PQC-Lieferantenfragebögen: Fragen Sie nach Nachweisen, nicht nach Schlagwörtern.

Ausgabe 17 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Einkauf und Lieferantenmanagement, die Fragebögen erstellen, versenden und auswerten.

Frage 14 des Lieferantenfragebogens lautet: „Ist Ihre Lösung quantensicher? Ja / Nein / Teilweise.“ 83 Lieferanten antworten. 61 kreuzen „Ja“ an, 19 „Teilweise“, drei „Nein“. Die drei mit „Nein“ haben vermutlich als Einzige nachgesehen. Ausgewertet wird trotzdem: 73 Prozent quantensicher. Der Bericht geht an die Geschäftsführung.

Worum es geht: wie Sie Fragen formulieren, auf die es eine überprüfbare Antwort gibt, wie Sie die Qualität einer Antwort bewerten und was ein Fragebogen leisten kann und was nicht. Im Anhang steht ein zweisprachiger Fragebogen (Deutsch/Slowenisch) mit Feldern für Nachweise und Verantwortliche. Was dieser Beitrag nicht behandelt: Audits beim Lieferanten. Ein Fragebogen ersetzt keine Prüfung vor Ort; er entscheidet, wo eine Prüfung nötig ist.

In diesem Beitrag: Schlagwortfragen und Nachweisfragen · Vier Arten von Antworten · Wer antworten kann · Beispiel · Antworten bewerten · Fragebogen und Vertrag · Nachfassen · Was ein Fragebogen nicht leistet · Die Frage an Ihren Lieferanten · Anhang: Fragebogen DE/SL

Ja/Nein-Fragen haben einen guten Grund: 83 Antworten lassen sich nur vergleichen, wenn sie gleich gebaut sind. Bei Frage 14 macht die gleiche Form aber nur Selbsteinschätzungen vergleichbar.

Eine Schlagwortfrage fragt nach einer Eigenschaft, die niemand überprüfen kann: quantensicher, kryptoagil, zukunftsfähig, nach Stand der Technik. Der Lieferant antwortet mit seiner Selbsteinschätzung, und die ist meistens freundlich.

Eine Nachweisfrage fragt nach etwas, das existiert oder nicht existiert: ein Dokument, eine Messung, eine Version, ein Termin, eine Person.

Die gemeinsame Leitlinie von BMDS, BMI und BSI vom Oktober 2026 nennt die Bereitstellung von CBOMs ausdrücklich als Mittel, um kryptografische Fähigkeiten in der Lieferkette zu vergleichen, und als möglichen Vertragsgegenstand. Ein Fragebogen ist der natürliche Ort, um damit zu beginnen.

Auf jede Frage kann ein Lieferant auf vier Arten antworten. Sie sind unterschiedlich viel wert:

1. Zusage: „Ja, erfüllt.“ Ohne Inhalt, ohne Beleg. Wert gering.
2. Beschreibung: „Wir nutzen OpenSSL 3.5 mit hybridem Schlüsselaustausch.“ Konkret, aber nicht belegt. Wert mittel.
3. Nachweis: „Siehe beigefügten Protokollauszug vom 14. 10., ausgehandelte Gruppe X25519MLKEM768.“ Überprüfbar. Wert hoch.
4. Plan mit Grenze: „Heute klassisch; Umstellung mit dem Update im März; abhängig von Hersteller X.“ Ehrlich, überprüfbar im Verlauf. Wert hoch.

Die vierte Art wird oft unterschätzt. Ein Lieferant, der eine Grenze benennt, liefert Ihnen eine verwertbare Information. Ein Lieferant, der alles zusagt, liefert Ihnen ein Risiko, das Sie nicht sehen.

Fragebögen landen beim Lieferanten oft beim Vertrieb oder bei der Qualitätssicherung. Beide wollen helfen; beide wissen nicht, welche Gruppe auf dem Dateitransfer-Server ausgehandelt wird. Für Nachweisfragen braucht es die Person, die die Systeme betreibt oder entwickelt.

Deshalb gehört zu jeder Frage ein Feld für die verantwortliche Person beim Lieferanten, mit Funktion. Das hat zwei Wirkungen: Die Frage landet an der richtigen Stelle, und Sie wissen bei Rückfragen, wen Sie anrufen. Bei kleinen Lieferanten ist das oft der externe IT-Dienstleister. Das ist in Ordnung, solange es so dasteht.

Ein typisches Bild: Ein Zulieferer der Bahntechnik in Sachsen verschickt bisher einen Informationssicherheitsfragebogen mit 40 Fragen, davon sechs zur Kryptografie, alle als Ja/Nein-Fragen. Nach der Leitlinie vom Oktober 2026 will der Einkauf das Thema Post-Quanten-Kryptografie aufnehmen.

Statt sechs weitere Ja/Nein-Fragen anzuhängen, ersetzt das Team die sechs vorhandenen durch zwölf Nachweisfragen (siehe Anhang) und schickt sie nur an die 25 Lieferanten, deren Systeme an Anwendungsfällen mit hohem oder mittlerem Risiko beteiligt sind. Die übrigen 58 bekommen zwei Fragen: Kontaktperson für Kryptografie und Bereitschaft zur Mitwirkung.

Zwei Antworten aus Slowenien im Vergleich:

Auf dem Papier ist A besser. In Wirklichkeit weiß der Einkauf über A nichts und über B fast alles. Bei A folgt ein Gespräch; bei B eine Terminvereinbarung zur Kontrolle im Sommer 2027.

Eine einfache Bewertung je Antwort reicht:

• 0 – keine Antwort oder Zusage ohne Inhalt.
• 1 – Beschreibung ohne Beleg.
• 2 – Nachweis oder Plan mit Terminen und Abhängigkeiten.
• 3 – Nachweis und Plan, mit benannter Person.

Bewerten Sie die Qualität der Auskunft, nicht den technischen Stand. Ein Lieferant mit klassischen Verfahren und einem belegten Plan ist für Ihr Risikomanagement wertvoller als einer mit einer unbelegten Zusage. Der technische Stand gehört in eine zweite Spalte, getrennt von der Bewertung der Auskunft.

Vermeiden Sie Prozentzahlen wie „73 % quantensicher“. Sie verdichten Selbsteinschätzungen zu einer Kennzahl, die nach Messung aussieht und keine ist. Wenn die Geschäftsführung eine Zahl braucht, berichten Sie besser, für wie viele Lieferanten mit hohem Risiko ein belegter Stand und ein Plan vorliegen. Diese Zahl beschreibt, was Sie wissen, nicht, was Lieferanten behaupten.

Fragebogenantworten werden oft stillschweigend zu Vertragsbestandteilen: Sie landen als Anlage im Rahmenvertrag oder werden in der Lieferantenbewertung zitiert. Das ist für beide Seiten unklar. Hat der Lieferant mit „Umstellung im 2. Quartal 2027“ eine Frist zugesagt oder eine Absicht mitgeteilt?

Trennen Sie das ausdrücklich. Der Fragebogen erfasst den Stand und die Pläne des Lieferanten. Was davon verbindlich werden soll, übernehmen Sie in eine gesonderte Anforderung mit Geltungsbereich, Frist und Nachweis (Ausgabe 06) und vereinbaren es. Sagen Sie das dem Lieferanten im Anschreiben. Er wird ehrlicher antworten, wenn er weiß, dass ein genannter Plan nicht automatisch eine Vertragsstrafe auslöst.

Ein Fragebogen ist eine Momentaufnahme. Die Antworten von heute gelten bis zum nächsten Update eines Servers. Legen Sie deshalb fest:

• Wann Sie nachfragen: jährlich für Lieferanten mit hohem Risiko, bei Vertragsverlängerung für alle anderen.
• Wann der Lieferant von sich aus meldet: bei Änderungen an Systemen, die Ihre Daten verarbeiten, etwa einem Wechsel des Dateitransfer-Produkts oder des IT-Dienstleisters.
• Was mit Plänen geschieht: Jeder genannte Termin bekommt bei Ihnen eine Wiedervorlage. Ein Plan, nach dem niemand fragt, wird nicht umgesetzt.

• Er prüft nichts. Er sammelt Aussagen. Wo das Risiko hoch ist, folgt eine Prüfung: Nachweise ansehen, Messung wiederholen, gemeinsamer Test.
• Er ersetzt keine Anforderung. Ein Fragebogen erfasst den Stand. Was der Lieferant bis wann leisten soll, gehört in den Vertrag (Ausgaben 06 und 08).
• Er ist nicht für alle gleich. Ein kleiner Lieferant ohne eigene IT kann nicht dieselbe Tiefe liefern wie ein Softwarehaus. Die Fragen sollten der Beteiligung entsprechen, nicht der Größe Ihres Fragenkatalogs.

„Bitte beantworten Sie die Fragen mit dem, was Sie belegen können, und kennzeichnen Sie, was Plan oder Einschätzung ist. Eine benannte Grenze ist für uns wertvoller als eine Zusage.“

Das ist weniger eine Frage als eine Einladung. Sie nimmt dem Lieferanten den Druck, alles mit Ja zu beantworten, und sagt ihm, was Sie wirklich brauchen.

Die slowenische Ausgabe richtet sich an Lieferanten und IT-Dienstleister: »Nemški vprašalnik o postkvantni varnosti: kaj lahko dokažete?« (auf Slowenisch). Vorherige Ausgabe: Die deutsche PQC-Roadmap kommt. Was bedeutet sie für Ihre slowenischen Lieferanten?

Gemeinsamer Fragebogen Deutsch/Slowenisch mit Feldern für Antwort, Nachweis und Verantwortliche. In der slowenischen Ausgabe identisch. Antwortart: Z = Zusage, B = Beschreibung, N = Nachweis, P = Plan mit Grenze.

Hinweis für den Versand: Fragen 1, 11 und 12 eignen sich für alle Lieferanten. Fragen 2 bis 10 nur für Lieferanten, deren Systeme an Anwendungsfällen mit hohem oder mittlerem Risiko beteiligt sind.

Alle erschienenen Ausgaben der Reihe: Übersicht „Post-Quanten-Sicherheit in der Lieferkette“

Nächste Ausgabe (7. 12. 2026): „Quantensicher laut Angebot. Aber was wurde tatsächlich getestet?“

Quellen (Redaktionsstand 25. 10. 2026): BMDS, BMI, BSI, „Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie“ (11. 9. 2026, veröffentlicht 12. 10. 2026), Abschnitt 4.6; NIS Cooperation Group, „A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography“, Version 1.1 (Juni 2025), First Steps „Include the supply chain“; CycloneDX 1.6 (ECMA-424) und 1.7.

Wenn Ihr Fragebogen viele Häkchen und wenig Information liefert: Schreiben Sie uns.