Verlangt ein Kunde einen Sicherheitsfragebogen oder Nachweise?

Nein, und Sie sind der Leser, für den diese Seite gebaut wurde. Der Hinweis sagt, für welchen Markt die Leistung gebaut ist und nach welchem Recht wir kontrahieren; er sagt nichts darüber, wo Ihr Kunde sitzt, und ein ungarischer Lieferant, der einem deutschen, österreichischen oder nordischen Kunden antwortet, ist die übliche Gestalt dieser Arbeit. Spirity sind drei eingetragene Gesellschaften — der Hauptsitz in Budapest, die Spirity GmbH in Wien und die Spirity Enterprise Middle East FZCO in Dubai —, eine grenzüberschreitende Frage ist hier also nichts Ungewöhnliches. Was Ihr Kunde verlangt, folgt aus seinen Pflichten und aus Ihrem Vertrag mit ihm, und dieser Vertrag ist das Dokument, das wir lesen. Wir arbeiten auf Ungarisch, Englisch und Deutsch und erstellen die Materialien in der Sprache, die Sie brauchen — ein deutscher Fragebogen wird also auf Deutsch beantwortet und nicht von Ihnen an der gefährlichsten Stelle übersetzt.

Das Gespräch kostet nichts und verpflichtet Sie zu nichts. Das erste, was ein Honorar trägt, ist eine Arbeit mit schriftlichem Umfang und schriftlichem Preis, angeboten bevor sie beginnt — kein offener Zähler, der läuft, bis jemand den Fragebogen für fertig erklärt; vor dieser Form waren Sie zu Recht auf der Hut. Wir veröffentlichen hier keine Zahl, und das geben wir lieber zu, als eine Spanne zu drucken, die wir gegen ein Dokument verteidigen müssten, das wir nicht gesehen haben. Fragen Sie im Gespräch: die Zahl kommt schriftlich und gilt dreißig Tage.

Sie unterzeichnen. Es ist eine Aussage über Ihr Unternehmen, und niemand außerhalb kann sie für Sie treffen. Von uns kommt der Antworttext zu jeder Frage, daneben das Dokument benannt, das ihn belegt, die aufgeschlüsselte Liste dessen, was Sie noch nicht nachweisen können, und der Plan, das zu schließen — „keine Hilfe beim Ausfüllen eines Formulars“ heißt also, dass Sie deutlich mehr bekommen als ein ausgefülltes Formular, nicht dass Sie um elf Uhr abends die Formulierungen selbst entwerfen. Wie der Text übergeben wird, wird im Umfang festgelegt und nicht angenommen: eine Tabelle, die Sie kontrollieren, und ein Portal, das nur Ihren eigenen Login zulässt, sind zwei verschiedene Arbeiten.

Vier Dinge auf Ihrer Seite, und sie machen den ganzen Unterschied zwischen einem knappen Fenster und einem gerissenen Termin: der Fragebogen oder Vertragsanhang selbst, eine benannte Person, die für die IT antworten kann, Zugang zu Ihrem externen Dienstleister, und die bereits vorhandenen Richtlinien, Konfigurationsauszüge und Aufzeichnungen an einem Ort gesammelt statt einzeln zusammengesucht. Auf unserer Seite ist es eine Kapazitätsfrage, und Sie erhalten darauf im ersten Gespräch eine klare Antwort und nicht erst nach einem Angebot — wenn wir Ihren Termin nicht halten können, sagen wir das, und wenn es ein Fragebogen ist, den Sie selbst abschließen könnten, sagen wir das auch. Buchen Sie das 20-minütige Gespräch direkt über unsere Buchungsseite und bringen Sie den Rücksendetermin mit — es findet online statt und ist der schnellste Weg, es herauszufinden.

Wir unterzeichnen eine Vertraulichkeitsvereinbarung, bevor wir irgendein Dokument von Ihnen erhalten, oder die Vertraulichkeit wird in den Mandatsvertrag selbst geschrieben — so oder so steht sie, bevor sich etwas bewegt, nicht danach. Für das erste Gespräch muss überhaupt nichts gesendet werden, und das Anfrageformular ist kein Weg für einen Kundenfragebogen oder eine Lückenliste; wie das Material uns erreicht, vereinbaren wir, sobald es etwas anzusehen gibt. Unser eigenes ISO/IEC-27001-Zertifikat, über eine UKAS-akkreditierte Stelle für unseren Betrieb, deckt den Umgang mit Informationen, solange sie bei uns sind, und die Erklärung zum Geltungsbereich dahinter ist das Dokument, nach dem man fragt — nicht das Logo. Was mit dem Material am Ende der Arbeit geschieht und wer in unserem Team es öffnen kann, gehört in diese Vereinbarung.

Ja, mit einer Einschränkung, die man vorher hören sollte. Der Umfang kann aus den Fragen bestehen, die Sie nicht beantworten können, aber der Leseschritt geht ohnehin über das ganze Dokument, weil anders formulierte Dubletten und zwei Antworten, die sich drei Seiten später widersprechen, erst über den vollen Satz sichtbar werden. Die sechzig, bei denen Sie sicher sind, sind auch dort, wo der teure Fehler wohnt — ein nicht belegtes Ja ist die Antwort, die in der nächsten Runde als Frage zurückkommt, und sie kommt zu Ihnen zurück, nicht zu uns. Entscheiden Sie die Aufteilung im Gespräch, mit dem Dokument vor uns beiden.

Das können wir Ihnen nicht sagen, und wir nennen Ihnen keine Erfolgsquote, die wir nicht haben. Beschreiben können wir den Unterschied, auf den ein Sicherheitsprüfer auf der anderen Seite reagiert: ein bloßes Nein liest sich als unbehandeltes Risiko, ein Nein mit benannter Lücke, einer verantwortlichen Person und einem Datum liest sich als Lieferant, der ein Programm führt und weiß, wo es steht. Ihr Maßstab ist ihrer, und ablehnen können sie weiterhin. Nach unserer Einschätzung kosten zwei Antworten am schnellsten eine Ausschreibung: die leere und das selbstbewusste Ja, das zusammenfällt, sobald jemand das Dokument dahinter verlangt.

Abgestimmt mit Ihnen, und von uns geht nichts an Ihren Kunden. Jedes Ergebnis hier ist an Sie adressiert, Sie entscheiden, was gesendet wird, und wir stehen mit Ihrem Kunden nicht in Kontakt, sofern Sie uns nicht dazuholen — was manche Lieferanten für ein technisches Gespräch wollen und andere ausdrücklich nicht. Die Reihenfolge folgt dem, was die Anforderung Ihres Kunden rechtfertigt, weil das die Frist ist, die Sie beantworten; welche Lücken Sie mit Geld schließen und wann, ist allein Ihre Entscheidung. Zu den Kosten: der Plan benennt zu jeder Lücke eine verantwortliche Person, damit Sie sie bepreisen können, und eine Lücke zu schließen ist eine andere Arbeit als sie zu finden — wir packen die Umsetzung nicht in dieselbe Rechnung, ohne es vorher zu sagen.

Das meiste von dem, was gebraucht wird, existiert schon irgendwo, ihre Stunden gehen also in das Heraussuchen und in die Fragen, die nur Ihre eigenen Leute beantworten können — wie etwas tatsächlich betrieben wird, nicht wie die Richtlinie es beschreibt. Mit Ihrem externen Dienstleister können wir direkt arbeiten, sobald Sie das freigeben, was meist schneller ist als jede Anfrage über Sie zu leiten; die Alternative, die manche Kunden bevorzugen, ist dass wir fragen und Sie weiterleiten. In beiden Fällen bekommt das Nachhalten im Plan eine verantwortliche Person, damit der Konfigurationsauszug im Beispiel oben jemandes benannte Aufgabe ist und nicht etwas, von dem jede Seite annimmt, die andere erledige es. Wo niemand benannt ist, fällt es an Sie zurück, und das sollte man vor der letzten Woche wissen.