu bauen — und genau das erzeugt Antworten, die niemand verantworten kann.
Wir füllen nichts aus, was nicht belegt ist
Eine Lücke im Profil wird nicht durch eine allgemeine Formulierung geschlossen. Bei Fragen nach Dingen, die es bei Ihnen nicht gibt, lautet die vorgeschlagene Antwort „liegt nicht vor" — mit einem Hinweis, was dafür nötig wäre.
Ein Profil ist kein Zertifikat und keine Rechtsberatung
Es dokumentiert Ihre eigenen Angaben strukturiert und nachvollziehbar. Verlangt ein Auftraggeber eine Bewertung durch eine bestimmte Prüfstelle oder ein förmliches Audit, ersetzt das Profil das nicht.
Wo es enthalten ist
Es gibt nichts dazuzubuchen. Beide Bausteine gehören zu Tarifen, die Sie vielleicht schon haben.
| Leistung | Datenschutz-Suite Standard · 149 €/Mon. | Datenschutz-Suite Pro · 299 €/Mon. | Hugo ISMS ab 149 €/Mon. | Hugo Shield Premium · 49 €/Mon. |
|---|---|---|---|---|
| Sicherheitsprofil mit vier Sichtbarkeitsstufen | ✓ | ✓ | Alle Stufen | ✓ |
| Maschinenlesbare Fassung als JSON | ✓ | ✓ | Alle Stufen | ✓ |
| Fragebogen-Antworten mit Quellenangabe | – | ✓ | Ab Professional | ✓ |
| Export mit KI-Kennzeichnung und Freigabe-Vermerk | – | ✓ | Ab Professional | ✓ |
Für die Fragebogen-Antworten gilt eine Fair-Use-Grenze: fünf Fragebögen im Monat mit Hugo Shield Premium, zwanzig mit der Datenschutz-Suite Pro. Alle Preise netto zzgl. USt.
Die Daten liegen schon im Haus
Verarbeitungsverzeichnis, Auftragsverarbeiter, TOM-Bewertung, Schulungsnachweis: Das alles pflegen Sie in der Plattform ohnehin — für den Datenschutz, für NIS2, für Ihr ISMS. Das Sicherheitsprofil ist eine andere Ansicht auf diese Daten, keine zweite Pflege.
Deshalb ist es am Tag der Einrichtung nicht leer, und deshalb veraltet es nicht: Wenn Sie eine Maßnahme ändern, ändert sich das Profil mit. Ein Trust Center, das man erst füllen muss, ist zunächst ein leeres Formular — und das nächste Feld, das niemand pflegt.
Wir sind nicht die Ersten
Das Feld ist besetzt, und das sagen wir lieber selbst: Conveyor bewirbt seit dem 19.08.2026 ein Trust Center für KI-Agenten. Orbiq aus Hamburg bietet ein Trust Center mit Zugriffsstufen und einer Fragebogen-KI, inklusive Gratis-Tarif mit Schnittstelle.
Wer heute nur ein Trust Center sucht, hat also Auswahl. Unser Argument ist ein anderes: Wenn Ihre Nachweise ohnehin bei uns entstehen, ist das Profil ein Nebenprodukt Ihrer laufenden Arbeit — und keine weitere Oberfläche, die gepflegt werden will.
Wer am Telefon sitzt, wenn Sie anrufen.
Jens Hagel
Mitgründer & IT-Unternehmer
Jens führt seit 2004 die hagel IT-Services GmbH (35 Mitarbeitende) und ist Mitgründer von frag.hugo. Bei Sicherheitsfragebögen von Auftraggebern reden Sie mit jemandem, der das Tagesgeschäft seit über 20 Jahren selbst macht — keine Theorie, keine PowerPoint-Beratung.
Sicherheitsfragebogen und Sicherheitsprofil — kurz beantwortet
Nein — und Ihr Auftraggeber ist auch nicht verpflichtet, sie zu verschicken. § 30 Abs. 2 Nr. 4 BSIG nennt als Maßnahme „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern"; § 30 Abs. 1 stellt alle Maßnahmen ausdrücklich unter den Vorbehalt der Verhältnismäßigkeit. Ein Fragebogen wird dort nirgends verlangt. Die Pflicht, die Cybersicherheitspraxis der unmittelbaren Anbieter zu berücksichtigen, steht in Art. 21 Abs. 3 der Richtlinie (EU) 2022/2555 und hat im BSIG keine eigene Entsprechung. Fragebögen sind Marktpraxis, nicht Gesetz — deshalb bekommen Sie sie trotzdem, und deshalb lohnt es sich, sie schnell beantworten zu können.
In den meisten Einkaufsabteilungen in drei Schritten. Zuerst wird eingeordnet, wie kritisch die Leistung ist — Zugriff auf personenbezogene oder sensible Daten, Anbindung an kritische Systeme, Verfügbarkeit. Nach dieser Klassifizierung richtet sich, wie umfangreich der Sicherheitsfragebogen ausfällt. Zum Schluss wandert das Ergebnis ins Lieferantenregister und wirkt sich auf die Vertragsklauseln aus: Meldefristen bei einem Sicherheitsvorfall, Zustimmung zu Unterauftragnehmern, Regeln für das Vertragsende. Eine Schulnote gibt es dabei selten — bewertet wird, ob Ihr Sicherheitsniveau zur Leistung passt.
Nicht von Gesetzes wegen. Verbindlich wird sie durch den Vertrag oder durch die Bedingungen eines Vergabeverfahrens — wer nicht antwortet, wird selten ausgeschlossen, sondern schlicht nicht berücksichtigt. Der Hintergrund ist die Lieferkettensicherheit: Nach NIS2, Artikel 21 Absatz 3 der Richtlinie (EU) 2022/2555 sollen betroffene Einrichtungen die Cybersicherheitspraxis ihrer unmittelbaren Anbieter berücksichtigen; die EU-Agentur für Cybersicherheit ENISA begleitet die Umsetzung mit technischen Hinweisen. Wie ein Auftraggeber das tut, bleibt ihm überlassen — der Fragebogen ist eine verbreitete Wahl, keine Vorgabe.
Für den Datenschutz-Teil spricht viel dafür. Art. 28 Abs. 1 DSGVO verlangt, dass der Verantwortliche „nur mit Auftragsverarbeitern arbeitet, die hinreichend Garantien dafür bieten" — von „prüfen" oder „Fragebogen" steht dort nichts, die Form ist frei. Die EDSA-Leitlinien 07/2020 zu den Begriffen Verantwortlicher und Auftragsverarbeiter (endgültige Fassung vom 07.07.2021) nennen in Rn. 95 ausdrücklich den Austausch von Unterlagen als Weg: Verzeichnis von Verarbeitungstätigkeiten, Informationssicherheitskonzept, Berichte über externe Datenschutzaudits und anerkannte internationale Zertifizierungen wie die ISO-27000-Reihe. Rn. 96 stellt klar, dass diese Aufzählung nicht abschließend ist. Ein Profil ist genau dieser Austausch von Unterlagen, nur an einer Stelle und aktuell. Ob Ihr Auftraggeber es akzeptiert, entscheidet er allerdings selbst — deshalb gibt es die Antwortmaschine für den Fall, dass sein Formular kommen muss.
Das entscheiden Sie je Profil in vier Stufen: privat (nur Ihr Team), nur mit Link (wer die Adresse kennt), erst nach Nachweis (der Auftraggeber bestätigt eine E-Mail-Adresse per Code, und Sie sehen, wer hineingesehen hat) oder öffentlich (auch für Suchmaschinen). Die Stufe lässt sich jederzeit ändern, auch zurück. Die maschinenlesbare JSON-Fassung folgt derselben Stufe — sie ist kein Hintertürchen.
Größere Auftraggeber prüfen ihre Lieferanten inzwischen mit eigener Software. Die liest die JSON-Fassung Ihres Profils direkt aus, statt einen Menschen ein Formular abtippen zu lassen. Für Sie heißt das: eine Pflege, zwei Abnehmer — der Mensch liest die Seite, das Prüfprogramm die Datei daneben.
Jede Antwort wird aus Ihren eigenen dokumentierten Nachweisen formuliert und trägt die Quelle bei sich: welcher Nachweis, welche Maßnahme, welcher Eintrag. Was nicht belegt ist, wird als Lücke gekennzeichnet und nicht erfunden. Sie prüfen jede Antwort und geben sie frei; erst danach entsteht der Export. Der Export trägt sichtbar und maschinenlesbar den Hinweis, dass die Antworten maschinell aus den dokumentierten Nachweisen formuliert und von einem Menschen freigegeben wurden — so verlangt es Art. 50 Abs. 2 der Verordnung (EU) 2024/1689 für maschinell erzeugte Inhalte.
Excel, CSV, Word und PDF. Ein PDF muss Text enthalten — ein eingescanntes Blatt Papier ohne Textebene wird abgelehnt, statt dass daraus Antworten geraten werden. In dem Fall bitten wir um eine Textfassung; die haben Auftraggeber in aller Regel.
Kennzahlen aus Schulungen und Simulationen erscheinen erst ab 25 Beschäftigten. Bei kleineren Belegschaften ließe sich aus einer Abschluss- oder Melderate auf einzelne Personen zurückrechnen. Das wäre eine Auswertung des Verhaltens Einzelner und hat auf einer Sicherheitsseite für Kunden nichts zu suchen.
Nichts. Das Sicherheitsprofil ist ab der Datenschutz-Suite Standard (149 €/Monat), in jeder Stufe von Hugo ISMS und in Hugo Shield Premium (49 €/Monat) enthalten. Die Fragebogen-Antworten gibt es ab der Datenschutz-Suite Pro (299 €/Monat), ab Hugo ISMS Professional und in Hugo Shield Premium. Für den Umfang gilt eine Fair-Use-Grenze: fünf Fragebögen im Monat mit Hugo Shield Premium, zwanzig mit der Datenschutz-Suite Pro. Alle Preise netto zzgl. USt.
Doch. Trust Center und Fragebogen-Automaten sind ein bestehender Markt — Conveyor bewirbt seit dem 19.08.2026 ein Trust Center für KI-Agenten, und Orbiq aus Hamburg bietet Zugriffsstufen und eine Fragebogen-KI, inklusive Gratis-Tarif mit Schnittstelle. Unser Unterschied liegt nicht in der Idee, sondern in der Ausgangslage: Bei uns liegen die Daten schon im Haus. Verarbeitungsverzeichnis, Auftragsverarbeiter, TOM-Bewertung und Schulungsnachweis pflegen Sie ohnehin in der Plattform, und genau daraus entsteht das Profil. Ein Trust Center, das man erst füllen muss, ist zunächst ein leeres Formular.
Der Regierungsentwurf zum NIS2-Umsetzungsgesetz (BT-Drs. 20/13184) rechnet mit rund 20.850 Einrichtungen: 2.950 besonders wichtige und 17.900 wichtige. Höhere Zahlen, die im Markt kursieren, lassen sich nicht auf diese Quelle stützen. Für Sie als Zulieferer ist die Zahl ohnehin nur mittelbar wichtig: Sie bekommen den Fragebogen von jedem betroffenen Kunden — und oft auch von solchen, die selbst gar nicht betroffen sind, aber ihre Lieferantenprüfung vereinheitlicht haben.
Mehr zur Lieferkette
Den nächsten Fragebogen an einem Vormittag erledigen.
Profil einrichten, Link verschicken — und für die Formulare, die trotzdem kommen, die Antworten aus Ihren eigenen Nachweisen. Ohne Aufpreis in Ihrem Tarif.
Noch kein Tarif? 15-Minuten-Gespräch vereinbaren oder Preise ansehen.
