Was ein gutes Trust Center ausmacht
Ein Trust Center beantwortet die Fragen, die Einkaufs- und Sicherheitsabteilungen immer wieder stellen, bevor sie gestellt werden. Welche Frameworks verfolgen Sie, und gibt es ein Zertifikat oder Testat? Wer ist Ansprechpartner für Sicherheitsfragen? Wie sind Daten verschlüsselt, wo wird gehostet, wie gehen Sie mit Vorfällen um? Welche Unterauftragnehmer sind beteiligt?
Gut ist ein Trust Center, wenn es diese Fragen konkret und aktuell beantwortet. Allgemeine Sätze über den hohen Stellenwert von Sicherheit helfen niemandem. Besser sind kurze, prüfbare Angaben: welche Bereiche abgedeckt sind, welche Dokumente es gibt, wann sie zuletzt aktualisiert wurden.
Aktualität ist der wichtigste Punkt. Eine Seite mit abgelaufenem Zertifikat schadet mehr als gar keine Seite. In Sightadel kommen die Inhalte aus dem System, in dem Sie ohnehin arbeiten. Frameworks, Nachweise und Unterauftragnehmer werden dort gepflegt, und Updates erscheinen mit Datum auf der Seite.
Schließlich zählt die Auffindbarkeit. Nehmen Sie die Adresse in Ihre Website, Ihre Angebote und Ihre E-Mail-Signatur auf. Der Vertrieb kann sie früh im Gespräch nennen und nicht erst, wenn der Fragebogen kommt.
Was Sie veröffentlichen und was nicht
Alles, was Sie im Trust Center freigeben, ist öffentlich. Das ist der Zweck der Seite und zugleich ihre wichtigste Grenze. Prüfen Sie jedes Dokument vor der Freigabe auf Angaben, die Angreifern helfen könnten: interne Systemnamen, IP-Adressen, Netzpläne, Namen und Durchwahlen von Administratoren, Einzelheiten zu eingesetzten Sicherheitsprodukten.
Gut geeignet sind Zertifikate, eine Kurzfassung der Leitlinie zur Informationssicherheit, eine Übersicht der technischen und organisatorischen Maßnahmen auf allgemeiner Ebene und die Liste der Unterauftragnehmer. Ebenfalls passend sind Antworten auf häufige Fragen, etwa zum Hosting, zur Verschlüsselung oder zum Umgang mit Sicherheitsvorfällen.
Nicht auf die öffentliche Seite gehören vollständige Prüfberichte, interne Richtlinien im Volltext, Ergebnisse von Penetrationstests und Notfallpläne. Diese Dokumente geben Sie auf Anfrage an einzelne Kunden heraus, im Zweifel erst nach einer Vertraulichkeitsvereinbarung.
Sehen Sie sich die Seite vor der Veröffentlichung und nach jeder Änderung abgemeldet an. Nur so sehen Sie, was ein Besucher wirklich sieht. Jedes Dokument wird einzeln freigegeben. Was intern bleiben soll, bleibt intern.
Wie das Trust Center Fragebögen verkürzt
Sicherheitsfragebögen von Kunden sind oft lang, und die meisten Fragen wiederholen sich von Kunde zu Kunde. Hosting-Standort, Verschlüsselung, Zugriffskontrolle, Datensicherung, Umgang mit Vorfällen, Schulung der Mitarbeitenden, Unterauftragnehmer: Die Antworten ändern sich kaum.
Das Trust Center fängt diese Standardfragen ab. Viele Kunden akzeptieren einen Link als Antwort oder als Anlage zum Fragebogen. Sie beantworten dann nur noch, was wirklich individuell ist, etwa vertragliche Besonderheiten oder Fragen zur Anbindung an die Systeme des Kunden.
Damit das funktioniert, müssen die Angaben im Trust Center und die Antworten in Fragebögen übereinstimmen. Pflegen Sie Standardantworten deshalb an einer Stelle. Ändert sich etwas, etwa durch einen neuen Unterauftragnehmer, aktualisieren Sie zuerst das Trust Center.
Für den Vertrieb heißt das: Der Link gehört früh ins Gespräch. Ein Interessent, der in der Auswahlphase schon sieht, welche Frameworks Sie verfolgen und welche Nachweise es gibt, stellt im Einkauf weniger Rückfragen. Das spart beiden Seiten Zeit.
Auch ohne Zertifikat sinnvoll
Ein Trust Center setzt kein Zertifikat voraus. Für NIS2 gibt es keine Zertifizierungspflicht, und auch für die DSGVO ist ein Zertifikat unüblich. Trotzdem fragen Kunden, wie Sie die Anforderungen umsetzen. Das Trust Center zeigt, welche Frameworks Sie aktiv führen und welche Maßnahmen umgesetzt sind.
Auch auf dem Weg zu einer Zertifizierung ist es nützlich. Sie zeigen, dass Sie nach ISO 27001 arbeiten und ein Audit planen, ohne ein Zertifikat zu behaupten, das Sie noch nicht haben. Achten Sie dabei auf genaue Formulierungen. Von einer Zertifizierung sprechen Sie erst, wenn eine akkreditierte Stelle das Zertifikat ausgestellt hat. Vorher passt eine Formulierung wie „Informationssicherheitsmanagement in Anlehnung an ISO 27001“.
Sightadel selbst zertifiziert nicht. Das Audit führt eine externe, unabhängige Stelle durch, aus dem Partnernetzwerk in der App oder frei gewählt. Ist das Zertifikat da, laden Sie es ins Nachweis-Archiv, geben es im Trust Center frei und veröffentlichen ein Update mit Datum. Kunden sehen dann auf einen Blick, seit wann es gilt.
