Security-vragenlijst invullen als leverancier

Wie software of IT-diensten verkoopt aan grotere organisaties, krijgt vroeg of laat een security-vragenlijst. Soms een standaardlijst, vaak een eigen Excel van de inkoper. De deal wacht tot hij terug is.

Welke vragenlijsten je tegenkomt

• Eigen vragenlijsten van de inkoper, meestal in Excel of in een leveranciersportaal
• Standaardlijsten zoals de SIG van Shared Assessments of de CAIQ van de Cloud Security Alliance
• Privacy-assessments en vragen over verwerkersovereenkomsten
• De securitysectie van een aanbesteding

Waarom het zoveel tijd kost

De vragen lijken op elkaar, maar zijn net anders geformuleerd. De kennis zit verspreid over beleid, techniek en contracten. En niemand in een klein team heeft er een vaste taak voor.

Zo vul je hem goed in

1. Maak één bron van waarheid. Leg vast welke documenten je beleid, je architectuur en je procedures beschrijven.
2. Koppel elk antwoord aan bewijs. Een verwijzing naar een paragraaf of een configuratie maakt een antwoord controleerbaar.
3. Gebruik de taal van de vraag. Beantwoord wat er gevraagd wordt, niet wat je liever vertelt.
4. Wees eerlijk over gaten. Schrijf wat er nog niet is en wanneer het er wel is.
5. Hergebruik slim. Bewaar goedgekeurde antwoorden met hun bron, en controleer ze opnieuw als je beleid verandert.

Wat een inkoper echt wil zien

Een inkoper zoekt geen perfect bedrijf. Hij zoekt een leverancier die weet wat hij doet, het kan laten zien en eerlijk is over wat nog niet af is. Een onderbouwd antwoord met een open punt overtuigt meer dan een rij gladde ja's.

Hoe Holdvero helpt

Je stuurt ons de vragenlijst en je documentatie, na een NDA. Wij vullen hem in, met bij elk antwoord de bron, en benoemen open punten expliciet. Je krijgt hem binnen 3–5 werkdagen terug om te controleren. Een vragenlijst tot 150 vragen kost €695; grotere of complexere vanaf €1.195.