Steuerungsgrundsatz: Die Auslagerung einer Leistung überträgt nicht die Verantwortung der Organisation für eigene Informationen, Risiken, Kundenanforderungen und den sicheren Geschäftsbetrieb.
Nachweisregel: Ein unterschriebener Vertrag, eine Lieferantenselbstauskunft, ein Zertifikat oder eine TISAX-Teilnehmerinformation belegt nicht automatisch, dass alle für die konkrete Leistung erforderlichen Maßnahmen umgesetzt und wirksam sind.
Beispieldokument: Kritikalitätsklassen, Prüftiefen, Rollen, Intervalle und Vertragsanforderungen sind Musterwerte für die fiktive „Muster GmbH“. Sie müssen vor der Freigabe an Leistungen, Lieferkette, Schutzbedarf sowie tatsächliche Rechts-, Vertrags-, Kunden- und TISAX-Anforderungen angepasst werden.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-MA-03-03 |
| Dokumentenart | Verfahren und Register für Lieferanten- und Dienstleistersteuerung |
| Wiki.js-Pfad | /ISMS/03-Organisation-und-Assets/Lieferanten-und-Dienstleister |
| Verantwortlich | Einkauf und jeweilige Service-/Prozess-Owner |
| Fachlich geprüft durch | ISMS, IT-/OT-Leitung, Datenschutz, Compliance/Recht, BCM, Entwicklung, TISAX-Koordination und betroffene Fachbereiche |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Lieferantenbestand, Kritikalität und Vertragslage nicht bestätigt |
| Version | 0.1 |
| Stand | 23.07.2026 |
| Gültig ab | Nach Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Vertraulich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 4.2, 6, 8 und 9 sowie Annex A 5.19 bis 5.23 und 8.30 |
| VDA-ISA-Bezug | ISA 6.0.3, insbesondere Kapitel 6.1 „Supplier Relationships“ sowie alle betroffenen Kontrollfragen |
Dieses Verfahren regelt die Informationssicherheit über den gesamten Lebenszyklus von Lieferanten, Dienstleistern und extern bezogenen Leistungen.
Es stellt sicher, dass:
Das Verfahren gilt für externe Parteien, die:
Es gilt von der Bedarfsermittlung bis zum vollständigen Abschluss der Leistung und aller Nachwirkungen.
| Begriff | Bedeutung |
|---|---|
| Lieferant | externe Partei, die Produkte oder Leistungen bereitstellt |
| Dienstleister | externe Partei, die definierte Tätigkeiten oder Services erbringt |
| Unterauftragnehmer | vom direkten Vertragspartner einbezogene weitere externe Partei |
| Service Owner | interne Rolle mit Ergebnisverantwortung für die bezogene Leistung |
| Vertrags-Owner | interne Rolle für Vertrag, Fristen, Nachträge und Pflichten |
| kritischer Lieferant | externe Partei, deren Ausfall, Fehler oder Sicherheitsverletzung wesentliche Auswirkungen haben kann |
| Flow-down | vertragliche Weitergabe anwendbarer Anforderungen an Unterauftragnehmer |
| Due Diligence | risikobasierte Prüfung vor Auswahl oder Beauftragung |
| Exit | geplanter Übergang, Anbieterwechsel oder Beendigung einer Leistung |
| Konzentrationsrisiko | erhöhte Abhängigkeit von einem Anbieter, Konzern, Standort, Technologie- oder Plattformökosystem |
| Lieferkettenvorfall | Sicherheitsereignis mit Ursprung oder wesentlicher Beteiligung einer externen Partei |
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Grundsätze und wesentliche Risiko-/Ausnahmeentscheidungen freigeben |
| Einkauf | Beschaffungsprozess, Vertragskoordination, Lieferantenakte und kaufmännische Schnittstelle steuern |
| Service-/Prozess-Owner | Bedarf, Kritikalität, Leistung, Risiken, Kontrollen, Überwachung und Exit verantworten |
| Information-/Asset Owner | Schutzbedarf, zulässige Verarbeitung, Zugriffe und Lebenszyklus bewerten |
| Vertrags-Owner | Vertrag, Nachträge, Fristen, Pflichten, Rangfolge und Nachweise pflegen |
| ISMS-Beauftragte/r | Sicherheitsmethodik, Risikoprüfung, Konsistenz, Reporting und Audit unterstützen |
| IT-/OT-Leitung | technische Architektur, Integration, Zugriffe, Betrieb, Monitoring und Exit bewerten |
| Datenschutz | Datenschutzrollen, Verarbeitung, Unterauftragnehmer, Übermittlungen und Löschung prüfen |
| Compliance/Recht | rechtliche, regulatorische, vertragliche und Kundenanforderungen prüfen |
| BCM-Verantwortung | Kritikalität, Notbetrieb, Wiederanlauf und Abhängigkeiten bewerten |
| Entwicklung/Produktverantwortung | Software-, Komponenten-, Entwicklungs- und Produktlieferkettenrisiken bewerten |
| TISAX-Koordination | Kundenanforderungen, ISA-Kontrollen, Flow-down und Assessmentnachweise abgleichen |
| Lieferant | vereinbarte Anforderungen umsetzen, Änderungen/Vorfälle melden und Nachweise bereitstellen |
| Interne Revision/Audit | Steuerung und Wirksamkeit unabhängig prüfen |
Die externe Leistung darf intern nicht ohne verantwortlichen Service-/Prozess-Owner betrieben werden.
| Phase | wesentliche Aktivität | Ergebnis |
|---|---|---|
| 1. Bedarf | Leistung, Scope, Owner und geschäftlichen Zweck festlegen | Bedarfsbeschreibung |
| 2. Klassifizierung | Informationen, Assets, Kritikalität und Abhängigkeiten bewerten | Schutz-/Kritikalitätsbewertung |
| 3. Risikoanalyse | Bedrohungen, Schwachstellen und Pflichten bewerten | Risikoentscheidung |
| 4. Auswahl | Anbieter und Alternativen risikobasiert prüfen | Due-Diligence-Ergebnis |
| 5. Vertrag | Anforderungen, Rechte und Verantwortungsgrenzen vereinbaren | freigegebener Vertrag |
| 6. Onboarding | Zugriffe, Kontakte, Prozesse und Nachweise einrichten | Betriebsfreigabe |
| 7. Betrieb | Leistung, Sicherheit, Änderungen und Risiken überwachen | Review- und Kontrollnachweise |
| 8. Vorfall/Abweichung | eindämmen, eskalieren, korrigieren und nachverfolgen | Vorfall-/Maßnahmenakte |
| 9. Verlängerung | Leistung, Risiko, Vertrag und Exit erneut bewerten | Verlängerungsentscheidung |
| 10. Exit | Übergang, Rückgabe, Export, Löschung und Abschluss kontrollieren | Exit- und Abschlussnachweis |
Vor einer Marktansprache oder Beauftragung werden mindestens beschrieben:
Unklare Verantwortungsgrenzen werden vor Beauftragung geklärt und nicht erst bei einem Vorfall ausgehandelt.
Die Kritikalität wird anhand mehrerer Dimensionen bewertet:
| Dimension | Leitfragen |
|---|---|
| Informationsschutz | Welche Klassifizierung und Kundenanforderungen gelten? |
| Verfügbarkeit | Welche Ausfallzeit und welcher Datenverlust wären vertretbar? |
| Integrität | Welche Folgen hätten fehlerhafte oder manipulierte Leistungen? |
| Zugriff | Besitzt der Anbieter privilegierte, Fern-, Standort- oder Produktionszugriffe? |
| Datenumfang | Welche Datenarten, Mengen und Betroffenen sind umfasst? |
| Prozesskritikalität | Welche Kern-, Notfall- oder Lieferverpflichtung hängt ab? |
| Austauschbarkeit | Wie schnell und realistisch ist ein Anbieterwechsel? |
| Konzentration | Bestehen gemeinsame Plattform-, Konzern-, Standort- oder Technologieabhängigkeiten? |
| Lieferkettentiefe | Welche Unterauftragnehmer und Komponenten wirken mit? |
| Recht/Vertrag | Welche Melde-, Standort-, Prüf- oder Flow-down-Pflichten bestehen? |
Die folgenden Klassen sind Musterwerte und vor Freigabe organisationsbezogen zu bestätigen.
| Klasse | typische Merkmale | Mindeststeuerung |
|---|---|---|
| Kritisch | Ausfall oder Sicherheitsverletzung kann Kernbetrieb, sehr hohe Schutzbedarfe oder wesentliche Kundenpflichten gefährden | vertiefte Due Diligence, Managemententscheidung, engmaschige Überwachung und getesteter Exit/Notbetrieb |
| Hoch | wesentliche Daten, Zugriffe, Prozesse oder vertragliche Pflichten betroffen | erweiterte Prüfung, Sicherheitsvertrag, regelmäßiges Review und Exitplanung |
| Mittel | begrenzte, aber relevante Auswirkungen und Zugriffe | standardisierte Sicherheitsprüfung und risikobasiertes Review |
| Niedrig | keine oder geringe sicherheitsrelevante Verarbeitung und leicht ersetzbare Leistung | dokumentierte Basiseinstufung und Änderungsüberwachung |
Eine niedrige finanzielle Auftragssumme bedeutet nicht automatisch ein niedriges Informationssicherheitsrisiko.
Lieferantenrisiken werden nach der Methodik der Risikobewertung bewertet.
Mindestens betrachtet werden:
Risiken, Maßnahmen und Akzeptanzen werden im Risikoregister und Risikobehandlungsplan verknüpft.
Vor einer vertieften Prüfung werden mögliche Ausschluss- oder Eskalationsgründe bewertet:
Ein Ausschlusskriterium wird nur durch eine dazu befugte, dokumentierte Risiko- und Ausnahmeentscheidung übersteuert, soweit dies überhaupt zulässig ist.
Die Prüfung umfasst abhängig von Risiko und Kritikalität:
| Prüffeld | mögliche Nachweise |
|---|---|
| Organisation und Governance | Rollenmodell, Sicherheitsleitlinie, Verantwortlichkeiten |
| Risikomanagement | Methodik, Risikobehandlung und Reviewnachweise |
| Personal | Vertraulichkeit, Schulung, Rollenwechsel und Offboarding |
| Asset-/Datenmanagement | Inventar, Klassifizierung, Datenfluss und Löschung |
| Zugriffsschutz | Identitäten, MFA, privilegierte Rechte und Rezertifizierung |
| technische Sicherheit | Härtung, Schwachstellen, Patches, Schutz vor Schadsoftware |
| Protokollierung | Ereignisse, Schutz, Alarmierung und Auswertung |
| sichere Entwicklung | Anforderungen, Code-/Komponentenschutz, Tests und Updates |
| Vorfallmanagement | Meldeweg, Reaktion, Übungen und Lessons Learned |
| Kontinuität | BIA, Backup, Wiederherstellung, Notbetrieb und Tests |
| physische Sicherheit | Standorte, Zutritt, Umgebung und Besucher |
| Datenschutz | Rollen, TOM, Unterauftragnehmer, Übermittlungen und Löschung |
| Unterauftragnehmer | Liste, Leistungsanteil, Standorte und Flow-down |
| Assurance | Auditberichte, Zertifikate, TISAX-Informationen und Maßnahmenstatus |
| Exit | Export, Übergang, Löschung, Portabilität und Unterstützung |
Prüfungen werden mit Scope, Quelle, Stand, Prüfer, Ergebnis, Einschränkungen und Folgemaßnahmen dokumentiert.
Eine Selbstauskunft:
Eine unbelegte Selbstauskunft ist eine Informationsquelle, aber kein alleiniger Wirksamkeitsnachweis.
Externe Assurance wird mindestens geprüft auf:
Ein Zertifikat oder TISAX-Ergebnis außerhalb des benötigten Scopes ersetzt keine Prüfung der konkreten Leistung. Die Organisation dokumentiert, welche eigenen Anforderungen dadurch belegt werden und welche zusätzlich zu prüfen bleiben.
Die Auswahlentscheidung enthält:
| Feld | Mindestinhalt |
|---|---|
| Lieferanten-/Service-ID | eindeutige Referenz |
| Leistung und Scope | konkrete Leistungsbeschreibung |
| interner Owner | Ergebnisverantwortung |
| Kritikalität | Klasse und Begründung |
| Risiko | Risiko-IDs und Restrisiko |
| Anforderungen | Sicherheit, Datenschutz, Kunde, BCM und TISAX |
| Prüfergebnis | Nachweise, Lücken und Einschränkungen |
| Maßnahmen/Auflagen | Owner, Termine und Wirksamkeitskriterien |
| Entscheidung | freigegeben, mit Auflagen, abgelehnt oder zurückgestellt |
| Entscheidung durch | befugte Rolle, Datum und Gültigkeit |
| nächster Review | Termin oder Ereignis |
Eine kaufmännische Bestellung allein ist keine Sicherheitsfreigabe.
Verträge und Leistungsbeschreibungen regeln abhängig vom Risiko:
Abweichungen zwischen Bestellung, Hauptvertrag, Sicherheitsanlage, Datenschutzvereinbarung und Kundenportal werden vor Abschluss geklärt.
Werden personenbezogene Daten verarbeitet, werden vor Beginn mindestens geprüft:
Die Datenschutzprüfung wird durch die zuständige Datenschutzfunktion durchgeführt oder koordiniert. Diese Seite ersetzt keine rechtliche Einzelfallbewertung.
Für kundenbezogene Leistungen wird ermittelt:
Flow-down wird nicht nur vertraglich vereinbart, sondern risikobasiert auf tatsächliche Umsetzung und Nachweise geprüft.
Der direkte Vertragspartner muss risikobasiert:
Die Organisation bewertet, ob Zustimmung, Widerspruch, zusätzliche Kontrollen oder ein Anbieterwechsel erforderlich ist. Eine lange oder dynamische Unterauftragnehmerkette wird als eigenes Risiko berücksichtigt.
Die kundenseitige Freigabe, Shared Responsibility, Konfiguration, Notbetrieb, Portabilität und Exit werden ergänzend in Mobile Arbeit und Cloud gesteuert.
Bei Cloud-, Hosting-, SaaS- und Plattformdiensten werden zusätzlich geprüft:
Eine allgemeine Freigabe eines Anbieters gilt nicht automatisch für jede neue Funktion, Datenart oder Integration.
Bei Software, Firmware, Bibliotheken und technischen Komponenten werden risikobasiert geregelt:
Eine Komponentenliste allein belegt keine sichere Lieferkette; Aktualität, Bewertung und Behandlung sind zusätzlich erforderlich.
Anforderungen an externe Entwicklung, Komponenten, Build-, Test-, Release- und Schwachstellenprozesse werden in Sichere Entwicklung vertieft.
Vor Produktivbetrieb werden mindestens abgeschlossen:
| Prüfschritt | Verantwortlich | Ergebnis | Nachweis/Termin |
|---|---|---|---|
| interner Service- und Vertrags-Owner bestätigt | Einkauf/Fachbereich | [Offen] |
[Referenz] |
| Kritikalität und Risiko freigegeben | Owner/ISMS | [Offen] |
[Bewertung] |
| Vertrag und Sicherheitsanlage wirksam | Einkauf/Recht | [Offen] |
[Vertrags-ID] |
| Datenschutzprüfung abgeschlossen | Datenschutz | [Offen] |
[Referenz] |
| Zugriffe freigegeben und getestet | IT/Information Owner | [Offen] |
[Ticket/Test] |
| Monitoring und Vorfallweg eingerichtet | Service Owner | [Offen] |
[Nachweis] |
| BCM/Exit-Anforderungen vorbereitet | BCM/Service Owner | [Offen] |
[Plan/Test] |
| Betriebsfreigabe dokumentiert | befugte Rolle | [Offen] |
[Freigabe] |
Diese Tabelle ist eine Vorlage und kein Nachweis eines abgeschlossenen Onboardings.
Externe Zugriffe werden:
Privilegierte Fernzugriffe benötigen zusätzliche Kontrollen, beispielsweise Freigabe, Sitzungsbegrenzung, Protokollierung oder beaufsichtigte Nutzung.
Während des Betriebs werden risikobasiert überwacht:
| Prüffeld | mögliche Quelle |
|---|---|
| Leistung und Verfügbarkeit | SLA-, Störungs- und Kapazitätsberichte |
| Sicherheitsvorfälle | Meldungen, Tickets und Nachbereitungen |
| Schwachstellen und Updates | Advisories, Patch- und Produktberichte |
| Zugriffe | Berechtigungsreview und Protokollstichprobe |
| Unterauftragnehmer | Änderungsmitteilungen und aktuelle Liste |
| Datenschutz | TOM-, Übermittlungs- und Löschprüfungen |
| Kontinuität | Test-, Wiederanlauf- und Krisennachweise |
| Vertragspflichten | Vertrags- und Fristenreview |
| Assurance | aktualisierte Zertifikate, TISAX- oder Auditinformationen |
| Maßnahmen | Status und Wirksamkeitsnachweise |
| Exitfähigkeit | Export-, Übergabe- oder Wiederanlauftest |
Der Reviewumfang und die Frequenz richten sich nach Kritikalität, Veränderung und Befunden.
| Bewertung | Leitfrage |
|---|---|
| Scope | Ist die tatsächliche Leistung noch vom bewerteten Scope umfasst? |
| Kritikalität | Haben Schutzbedarf, Abhängigkeit oder Geschäftsauswirkung zugenommen? |
| Risiken | Sind Risiken, Bedrohungen und Schwachstellen aktuell? |
| Vertrag | Sind Anforderungen, Laufzeit und Nachträge aktuell? |
| Nachweise | Sind Nachweise gültig, relevant und ausreichend? |
| Vorfälle | Gab es Ereignisse, Meldeprobleme oder wiederkehrende Ursachen? |
| Maßnahmen | Sind offene Maßnahmen fristgerecht und wirksam? |
| Unterauftragnehmer | Sind Kette, Standorte und Flow-down weiterhin akzeptabel? |
| BCM | Sind Notbetrieb, Wiederanlauf und Ausweichmöglichkeiten belastbar? |
| Exit | Ist ein kontrollierter Wechsel weiterhin möglich? |
Das Review endet mit einer dokumentierten Entscheidung: fortführen, mit Auflagen fortführen, vertieft prüfen, ersetzen oder beenden.
Lieferanten müssen wesentliche Änderungen nach den vereinbarten Regeln anzeigen. Relevante Änderungen sind beispielsweise:
Vor Annahme wird eine Impact- und Risikobewertung durchgeführt. Schweigen oder weitere Nutzung gilt nicht automatisch als fachliche Freigabe.
Verträge und Betriebsprozesse regeln:
Lieferantenvorfälle werden mit Incident Response koordiniert. Vertragliche Meldefristen werden im Rechts- und Vertragskataster geführt.
Für kritische Leistungen werden:
Ein vorgelegtes Notfallkonzept ohne geeignete Übung oder konkreten Leistungsbezug ist kein ausreichender Wirksamkeitsnachweis.
Zusätzlich zur Einzelbewertung werden organisationsweit geprüft:
Erforderliche Maßnahmen können Alternativen, Redundanz, Escrow, Exporte, Notbetrieb, Wissenstransfer oder abgestufte Ausstiegspläne umfassen.
Abweichungen von Sicherheits- oder Vertragsanforderungen:
Kunden-, Rechts- oder Vertragspflichten können nicht ohne zulässige Zustimmung intern aufgehoben werden. Maßgeblich ist Ausnahmen und Risikoakzeptanzen.
Vor Verlängerung oder wesentlicher Erweiterung werden:
erneut bewertet.
Eine automatische Vertragsverlängerung ist keine automatische Sicherheitsfreigabe.
Der Exitplan enthält abhängig von der Leistung:
| Prüfschritt | Verantwortlich | Fälligkeit | Ergebnis/Nachweis |
|---|---|---|---|
| Exitentscheidung und Termin bestätigt | Service-/Vertrags-Owner | [Datum] |
[Referenz] |
| Daten-/Konfigurationsexport vollständig | Fachbereich/IT | [Datum] |
[Prüfnachweis] |
| Übergabe und Wissenstransfer abgeschlossen | Service Owner | [Datum] |
[Protokoll] |
| externe Zugriffe entzogen | IT/Facility | [Datum/Uhrzeit] |
[Ticket/Log] |
| Assets und Schlüssel zurückgegeben | Asset Owner | [Datum] |
[Inventarreferenz] |
| Löschung/Vernichtung bestätigt und geprüft | Lieferant/Owner | [Datum] |
[Bestätigung/Stichprobe] |
| Unterauftragnehmer einbezogen | Vertrags-Owner | [Datum] |
[Nachweis] |
| Abschlussrisiko bewertet | Risk Owner/ISMS | [Datum] |
[Risiko-ID] |
| Vertrag und Register geschlossen | Einkauf | [Datum] |
[Abschlussvermerk] |
Die Checkliste ist ohne ausgefüllte und geprüfte Nachweise kein Beleg eines abgeschlossenen Exits.
Die folgende Zeile ist eine Ausfüllvorlage und kein aktiver Lieferanteneintrag.
| Lieferanten-ID | Anbieter/Leistung | Service Owner | Vertrags-Owner | Kritikalität | Informations-/Systembezug | Risiko-ID | Vertrag/Ende | letzter Review | nächster Review | Status |
|---|---|---|---|---|---|---|---|---|---|---|
[SUP-JJJJ-NNN] |
[Anbieter/Leistung] |
[Rolle] |
[Rolle] |
Nicht bewertet | [Assets/Daten/Prozesse] |
[RIS-ID] |
[Referenz/Datum] |
Nicht durchgeführt | [Datum] |
Entwurf |
| Lieferanten-ID | Due Diligence | Sicherheitsvertrag | Datenschutz | Unterauftragnehmer | BCM/Exit | Assurance | offene Maßnahmen | Entscheidung |
|---|---|---|---|---|---|---|---|---|
[SUP-JJJJ-NNN] |
Nicht durchgeführt | Nicht geprüft | Nicht geprüft | Nicht geprüft | Nicht geprüft | Nicht geprüft | [Anzahl/IDs] |
Ausstehend |
Technische Schwachstellen, Zugangsinformationen, Vertragsdetails und personenbezogene Daten werden in geschützten Anlagen geführt und im Wiki nur referenziert.
| Nachweis | Mindestinhalt |
|---|---|
| Bedarfs-/Scopebeschreibung | Leistung, Owner, Informationen, Systeme und Abhängigkeiten |
| Kritikalitätsbewertung | Kriterien, Quellen, Klasse und prüfende Rolle |
| Risikobewertung | Szenarien, bestehende Kontrollen, Restrisiko und Entscheidung |
| Due Diligence | Scope, Fragen, Quellen, Nachweise, Lücken und Ergebnis |
| Auswahlfreigabe | bewertete Fassung, befugte Rolle, Datum und Auflagen |
| Vertrag | Version, Parteien, Sicherheits-/Datenschutzanlagen und Gültigkeit |
| Onboarding | Zugriffe, Kontakte, Tests, Betriebs- und Sicherheitsfreigabe |
| Review | Leistung, Sicherheit, Änderungen, Maßnahmen und Entscheidung |
| Vorfall | Meldung, Reaktion, Ursachen, Pflichten und Verbesserungen |
| BCM-/Exit-Test | Szenario, Kriterien, Ergebnis, Abweichung und Maßnahme |
| Exit | Export, Übergabe, Entzug, Rückgabe, Löschung und Abschluss |
| Kennzahl | Zweck | Einschränkung |
|---|---|---|
| Lieferanten mit bestätigter Kritikalität | Abdeckung der Klassifizierung | Lieferantenbestand muss vollständig sein |
| kritische/hohe Lieferanten mit aktueller Risikobewertung | Risikosteuerung | Qualität der Bewertung separat prüfen |
| fällige Reviews fristgerecht abgeschlossen | Steuerungsdisziplin | formaler Review belegt nicht automatisch Wirksamkeit |
| Verträge mit bestätigten Sicherheitsanforderungen | Vertragsabdeckung | konkrete Klauselqualität ist zu prüfen |
| offene/überfällige Lieferantenmaßnahmen | Handlungsbedarf | Kritikalität der Einzelbefunde sichtbar halten |
| gemeldete Lieferantenvorfälle | Ereignisbild | Dunkelziffer und Meldequalität berücksichtigen |
| kritische Leistungen mit getesteter Exit-/Notfallfähigkeit | Resilienz | Testscope und Ergebnisqualität prüfen |
| nicht freigegebene Unterauftragnehmeränderungen | Lieferkettentransparenz | Datenquelle und Meldepflichten beachten |
Formeln, Datenquellen, Zielwerte und Ampellogik werden vor der Verwendung freigegeben.
| Prüfaspekt | bestätigter Stand |
|---|---|
| vollständiger realer Lieferantenbestand | nicht erhoben |
| bestätigte Service- und Vertrags-Owner | 0 nachgewiesen |
| freigegebene Kritikalitätsbewertungen | 0 nachgewiesen |
| abgeschlossene reale Due-Diligence-Prüfungen | 0 nachgewiesen |
| bestätigte Sicherheitsverträge | 0 nachgewiesen |
| geprüfte Unterauftragnehmerketten | 0 nachgewiesen |
| getestete Exit-/Notfallfähigkeit kritischer Lieferanten | 0 nachgewiesen |
| freigegebene Lieferanten-KPI-Zielwerte | 0 nachgewiesen |
Diese Angaben beschreiben den Musterstand. Sie sind keine Aussage über ein tatsächliches Unternehmen und kein Nachweis, dass keine Lieferantenkontrollen bestehen.
Diese Seite unterstützt insbesondere:
Alle 46 Kontrollfragen des ISA-Reiters „Informationssicherheit“ werden umgesetzt und bewertet. Für diese Fragen gibt es keine individuelle Auswahl „anwendbar/nicht anwendbar“ wie in der ISO-SoA. Diese Lieferantenseite ersetzt nicht die vollständige VDA-ISA-Selbsteinschätzung.
Audits und Kontrollen prüfen risikobasiert:
Abweichungen werden unter Abweichungen und Korrekturmaßnahmen bearbeitet.
| Thema | Dokument |
|---|---|
| Sicherheitsrahmen | Informationssicherheitspolitik |
| Rollen | Rollen und Verantwortlichkeiten |
| Anforderungen/Verträge | Rechts- und Vertragskataster |
| Risiken | Methodik der Risikobewertung |
| Risikoregister | Risikoregister |
| Behandlungsmaßnahmen | Risikobehandlungsplan |
| Ausnahmen | Ausnahmen und Risikoakzeptanzen |
| Assets und Abhängigkeiten | Asset-Inventar |
| Klassifizierung | Informationsklassifizierung |
| externes Personal | Personal und Schulungen |
| Informationsübertragung | Informationsübertragung |
| Projektmanagement | Informationssicherheit im Projektmanagement |
| sichere Entwicklung | Sichere Entwicklung |
| Vorfälle | Incident Response |
| Kontinuität | Notfallvorsorge und BCM |
| Wiederanlauf | Wiederanlaufplanung |
| TISAX | VDA-ISA-Selbsteinschätzung |
| Audit | Auditprogramm |
| Prüffrage | Status Entwurf |
|---|---|
| Ist der reale Lieferanten- und Dienstleisterbestand vollständig? | Nein |
| Sind interne Service-, Vertrags-, Risiko- und Asset Owner bestätigt? | Nein |
| Sind Kritikalitätskriterien und Prüftiefen freigegeben? | Nein |
| Sind Due-Diligence- und Auswahlprozesse operationalisiert? | Nein |
| Sind Sicherheits-, Datenschutz-, Kunden- und Flow-down-Klauseln geprüft? | Nein |
| Sind Unterauftragnehmer- und Änderungsprozesse eingerichtet? | Nein |
| Sind externe Zugriffe und Monitoring integriert? | Nein |
| Sind Vorfall-, BCM-, Wiederanlauf- und Exitprozesse abgestimmt? | Nein |
| Ist eine geschützte Lieferanten- und Vertragsakte eingerichtet? | Nein |
| Sind Reviewintervalle, Kennzahlen und Eskalationen freigegeben? | Nein |
| Liegen fachliche Prüfung und Geschäftsführungsfreigabe vor? | Nein |
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 23.07.2026 | Musterverfahren für Lieferanten- und Dienstleistersteuerung erstellt | Einkauf / ISMS-Beauftragte/r | Ausstehend | – |
Für dieses Beispiel wird der dokumentierte Arbeitsstand ISA 6.0.3 verwendet. Vor der Freigabe sind die tatsächlich anzuwendende ISA-Version, der ISMS- und Assessment-Scope sowie alle Lieferanten-, Datenschutz-, Kunden-, Vertrags- und Flow-down-Anforderungen zu bestätigen.