Nemški varnostni vprašalnik: trenutek, ko marketing sreča realnost
Koliko dni potrebujete za verodostojen odgovor naročniku? Peti del serije »Ko dobra koda ni več dovolj«.
Spletna stran pravi »varnost na prvem mestu«. Ponudba pravi »razvoj po najboljših praksah«. Nato pride Excelova datoteka z oseminšestdesetimi vrsticami in stolpcem z naslovom Nachweis. Ta članek je vaja: kaj se zgodi v tednih po tem, ko jo odprete.
Serija »Ko dobra koda ni več dovolj«
- 03 Niste zavezanec po NIS2? Vaš naročnik ima morda drugačne načrte. (18. 8. 2026)
- 04 Clean code vas ne bo rešil. Tudi certifikat ne. (25. 8. 2026)
- 05 Nemški varnostni vprašalnik: trenutek, ko marketing sreča realnost (1. 9. 2026)
- 06 Slovenski IT ne potrebuje še enega seminarja o NIS2 (8. 9. 2026)
V tem članku: Kaj prispe · Vaja: osem vprašanj · Kje se ustavi · Dnevi, ne tedni · Kaj bi vprašal nemški naročnik? · Pripomoček: vzorčni paket dokazil
Kaj prispe
Nemški vprašalniki za dobavitelje (Lieferantenselbstauskunft) se razlikujejo po panogi. V avtomobilski industriji se naslanjajo na VDA ISA, osnovo za oceno TISAX. Drugje na ISO/IEC 27001 ali na BSI IT-Grundschutz. Nekateri naročniki imajo lastne. Skupno jim je troje:
- sprašujejo po postopkih, ne po namenih;
- za vsak odgovor pričakujejo dokazilo (Nachweis) ali sklic nanj;
- zahtevajo odgovorno osebo (Verantwortlicher) in rok, v katerem se kaj zgodi.
Prav tu se marketing sreča z realnostjo. Besedilo s spletne strani ni dokazilo. Opis postopka brez zapisa, da se postopek izvaja, tudi ne.
Vaja osem vprašanj
Vprašanja v spodnji preglednici so tipična za nemške vprašalnike, odgovori pa so prvi odzivi, ki jih takšen vprašalnik navadno sproži. Morda koga prepoznate.
| # | Vprašanje (skrajšano) | Tipičen prvi odgovor | Kaj naročnik preveri |
|---|---|---|---|
| 1 | Ali imate politiko informacijske varnosti, ki jo je potrdilo vodstvo? | »Da, v pripravi.« | podpisan dokument z datumom |
| 2 | Kdo je odgovoren za informacijsko varnost? | »Ves tim.« | ime, vloga, namestnik, pooblastila |
| 3 | Kako upravljate dostope do naših sistemov? | »Samo naši razvijalci imajo dostop.« | seznam oseb, način prijave, zadnji pregled |
| 4 | Kako obravnavate ranljivosti v komponentah tretjih oseb? | »Redno posodabljamo knjižnice.« | postopek z roki, primer iz zadnjih 12 mesecev |
| 5 | Ali lahko predložite SBOM za zadnjo izdajo? | »Lahko ga pripravimo.« | datoteka, ki se ujema z dostavljeno izdajo |
| 6 | Kako hitro nas obvestite o incidentu? | »Takoj.« | zapisan rok, pot in oseba, ki obvešča |
| 7 | Katere podizvajalce in storitve v oblaku uporabljate? | »Nobenih pomembnih.« | seznam z lokacijo obdelave podatkov |
| 8 | Kako dokazujete učinkovitost ukrepov? | »Nismo imeli incidentov.« | poročilo presoje, testa vdorov ali vaje |
Noben od prvih odgovorov ni neresničen. Vsak pa je trditev brez dokaza. Pri osmem je celo past: »nismo imeli incidentov« lahko pomeni tudi »nismo jih zaznali«, in prav tako ga bo naročnik prebral.
Kje se ustavi
V takem primeru se odgovarjanje ne ustavi pri znanju, ampak pri treh organizacijskih vprašanjih:
- Lastništvo. Kdo pri vas sploh odgovarja na vprašalnik? Če ga direktor posreduje razvoju, razvoj pa nazaj direktorju, se izgubi teden.
- Raztresenost. Dokazila obstajajo, a vsako drugje: politika v skupni mapi, seznam dostopov v glavi skrbnika, poročilo o testu vdorov v pošti iz leta 2023.
- Starost. Dokazilo izpred dveh let je za nemškega naročnika dokaz, da postopek pred dvema letoma ni bil ponovljen.
Dnevi, ne tedni
V našem primeru odgovor zbira podjetje, ki ima večino postopkov, ne pa zbranih dokazil. Za verodostojen odgovor porabi tri do štiri tedne: dokazila išče, nekatera izdela na novo, pri dveh vprašanjih pa ugotovi, da postopka v resnici ni.
Podjetje z vnaprej pripravljenim paketom dokazil odgovori v dveh do treh dneh. Razlika ni v tem, da bi bilo drugo podjetje varnejše. Razlika je v tem, da je drugo podjetje svojo varnost že prevedlo v jezik naročnika.
Za nemškega naročnika je ta razlika pomembna sama po sebi. Hiter, popoln in dokumentiran odgovor je zanj prvi dokaz, da dobavitelj svoje postopke obvladuje.
Kaj bi vprašal nemški naročnik?
„Bitte weisen Sie die Wirksamkeit Ihrer technischen und organisatorischen Maßnahmen (TOM) nach, zum Beispiel durch Auditberichte oder Ergebnisse von Penetrationstests.“
Prevod: Dokažite učinkovitost svojih tehničnih in organizacijskih ukrepov (TOM), na primer s poročili presoj ali z rezultati testov vdorov.
Kaj v resnici želi vedeti? Ključna beseda je Wirksamkeit, učinkovitost, ne obstoj. Seznam ukrepov (TOM so nemškemu naročniku znani iz varstva osebnih podatkov) pove, kaj ste uvedli. Učinkovitost pove, da ukrepi delujejo: da je presoja našla manj, kot bi brez njih, da je test vdorov preveril, kar ste trdili, da so bile ugotovitve odpravljene. Pričakuje dokument zunanje ali vsaj neodvisne osebe, ne starejši od enega leta, in zapis, kaj ste z ugotovitvami naredili.
Pripomoček Vzorčni paket dokazil
Paket, ki pokrije jedro nemških vprašalnikov. Hranite ga na enem mestu, ima lastnika in se osvežuje po urniku.
| # | Dokazilo | Kaj dokazuje | Lastnik | Osvežitev |
|---|---|---|---|---|
| 1 | Politika informacijske varnosti, podpisana od vodstva | da vodstvo varnost vodi | direktor | letno |
| 2 | Organigram varnostnih vlog z namestniki | kdo je odgovoren | direktor | ob spremembi |
| 3 | Arhitekturni diagram z mejami zaupanja in tokovi podatkov | kje se vzpostavi zaupanje | vodja razvoja | ob večji spremembi |
| 4 | SBOM zadnje dostavljene izdaje | kaj je v izdaji | cevovod gradnje | ob vsaki izdaji |
| 5 | Poročilo pregleda ranljivosti za isto izdajo | da so bile znane ranljivosti preverjene | cevovod gradnje | ob vsaki izdaji |
| 6 | Postopek upravljanja ranljivosti z roki in zapis zadnjega primera | da postopek obstaja in se izvaja | vodja razvoja | letno, primer sproti |
| 7 | Seznam oseb z dostopom do naročnikovih sistemov in zapis zadnjega pregleda | da so dostopi nadzorovani | skrbnik | četrtletno |
| 8 | Načrt odziva na incidente s kontakti in zapis zadnje vaje | da odziv deluje | odgovorna oseba za varnost | letno |
| 9 | Seznam podizvajalcev in storitev v oblaku z lokacijo obdelave | kje so naročnikovi podatki | nabava | ob spremembi |
| 10 | Poročilo zunanjega testa vdorov ali presoje in zapis odprave ugotovitev | učinkovitost ukrepov | odgovorna oseba za varnost | letno |
| 11 | Dokazila o usposabljanju zaposlenih | da ljudje postopke poznajo | kadrovska služba | letno |
| 12 | Certifikati (ISO/IEC 27001, TISAX), če jih imate | zunanje potrdilo sistema upravljanja | direktor | ob obnovi |
Kako uporabiti: za vsako vrstico zapišite, kje dokazilo leži danes in kdaj je bilo zadnjič osveženo. Vrstice brez dokazila ali starejše od navedene osvežitve so vaš seznam dela. Dokazili 4 in 5 naj nastajata samodejno (pripomoček v 4. delu).
Naročniku nikoli ne pošljite celotnega paketa brez vprašanja. Pošljite tisto, kar vprašalnik zahteva, in povejte, da je ostalo na voljo. Tudi to je znak, da postopke obvladujete.
Naslednji del (8. 9. 2026): Slovenski IT ne potrebuje še enega seminarja o NIS2
Če vprašalnik leži na vaši mizi in želite, da ga pregledamo skupaj, nam pišite.