Sicherheitsfragebogen für CMMS- und OEE-Anbieter: Einkäuferleitfaden 2026

Wesentliche Erkenntnisse

• Eine Sicherheitsprüfung für industrielle Software ist nicht ein Dokument. Es sind vier: eine Informationssicherheitszertifizierung, ein Auftragsverarbeitungsvertrag, eine Angabe zu Hosting und Datenresidenz und ein Wiederherstellungsziel.
• Fragen Sie jeden Anbieter nach seinem RTO und RPO in Stunden, nicht nach dem Begriff „hohe Verfügbarkeit“. Eine Zahl, die Sie in einen Vertrag schreiben können, ist die einzige Version dieser Antwort, die eine Prüfung übersteht.
• Die zwei Fragen, die ernsthafte Anbieter von den übrigen trennen: in welcher Cloud-Region die Daten liegen und wer die Sub‑Processor sind. Beides sollte in einem Satz schriftlich beantwortbar sein, ohne Anruf.
• Ein Zertifizierungsbadge auf einer Webseite ist kein Beweis. Fragen Sie nach der Zertifikatsnummer, dem ausstellenden Organ und der Geltungsbereichsangabe, denn ein Zertifikat kann die Zentrale abdecken und die Plattform, die Sie kaufen, ausschließen.
• Führen Sie die Sicherheitsprüfung parallel zur funktionalen Bewertung durch, nicht danach. Prüfungen, die erst nach der Auswahl einer Shortlist beginnen, sind die häufigste einzelne Ursache dafür, dass die Einführung von Wartungssoftware um ein Quartal verzögert wird.

Unser IT‑Team wird ein CMMS oder eine OEE‑Plattform nicht freigeben, bis sie eine Sicherheitsprüfung besteht. Was müssen wir tatsächlich anfordern?

Fordern Sie von jedem Anbieter auf Ihrer Shortlist fünf Dinge schriftlich an, bevor Sie die Funktionen vergleichen. Erstens die Informationssicherheitszertifizierung mit Zertifikatsnummer, ausstellendem Organ und Geltungsbereich, damit Sie bestätigen können, dass die Plattform selbst im Scope ist und nicht nur eine Firmenzentrale. Zweitens einen unterzeichneten oder unterzeichnungsfähigen Auftragsverarbeitungsvertrag, der jeden Sub‑Processor namentlich benennt. Drittens die Hosting‑Region, angegeben als konkrete Cloud‑Region und nicht als Kontinent. Viertens die Wiederherstellungsziele in Stunden: Recovery Time Objective und Recovery Point Objective sowie die Backup‑Häufigkeit. Fünftens das Zugriffssteuerungsmodell: rollenbasierte Berechtigungen, Single Sign‑On‑Unterstützung und ob ein Prüfprotokoll aufzeichnet, wer was geändert hat.

Fabrico beantwortet diese fünf Punkte wie folgt: ISO 27001, ISO 9001 und ISO/IEC 20000-1 zertifiziert, ein GDPR‑Auftragsverarbeitungsvertrag, Hosting in einer AWS‑EU‑Region, ein 4‑stündiges Recovery Time Objective und ein 4‑stündiges Recovery Point Objective mit täglichen Backups sowie rollenbasierte Zugriffskontrolle mit SSO und SAML verfügbar plus vollständiges Audit‑Log. Verschlüsselung ist ruhend und in Transit angewendet, und die Plattform sitzt hinter Cloudflare‑DDoS‑Schutz.

Was eine Sicherheitsprüfung für Industrie‑Software tatsächlich prüft

Die meisten Hersteller nutzen einen standardisierten Lieferantenfragebogen, der für Enterprise‑IT geschrieben wurde, und geben ihn dann an ein Werks‑Team, das noch nie einen solchen Fragebogen ausgefüllt hat. Die sechs Bereiche unten sind das, was diese Formulare wirklich testen, in Werkssprache übersetzt.

1. Zertifizierung und Geltungsbereich. Der Prüfer möchte, dass eine unabhängige Drittpartei das Sicherheitsmanagementsystem des Anbieters auditiert hat. In Europa ist das normalerweise ISO/IEC 27001. In Nordamerika ist ein SOC 2 Type II Bericht häufiger. Die beiden sind nicht äquivalent und keineswegs Ersatz füreinander, fragen Sie also, welche Variante ein bestimmter Anbieter hält, statt zu vermuten. Entscheidend ist: Fordern Sie die Geltungsbereichsangabe an. Ein Zertifikat kann rechtmäßig das Entwicklungsbüro eines Unternehmens abdecken und einen gehosteten Dienst ausschließen.

2. Datenresidenz. Ihre Maschinendaten, Arbeitsaufträge und Personennamen sind personenbezogene und kommerzielle Daten. Der Prüfer muss wissen, welche Rechtsordnung sie physisch beherbergt. „Die Cloud“ und „Europa“ sind keine Antworten. Ein AWS‑, Azure‑ oder Google‑Cloud‑Regionsname ist eine Antwort. Wenn Sie in der EU arbeiten, ist dies auch die Frage, die Ihr Datenschutzbeauftragter zuerst stellen wird; sie wird in unserem GDPR‑ und Datenschutz‑Käuferleitfaden für OEE‑ und CMMS‑Software ausführlicher behandelt.

3. Sub‑Processor. Jede SaaS‑Plattform nutzt andere Anbieter: einen Cloud‑Host, einen E‑Mail‑Dienst, ein Fehlerüberwachungstool, manchmal einen KI‑Anbieter. Jeder davon ist ein Ort, an den Ihre Daten gelangen. Ein Anbieter, der keine Sub‑Processor‑Liste vorlegen kann, hat sich damit nicht auseinandergesetzt, und Sie können Ihre eigene Compliance‑Dokumentation ohne sie nicht abschließen.

4. Verfügbarkeit und Wiederherstellung. Zwei verschiedene Zahlen, routinemäßig verwechselt. Das Recovery Time Objective ist, wie lange der Dienst ausfallen darf, bevor er wiederhergestellt sein muss. Das Recovery Point Objective ist, wie viel Daten Sie verlieren können, gemessen in Zeit. Ein Anbieter, der 99,9 Prozent Verfügbarkeit nennt, hat Ihnen nichts über eines von beiden gesagt. Fragen Sie beide in Stunden und wie oft Backups erstellt werden.

5. Zugriffskontrolle und Audit. Auf dem Shopfloor greifen Dutzende Personen auf dasselbe System zu, und einige teilen ein Tablet. Der Prüfer will rollenbasierte Zugriffskontrolle, damit ein Techniker nicht eine Anlage löschen kann, Single Sign‑On, damit ausgeschiedene Mitarbeitende den Zugriff verlieren, wenn HR das Konto deaktiviert, und ein Audit‑Log, damit ein strittiger Wartungseintrag einer Person und einem Zeitstempel zugeordnet werden kann.

6. Integrationsfläche. Jede Verbindung, die Sie hinzufügen, ist eine Tür. Wenn die Plattform mit SAP PM, einem ERP oder einem Historian synchronisiert, will der Prüfer wissen, wie diese Verbindung authentifiziert und was sie erreichen kann. Lesezugriffs‑Integrationen bestehen die Prüfung wesentlich schneller als bidirektionale, also wissen Sie vor dem Meeting, welche Sie tatsächlich benötigen.

Die 12 Fragen, die Sie jedem Anbieter schicken sollten

Senden Sie diese wörtlich an jeden Anbieter gleichzeitig und bitten Sie um schriftliche Antworten. Antworten, die als Einladung zu einem Anruf statt als Dokument eingehen, sind selbst ein Datenpunkt.

1. Welche Informationssicherheitszertifizierung besitzen Sie? Bitte geben Sie die Zertifikatsnummer, das ausstellende Organ und die Geltungsbereichsangabe an.
2. In welcher konkreten Cloud‑Region werden unsere Produktionsdaten gespeichert und wird ein Teil davon außerhalb dieser Region repliziert?
3. Bitte legen Sie Ihre aktuelle Sub‑Processor‑Liste vor, einschließlich dessen, was jeder einzelne verarbeitet.
4. Können Sie unseren Auftragsverarbeitungsvertrag unterzeichnen, oder besteht die Notwendigkeit, Ihren zu verwenden?
5. Wie hoch sind Ihr Recovery Time Objective und Ihr Recovery Point Objective, in Stunden?
6. Wie oft werden Backups erstellt, wie lange werden sie aufbewahrt und wann haben Sie zuletzt eine Wiederherstellung getestet?
7. Werden Daten ruhend und in Transit verschlüsselt und mit welchen Verfahren?
8. Unterstützen Sie Single Sign‑On und SAML? Ist das Standard oder eine kostenpflichtige bzw. kundenspezifische Konfiguration?
9. Beschreiben Sie Ihr rollenbasiertes Zugriffskontrollmodell und bestätigen Sie, ob ein unveränderliches Audit‑Log Konfigurations‑ und Datensatzänderungen aufzeichnet.
10. Wie authentifizieren Integrationen und welchen Zugriffsumfang hat ein Integrations‑Credential?
11. Wie schnell ist Ihre vertragliche Support‑Reaktionszeit und während welcher Zeiten gilt sie?
12. Bei Beendigung: In welchem Format erhalten wir unsere Daten zurück und innerhalb wie vieler Tage werden sie aus Ihren Systemen und Ihren Backups gelöscht?

Frage 12 ist die, die Käufer vergessen und auf die die Beschaffung bestehen wird. Stellen Sie sie früh, denn eine unbefriedigende Antwort in Woche eins zu entdecken ist viel billiger als in Jahr drei.

Drei Antworten, die einen Kauf stoppen sollten

„Wir sind an ISO 27001 ausgerichtet.“ Ausgerichtet heißt nicht zertifiziert. Es bedeutet, dass nie ein externer Auditor die Behauptung geprüft hat. Fordern Sie das Zertifikat an oder behandeln Sie den Anbieter als nicht zertifiziert.

„Wir können unsere Sub‑Processor‑Liste nicht teilen.“ Nach der DSGVO ist Ihre Organisation der Verantwortliche und bleibt rechenschaftspflichtig dafür, wohin die Daten gehen. Ein Anbieter, der seine Sub‑Processor nicht nennt, verlangt von Ihnen, eine Haftung zu akzeptieren, die Sie nicht quantifizieren können.

„Wir liefern Ihnen diese Zahlen später nach.“ Wiederherstellungsziele existieren entweder als getestete Werte oder sie existieren nicht. Ein Anbieter, der einen Restore‑Test durchgeführt hat, kennt seine Zahlen sofort.

Wo Fabrico einzuordnen ist

Fabrico ist eine kombinierte CMMS‑ und OEE‑Plattform, die in der EU entwickelt und gehostet wird. Zu den fünf Prüfungsfragen lauten die Antworten: ISO 27001, ISO 9001 und ISO/IEC 20000-1 zertifiziert; ein GDPR‑Auftragsverarbeitungsvertrag verfügbar; Hosting in einer AWS‑EU‑Region; ein 4‑stündiges Recovery Time Objective und 4‑stündiges Recovery Point Objective mit täglichen Backups; sowie rollenbasierte Zugriffskontrolle mit SSO und SAML für kundenspezifische Konfigurationen verfügbar, zusätzlich ein Audit‑Log. Verschlüsselung deckt Daten ruhend und in Transit ab, und Cloudflare stellt DDoS‑Schutz bereit.

Operativ liegt die vertragliche Support‑Reaktionszeit bei unter 2 Stunden, und die Oberfläche wird in Englisch, Bulgarisch, Deutsch, Französisch und Polnisch ausgeliefert, was wichtig ist, wenn eine Sicherheitsprüfung von einer Betriebsratsrunde begleitet wird, in der es darum geht, wer welche Informationen lesen darf. Integration ist über eine REST‑API, Webhooks, Excel‑Import und ‑Export sowie eine bidirektionale SAP PM‑Synchronisation einschließlich S/4HANA verfügbar.

Zwei Dinge, die Fabrico nicht behauptet, weil Offenheit hier allen eine Runde Klarstellungen erspart: Es gibt keinen SOC 2‑Bericht und es gibt keinen Offline‑Modus. Wenn das Formular Ihres Prüfers ausdrücklich SOC 2 verlangt, sagen Sie das zu Beginn der Bewertung und nicht am Ende.

Beispiel: Die Reihenfolge einer Prüfung so gestalten, dass sie Sie kein Quartal kostet

Nehmen Sie einen Anbieter mit drei Werken, der eine kombinierte CMMS‑ und OEE‑Plattform bewertet, mit einem firmenweiten InfoSec‑Formular von etwa 40 Fragen und einem Datenschutzbeauftragten, der separat zustimmen muss.

Wird sequenziell vorgegangen, ist die übliche Form sechs Wochen funktionale Demos, dann geht das Sicherheits‑Paket raus, dann zwei bis vier Wochen Hin‑ und Her pro Anbieter, dann juristische Prüfung des Auftragsverarbeitungsvertrags. Die insgesamt verstrichene Zeit bis zur Unterzeichnung eines Vertrags beträgt üblicherweise drei bis vier Monate, und das Werksteam verbringt den Großteil der Zeit in Warteschleife.

Wird parallel gearbeitet, gehen die oben genannten 12 Fragen in Woche eins raus, parallel zu den ersten Demo‑Einladungen. Bis die funktionale Shortlist in Woche vier auf zwei Anbieter reduziert ist, liegen beide Sicherheits‑Pakete bereits bei InfoSec und der Auftragsverarbeitungsvertrag bei der Rechtsabteilung. Dieselben drei bis vier Monate komprimieren sich auf etwa sechs bis acht Wochen, und noch wichtiger: Sie entdecken nicht erst im dritten Monat, dass Ihr bevorzugter Anbieter eine verpflichtende Kontrolle nicht besteht.

Der Preis des parallelen Vorgehens ist eine zusätzliche E‑Mail in Woche eins. Der Preis des sequenziellen Vorgehens ist eine Einführung, die ein Quartal zu spät startet, für ein Werk, das einem Verfügbarkeitsproblem nachjagt, ist das ein Vierteljahr an Verlusten, deren Beendigung Sie bereits vereinbart hatten.

Wie das mit dem Rest der Bewertung zusammenhängt

Eine Sicherheitsprüfung prüft, ob einem Anbieter Ihre Daten anvertraut werden können. Sie prüft nicht, ob die Plattform tatsächlich genutzt wird. Das sind getrennte Ausfallarten mit getrennten Ursachen und beides muss geklärt sein. Wenn Ihre IT‑Funktion klein ist oder sitesübergreifend geteilt wird, behandelt unser Leitfaden zum Auswählen von OEE‑ und CMMS‑Software ohne dedizierte IT‑Abteilung, wer die Prüfungsarbeit tatsächlich trägt. Wenn Ihre Werke in Deutschland, Österreich, den Niederlanden oder Frankreich liegen, behandelt der Betriebsratsleitfaden zur OEE‑Überwachung die parallele Zustimmung, die die meisten Teams überrascht. Für die funktionalen Anforderungen selbst starten Sie mit der CMMS‑Software‑RFP‑Vorlage, und für die Metrikdefinitionen, die die Plattform liefern muss, siehe den OEE‑Leitfaden für die Fertigung.

Wenn Sie das Fabrico‑Sicherheits‑Paket wollen, einschließlich der Geltungsbereichsangaben der Zertifikate und des Auftragsverarbeitungsvertrags, buchen Sie eine Demo und fragen Sie explizit danach. Es wird als Dokumente gesendet, nicht als Folie.

Häufig gestellte Fragen

Ist ISO 27001 oder SOC 2 besser für einen CMMS‑Anbieter?

Keines ist grundsätzlich besser, sie beantworten unterschiedliche Fragen. ISO 27001 zertifiziert, dass ein Managementsystem für Informationssicherheit existiert und gegen einen Standard auditiert wurde. SOC 2 Type II ist ein Prüfungsbericht, der beschreibt, wie bestimmte Kontrollen über einen Zeitraum funktioniert haben, und er wird als Dokument gelesen, nicht als Badge geprüft. Europäische Käufer verlangen in der Regel ISO 27001, nordamerikanische Käufer verlangen in der Regel SOC 2. Fragen Sie, welches Ihr Prüfungsformular tatsächlich verlangt, bevor Sie eine Shortlist erstellen, denn es kann Anbieter ausschließen.

Was ist ein vernünftiges RTO und RPO für Wartungssoftware?

Für eine CMMS‑ oder OEE‑Plattform sind Wiederherstellungszeit‑ und Wiederherstellungspunktziele im Bereich von wenigen Stunden normal, und tägliche Backups sind Standard. Wichtiger als die konkrete Zahl ist, dass der Anbieter sie als Zahl angibt und eine Wiederherstellung getestet hat. Bewerten Sie die Antwort danach, ob sie präzise ist, nicht danach, ob sie eindrucksvoll klingt.

Brauchen wir einen Auftragsverarbeitungsvertrag, wenn die Software nur Maschinendaten hält?

Fast sicher ja. Ein CMMS enthält Arbeitsaufträge, die benannten Technikern zugewiesen sind, Zeitstempel, wer was gemacht hat, und oft Schichtmuster. Das sind personenbezogene Daten nach DSGVO, unabhängig davon, wie viele Maschinendaten daneben stehen. Gehen Sie davon aus, dass Sie einen Auftragsverarbeitungsvertrag benötigen, und bestätigen Sie den Geltungsbereich mit Ihrem Datenschutzbeauftragten.

Wer sollte den Sicherheitsfragebogen betreuen, IT oder Instandhaltung?

Die Instandhaltung sollte ihn verschicken und IT sollte ihn bewerten. Das Instandhaltungsteam weiß, welche Integrationen wirklich benötigt werden, das bestimmt die Risikofläche, und IT weiß, welche Antworten akzeptabel sind. Wenn IT den gesamten Prozess verantwortet, fordert der Fragebogen oft Kontrollen, die das Werk nicht braucht; wenn die Instandhaltung den gesamten Prozess verantwortet, werden Antworten oft ohne Prüfung akzeptiert.

Wie lange sollte ein Anbieter für die Beantwortung dieser 12 Fragen benötigen?

Ein Anbieter, der bereits Enterprise‑Prüfungen durchlaufen hat, liefert schriftliche Antworten innerhalb weniger Arbeitstage, weil die Dokumente bereits existieren. Wochenlange Verzögerung bedeutet meist, dass das Paket zum ersten Mal erstellt wird. Das disqualifiziert einen jungen Anbieter nicht automatisch, aber es sagt Ihnen, was Sie später vom Support erwarten können.

Zuletzt aktualisiert: 7. August 2026.