Due Diligence als IT-Dienstleister: Was auf Sie zukommt und wie Sie es effizient meistern

Wer als IT-Dienstleister regulierte Unternehmen beliefert, wird geprüft, bevor der Vertrag unterschrieben ist, und danach immer wieder. Banken, Versicherungen, KRITIS-Betreiber und öffentliche Auftraggeber müssen ihre Dienstleisternachweislich bewerten und überwachen. Für Sie bedeutet das: umfangreiche Due-Diligence-Fragebögen, kurze Fristen und Antworten, die einer Prüfung standhalten müssen.

Dieser Artikel zeigt, was in einer Due Diligence auf Sie zukommt, wo die typischen Hürden liegen und wie Sie den Aufwand mit Tendry deutlich reduzieren.
‍

Was eine Due Diligence für IT-Dienstleister umfasst

In einer Due Diligence prüft Ihr Kunde, ob Sie als Dienstleister sicher, zuverlässig und regelkonform arbeiten. Für Finanzunternehmen ist das Pflicht: DORA verlangt vor Vertragsabschluss eine Risikoanalyse und Due Diligence des IKT-Drittdienstleisters und danach eine Überwachung über die gesamte Vertragslaufzeit (DORA Art. 28, Luther). Auch Kunden unter NIS2 müssen die Sicherheit ihrer Lieferkette und ihrer direkten Dienstleister absichern (NIS2 Art. 21) und geben diese Anforderungen an Sie weiter.
‍

So läuft eine Due Diligence typischerweise ab:

1. Anfrage: Ihr Kunde sendet einen Fragebogen, meist als Excel-Datei oder über ein Lieferantenportal.

2. Beantwortung: Ihr Team beantwortet die Fragen und stellt Nachweise zusammen.

3. Rückfragen: Der Kunde prüft die Antworten und fordert Ergänzungen oder Belege nach.

4. Bewertung: Der Kunde stuft Sie als Dienstleister ein. Das Ergebnis fließt in die Vertragsentscheidung ein.

5. Wiederholung: Je nach Risikoeinstufung prüft Ihr Kunde Sie während der Vertragslaufzeit in regelmäßigen Abständen erneut.
‍

Diese Themen werden fast immer abgefragt:

• Informationssicherheitsmanagement, Zertifizierungen und Richtlinien

• Zugriffs- und Berechtigungskonzepte, Verschlüsselung, Netzwerksicherheit

• Datenschutz, Datenstandorte und eingesetzte Subdienstleister

• Notfallmanagement, Backup und Wiederherstellung

• Umgang mit Sicherheitsvorfällen und Meldewege

• Schwachstellenmanagement und Penetrationstests

• Personalsicherheit und Schulungen

• Prüf- und Auditrechte sowie Exit-Strategien

Typische Nachweise: Zertifikate (z. B. ISO/IEC 27001), Prüfberichte, Richtlinien, Notfallkonzepte, Zusammenfassungen von Penetrationstests, Subdienstleisterlisten und Auftragsverarbeitungsverträge.
‍

Die typischen Herausforderungen

Die meisten Fragen sind nicht schwer. Schwer ist, die richtige Antwort schnell zu finden und sie jedes Mal gleich zu formulieren.

Wissen ist verteilt. Die Antworten stecken in alten Fragebögen, Richtlinien, Zertifikaten, E-Mails und in den Köpfen einzelner Kollegen. Jede neue Anfrage beginnt mit einer Suche.

Viele Beteiligte, wenig Zeit. Sales, Security, IT-Betrieb, Datenschutz und Legal arbeiten am selben Fragebogen. Versionen werden per E-Mail verschickt, Zuständigkeiten sind unklar, Fristen laufen ab.

Dieselben Fragen, anders formuliert. Jeder Kunde nutzt sein eigenes Format und seine eigenen Worte. Inhaltlich überschneiden sich die Fragen stark, trotzdem wird oft neu recherchiert.

Inkonsistente Antworten. Wird dieselbe Frage in zwei Fragebögen unterschiedlich beantwortet, entstehen Rückfragen. Im schlimmsten Fall leidet das Vertrauen des Kunden.

Antworten müssen belegbar sein. In regulierten Branchen reicht eine Aussage nicht. Ihr Kunde erwartet Nachweise und wird Ihre Angaben bei späteren Prüfungen erneut abgleichen.

Es hört nie auf. Nach dem Vertragsabschluss folgen jährliche Überprüfungen, Audits und Nachfragen bei Änderungen. Der Aufwand wächst mit jedem neuen Kunden.
‍

Wie viel Aufwand steckt dahinter?

Ein Sicherheitsfragebogen umfasst häufig mehrere hundert Fragen. Schon standardisierte Formate zeigen den Umfang: Der CAIQ der Cloud Security Alliance enthält 261 Fragen, selbst die Kurzversion CAIQ-Lite noch 124 (Cloud Security Alliance).

In Deutschland nutzen viele Kunden, insbesondere Finanzinstitute, eigene Fragebögen, meist als Excel-Datei und oft mit Bezug auf DORA oder NIS2. Format und Formulierungen unterscheiden sich von Kunde zu Kunde, die Themen überschneiden sich jedoch stark.

Ohne zentral gepflegte Wissensbasis kann sich der Aufwand schnell auf mehrere Arbeitstage pro Fragebogen summieren, verteilt auf verschiedene Fachbereiche. Dazu kommen Rückfragen und Nachweisanforderungen, die eine zweite Runde auslösen.

Genau hier liegt das größte Einsparpotenzial: Wer sein Wissen einmal sauber aufbereitet, muss es nicht für jeden Fragebogen neu zusammensuchen.
‍

So sieht das in Tendry aus

Mit Tendry hinterlegen Sie Ihr Wissen einmal und beantworten jeden weiteren Fragebogen auf dieser Basis, mit nachvollziehbaren Quellen. Die Antwortvorschläge liegen in Minuten vor, statt nach tagelanger Recherche.

1. Wissensbasis aufbauen: Sie laden Richtlinien, Zertifikate, technische Dokumentationen und bereits beantwortete Fragebögen hoch. Tendry baut daraus Ihre verifizierte Wissensbasis auf.

2. Fragebogen hochladen: Sie laden den Fragebogen Ihres Kunden als Excel-Datei hoch. Tendry erkennt die Fragen, auch in über 30 Sprachen.

3. Antworten generieren: Tendry erstellt für jede Frage einen Antwortvorschlag auf Basis Ihrer Wissensbasis. Jede Antwort ist mit der Quelleverknüpft, aus der sie stammt.

4. Prüfen und verfeinern: Ihr Team prüft die Vorschläge. Findet Tendry keine ausreichende Grundlage, wird die Frage zur Prüfung markiert, statt eine Antwort zu erfinden. Über den Chat zu jeder Frage passen Sie Antworten gezielt an.

5. Exportieren: Sie exportieren den ausgefüllten Fragebogen im Originalformat. Excel rein, ausgefülltes Excel raus.

‍

Was das für Ihr Team bedeutet:

• Weniger Suchen: Das Wissen liegt zentral an einem Ort, statt verteilt über Dokumente und Postfächer.

• Konsistente Antworten: Alle greifen auf denselben, freigegebenen Wissensstand zu, über Kunden und Teams hinweg.

• Belegbare Aussagen: Zu jeder Antwort sehen Sie sofort, worauf sie basiert. Das erleichtert Rückfragen und spätere Prüfungen.

• Schneller beim nächsten Mal: Freigegebene Antworten bleiben gespeichert und stehen bei der nächsten Anfrage, dem nächsten Audit oder der jährlichen Überprüfung wieder zur Verfügung.

• Volle Kontrolle: Tendry liefert den Vorschlag, Ihr Team entscheidet und gibt frei.

Sicherheit, die Ihre Kunden erwarten: Tendry ist nach ISO/IEC 27001 zertifiziert. Alle Daten werden ausschließlich in Deutschland verarbeitet und gespeichert und nicht zum Training öffentlicher KI-Modelle verwendet.

‍

Fazit

Due Diligence ist für IT-Dienstleister regulierter Kunden kein einmaliges Projekt, sondern Daueraufgabe. Wer jeden Fragebogen von vorn beginnt, verliert Zeit, riskiert Widersprüche und bremst seine eigenen Deals. Wer sein Wissen einmal strukturiert hinterlegt, beantwortet Anfragen schneller, konsistent und belegbar.

Tendry ist live. Testen Sie selbst, wie Sie für Ihren nächsten Sicherheitsfragebogen Antwortvorschläge in Minuten erhalten, statt tagelang zu recherchieren: Kostenlos starten

‍