¶ Lieferantenbewertungen
Beispieldokument: Diese Seite beschreibt eine Nachweisstruktur für die fiktive „Muster GmbH“. Die Musterdatensätze bestätigen weder einen vollständigen Lieferantenbestand noch geprüfte Verträge, wirksame Lieferantenkontrollen, aktuelle Zertifikate oder getestete Exit-Fähigkeit.
Nachweisgrundsatz: Ein Vertrag, eine Selbstauskunft, ein ISO-Zertifikat oder eine TISAX-Teilnehmerinformation ist ein möglicher Eingangsbeleg. Erst die Prüfung von Authentizität, Gültigkeit, Scope, konkreter Leistung, offenen Befunden und tatsächlicher Umsetzung erlaubt eine belastbare Bewertung.
Schutzregel: Verträge, Auditberichte, technische Fragebögen, Sicherheitsbefunde, Unterauftragnehmerlisten, Datenflüsse, Zugangs- und Vorfalldetails verbleiben in geeigneten geschützten Ablagen. Das Wiki führt nur notwendige Metadaten und kontrollierte Referenzen.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-NW-07-07 |
| Dokumentenart | Nachweisverfahren für Lieferanten- und Dienstleisterbewertungen |
| Wiki.js-Pfad | /ISMS/07-Nachweise/Lieferantenbewertungen |
| Verantwortlich | Einkauf sowie jeweilige Service-/Prozess-Owner |
| Fachlich geprüft durch | ISMS, IT/OT, Datenschutz, Compliance/Recht, BCM, Entwicklung, Qualitätsmanagement und TISAX-Koordination |
| Freigabe durch | Geschäftsführung beziehungsweise festgelegte befugte Risiko- und Beschaffungsverantwortung |
| Status | Entwurf – keine realen Lieferantenbewertungen oder Originalnachweise referenziert |
| Version | 0.2 |
| Stand | 08.08.2026 |
| Gültig ab | Nach fachlicher Prüfung und Freigabe |
| Nächste Prüfung | Nach freigegebenem risikobasiertem Reviewplan sowie anlassbezogen bei Änderungen, Vorfällen, Befunden, Verlängerung oder Exit |
| Schutzklasse | Vertraulich; Detailnachweise regelmäßig streng vertraulich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 6, 7.5, 8.1, 9 und 10 sowie Annex A 5.19 bis 5.23 und 8.30 |
| TISAX-Bezug | Maßgebliche ISA-Fassung und zugeordnete Kontrollfragen zu Lieferantenbeziehungen, Cloud, Zugängen, Entwicklung, Kontinuität und Nachweisen |
| Weitere Bezüge | ISO/IEC 27036, DSGVO, NIS2-Umsetzung, Verträge, Kundenanforderungen und branchenspezifische Lieferkettenpflichten, soweit anwendbar |
Nachweiskette von Lieferantenbestand und Kritikalität über Due Diligence, Vertrag und Betrieb bis zur Folgeentscheidung und zum kontrollierten Exit. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Dieses Verfahren legt fest, wie Lieferantenbewertungen und zugehörige Nachweise über den gesamten Lebenszyklus geführt werden. Es soll sicherstellen, dass:
- die Grundgesamtheit externer Parteien und Leistungen bekannt ist,
- interne Owner, Verantwortungsgrenzen und Abhängigkeiten nachvollziehbar sind,
- Kritikalität, Schutzbedarf und Risiken die Prüftiefe bestimmen,
- Auswahl- und Freigabeentscheidungen auf prüfbaren Informationen beruhen,
- vertragliche Sicherheitsanforderungen und Leistungsgrenzen belegt sind,
- Betrieb, Änderungen, Vorfälle, Unterauftragnehmer und Maßnahmen überwacht werden,
- Verlängerung, Ausnahme, Eskalation und Exit dokumentiert entschieden werden,
- Wirksamkeitsaussagen auf konkreten Prüfungen statt auf pauschalen Zertifikaten beruhen.
Die Seite ersetzt weder Lieferantenregister, Vertragsakte, Risikoregister, Beschaffungsprozess noch die geschützten Originalnachweise.
¶ 2. Geltungsbereich
Der Nachweis-Scope umfasst abhängig von der Organisation:
- Lieferanten von Hardware, Software, Komponenten und Updates,
- Cloud-, Hosting-, SaaS-, Kommunikations- und Managed-Service-Anbieter,
- IT-, OT-, Wartungs-, Fernzugriffs- und Supportdienstleister,
- Entwicklungs-, Beratungs-, Personal- und Logistikdienstleister,
- Facility-, Sicherheits-, Entsorgungs- und Archivierungsleistungen,
- externe Prüf-, Zertifizierungs-, Notfall- und Wiederanlaufleistungen,
- Unterauftragnehmer und weitere Stufen relevanter Lieferketten,
- konzerninterne Dienstleister, soweit Verantwortungsgrenzen bestehen.
Nicht bewertete oder ausgeschlossene Leistungen werden mit Begründung, Owner und Risiko sichtbar gehalten.
¶ 3. Aussageebenen trennen
| Aussage | Mindestnachweis | Noch nicht automatisch belegt |
|---|---|---|
| Lieferant erfasst | eindeutige ID, Firma, Leistung und Owner | vollständige Lieferantenlandschaft |
| Kritikalität bewertet | Kriterien, Scope, Rolle, Datum und Ergebnis | aktuelle Sicherheitsleistung |
| Selbstauskunft erhalten | ausgefüllter Fragebogen mit Stand und bestätigender Rolle | Richtigkeit oder Wirksamkeit |
| Zertifikat vorhanden | authentisches Dokument, Norm, Scope und Gültigkeit | Abdeckung der konkreten Leistung |
| Vertrag abgeschlossen | freigegebene Vertragsfassung und Anlagen | tatsächliche Umsetzung der Pflichten |
| Review durchgeführt | definierter Scope, Kriterien, Ergebnis und Reviewer | nachhaltige Wirksamkeit außerhalb des Prüfzeitraums |
| Maßnahme geschlossen | Umsetzung und Abschlussentscheidung | Wirksamkeit ohne Nachprüfung |
| Exit abgeschlossen | Rückgabe, Übergang, Zugriffsentzug und Lösch-/Abschlussbeleg | spätere Restdatenfreiheit ohne angemessene Prüfung |
¶ 4. Nachweiskette und Referenzen
Jede Bewertung wird über kontrollierte IDs verbunden:
Lieferanten-ID → Leistungs-/Vertrags-ID → Kritikalitäts- und Risikoentscheidung → Prüfauftrag → Nachweise und Befunde → Freigabe → Review/Maßnahme → Verlängerung oder Exit
| Referenz | Zweck |
|---|---|
| Lieferanten-ID | externe Partei dauerhaft eindeutig zuordnen |
| Leistungs-/Service-ID | konkreten Scope und interne Abhängigkeit abgrenzen |
| Vertrags-ID | gültige Fassung, Anlagen, Laufzeit und Pflichten referenzieren |
| Risiko-ID | Bewertung, Behandlung und Restrisiko verbinden |
| Bewertungs-ID | Prüfzeitpunkt, Prüftiefe, Kriterien und Entscheidung historisieren |
| Maßnahmen-ID | Befund, Owner, Termin, Nachweis und Wirksamkeitsprüfung steuern |
| Nachweis-ID | kontrollierte Referenz im Nachweisregister führen |
¶ 5. Grundgesamtheit und Stammdaten
| Feld | Mindestinhalt |
|---|---|
| Lieferanten-ID und Name | eindeutige interne Referenz und Vertragspartner |
| Leistung und Zweck | konkrete Produkte, Services und Geschäftsbezug |
| interne Owner | Service-/Prozess-, Vertrags- und Risiko-Owner |
| betroffene Informationen | Klassifizierung, Personen-, Kunden- und Prototypdaten |
| Systeme und Zugriffe | Schnittstellen, privilegierte Rechte, Fern- und Standortzugänge |
| Standorte und Regionen | Leistungserbringung, Speicherung und Supportorte |
| Unterauftragnehmer | Parteien, Leistungsanteile, Orte und Genehmigungsstatus |
| Vertrag | ID, Version, Laufzeit, Kündigung, Verlängerung und Anlagen |
| Kritikalität und Risiko | bestätigter Stand, Begründung und Reviewtermin |
| Exitabhängigkeit | Portabilität, Übergang, Rückgabe, Löschung und Ersatzoption |
Eine Bewertung ist nur belastbar, wenn die Grundgesamtheit der relevanten Lieferanten und Leistungen plausibilisiert wurde.
¶ 6. Kritikalität und Prüftiefe
Die Prüftiefe wird aus mindestens folgenden Merkmalen abgeleitet:
- Schutzbedarf und Klassifizierung der Informationen,
- Kritikalität der unterstützten Geschäftsprozesse und Services,
- Art, Umfang und Privilegierung von Zugriffen,
- Verfügbarkeits-, Wiederanlauf- und Integritätsanforderungen,
- Datenvolumen, Personengruppen und Kundenbezug,
- Austauschbarkeit, Lock-in und Konzentrationsrisiken,
- Lieferkettentiefe, Unterauftragnehmer und Standorte,
- Entwicklungs-, Update- oder Komponentenverantwortung,
- bekannte Vorfälle, Befunde und bisherige Leistung,
- Rechts-, Vertrags-, Kunden- und Assessmentanforderungen.
| Kritikalität | Mindestnachweise im Muster | Status |
|---|---|---|
| Kritisch | vertiefte Due Diligence, Risikoentscheidung, Sicherheitsvertrag, enges Monitoring, Vorfall- und Exit-Test | Nicht freigegeben |
| Hoch | erweiterte Prüfung, Vertrag, regelmäßiger Review und Exitplanung | Nicht freigegeben |
| Mittel | standardisierte Prüfung und risikobasierter Review | Nicht freigegeben |
| Niedrig | dokumentierte Basiseinstufung und Änderungsüberwachung | Nicht freigegeben |
Die Klassen und Prüftiefen sind Musterwerte und keine pauschalen ISO- oder TISAX-Vorgaben.
¶ 7. Prüfauftrag
| Feld | Mindestinhalt |
|---|---|
| Bewertungs-ID | dauerhaft eindeutige Referenz |
| Anlass | Neuauswahl, Verlängerung, Änderung, Vorfall, Audit oder Exit |
| Scope | Lieferant, konkrete Leistung, Standorte, Systeme und Unterauftragnehmer |
| Kriterien | Anforderungen aus Risiko, Vertrag, Kunde, Recht, ISO und ISA |
| Prüftiefe | Basis-, Standard- oder vertiefte Prüfung mit Begründung |
| Rollen | prüfende, beratende und entscheidende Funktionen |
| Quellen | Fragebogen, Vertrag, Zertifikat, Audit, Test und technische Nachweise |
| Zeitraum | Datenstand, Prüfdatum, Gültigkeits- und Nachholfristen |
| Entscheidung | Freigabe, bedingte Freigabe, Ablehnung, Ausnahme oder Exit |
¶ 8. Due-Diligence-Nachweise
Abhängig von Kritikalität und Risiko werden geprüft:
- Sicherheitsorganisation, Rollen und Managementunterstützung,
- Risiko-, Asset-, Personal- und Zugriffskontrollen,
- technische Sicherheit, Schwachstellen- und Patchmanagement,
- sichere Entwicklung, Komponenten- und Updatekette,
- Logging, Monitoring und Vorfallbehandlung,
- Backup, Wiederherstellung, BCM und Krisenkommunikation,
- Datenschutzrollen, Auftragsverarbeitung, Übermittlung und Löschung,
- physische Sicherheit, Standorte und Besuchersteuerung,
- Unterauftragnehmer, Flow-down und Lieferkettentransparenz,
- Exit, Datenexport, Rückgabe, Löschung und Übergangsunterstützung.
Jedes Prüffeld erhält Quelle, Stand, Ergebnis, Einschränkung, Reviewer und gegebenenfalls Maßnahme.
¶ 9. Selbstauskünfte
Eine Selbstauskunft wird nur für den festgelegten Leistungs-Scope bewertet. Dokumentiert werden:
- verwendete Version und Fragengrundlage,
- beantwortende und bestätigende Rolle,
- Datum, Gültigkeit und Änderungsmitteilung,
- Nachweisreferenzen je wesentlichem Prüffeld,
- unbeantwortete, widersprüchliche oder nicht anwendbar erklärte Punkte,
- interne Plausibilisierung und Nachfragen,
- Ergebnis, Befunde, Maßnahmen und Entscheidung.
Unbelegte Ja-Antworten werden nicht als Wirksamkeitsnachweis gewertet.
¶ 10. Zertifikate, TISAX und externe Prüfberichte
| Prüffeld | Leitfrage |
|---|---|
| Authentizität | Ist das Dokument beziehungsweise Ergebnis verifizierbar? |
| Kriterien | Welche Norm, ISA-Version oder Prüfgrundlage wurde verwendet? |
| Organisation | Welche Gesellschaft oder Einheit ist umfasst? |
| Scope | Deckt die Prüfung die konkrete Leistung, Systeme und Standorte ab? |
| Gültigkeit | Ist der Nachweis aktuell und gibt es Überwachungsbedingungen? |
| Einschränkungen | Welche Ausschlüsse, Vorbehalte oder nicht geprüften Bereiche bestehen? |
| Befunde | Welche Abweichungen, Maßnahmen oder Restpunkte sind relevant? |
| Nutzungsrecht | Darf der Bericht eingesehen, gespeichert oder weitergegeben werden? |
Eine ISO-27001-Zertifizierung oder ein TISAX-Ergebnis wird nicht automatisch auf andere Gesellschaften, Standorte, Produkte, Mandanten oder Unterauftragnehmer übertragen.
¶ 11. Risikobewertung und Auswahlentscheidung
Die Bewertung wird mit dem Risikoregister verbunden. Die Entscheidung enthält mindestens:
- bestätigten Leistungs- und Informations-Scope,
- Kritikalität, Bedrohungen, Schwachstellen und Abhängigkeiten,
- vorhandene Kontrollen und belegte Einschränkungen,
- wesentliche offene Befunde und Maßnahmen,
- Alternativen, Konzentration und Exitfähigkeit,
- Restrisiko und befugte entscheidende Rolle,
- Freigabebedingungen, Termin und erwartete Nachweise.
Mögliche Entscheidungen sind „freigegeben“, „bedingt freigegeben“, „abgelehnt“, „Ausnahme erforderlich“ oder „weitere Prüfung erforderlich“. Im Musterregister wird keine positive Entscheidung vorgegeben.
¶ 12. Vertrags- und Anforderungsnachweis
Die kontrollierte Vertragsreferenz weist mindestens aus:
- Parteien, Leistung, Scope und Verantwortungsgrenzen,
- Sicherheits-, Datenschutz-, Kunden- und Flow-down-Anforderungen,
- Zugriffs-, Vertraulichkeits- und Personalanforderungen,
- Schwachstellen-, Update-, Änderungs- und Supportpflichten,
- Vorfall-, Melde-, Mitwirkungs- und Eskalationswege,
- Prüf-, Auskunfts- und Nachweisrechte,
- Verfügbarkeits-, Wiederanlauf- und Notfallpflichten,
- Unterauftragnehmer- und Standortregelungen,
- Rückgabe, Portabilität, Löschung, Übergang und Exit-Unterstützung,
- Laufzeit, Kündigung, Nachwirkung und Rangfolge der Anlagen.
Die Wiki-Seite enthält keine vertraulichen Vertragsinhalte, sondern nur kontrollierte Metadaten und Ablagereferenzen.
¶ 13. Onboarding und Betriebsfreigabe
Vor Leistungsbeginn werden nachgewiesen:
- bestätigter Vertrag und alle erforderlichen Anlagen,
- benannte interne und externe Kontakte samt Vertretung,
- freigegebene Systeme, Schnittstellen, Daten und Standorte,
- genehmigte, minimale und befristete Zugriffe,
- getestete Melde-, Support- und Eskalationswege,
- vereinbarte Leistungs-, Sicherheits- und Berichtsdaten,
- offene Bedingungen mit Owner und Termin,
- dokumentierte Betriebsfreigabe durch befugte Rollen.
Ein technisch eingerichteter Zugang ersetzt keine Betriebsfreigabe.
¶ 14. Laufende Leistungs- und Sicherheitsbewertung
| Prüffeld | möglicher Nachweis | Aussagegrenze |
|---|---|---|
| SLA/Leistung | Messbericht, Tickets, Verfügbarkeit und Abweichungen | Durchschnittswerte können kritische Einzelfälle verdecken |
| Sicherheitskennzahlen | Befunde, Patches, Vorfälle, Reaktionszeiten | Datenquelle und Scope bestätigen |
| Zugriffe | Kontenbestand, Genehmigung, Review und Entzug | bloße Liste ist keine Rezertifizierung |
| Änderungen | Meldung, Auswirkung, Risiko, Freigabe und Test | nicht gemeldete Änderungen bleiben möglich |
| Nachweise | aktuelle Zertifikate, Berichte und Atteste | Relevanz für konkrete Leistung prüfen |
| Maßnahmen | Fortschritt, Umsetzungsbeleg und Nachprüfung | geschlossenes Ticket ist nicht automatisch wirksam |
| BCM/Exit | Testbericht, Recovery-/Export-/Übergangsnachweis | Testscope und Abhängigkeiten offenlegen |
¶ 15. Änderungen und Unterauftragnehmer
Wesentliche Änderungen werden vor Umsetzung oder unverzüglich nach Bekanntwerden bewertet. Dazu zählen:
- neue oder geänderte Unterauftragnehmer,
- Leistungs-, Produkt-, Architektur- oder Plattformwechsel,
- neue Standorte, Regionen oder Datenübermittlungen,
- Eigentümer-, Gesellschafts- oder Kontrollwechsel,
- veränderte Zugriffe, Schnittstellen oder Administrationsmodelle,
- Supportende, End-of-Life oder wesentliche Schwachstellen,
- Änderungen von Zertifikaten, TISAX-Scope oder Prüfstatus.
Der Nachweis verbindet Änderungsmitteilung, Auswirkungsprüfung, Risikoentscheidung, Vertragsbedarf und Freigabe.
¶ 16. Sicherheitsvorfälle und Schwachstellen
Lieferantenbezogene Vorfälle und Schwachstellen werden mit folgenden Nachweisen verbunden:
- Kenntnis- und Meldezeitpunkt,
- betroffene Leistung, Daten, Systeme, Standorte und Kunden,
- interne und externe Incident-IDs,
- Eindämmung, technische Behandlung und Kommunikationsentscheidungen,
- vertragliche, datenschutzrechtliche, NIS2- und Kundenbewertung,
- Ursachenanalyse, Maßnahmen und Lessons Learned,
- technische oder organisatorische Nachprüfung.
Die führende Vorfallbehandlung verbleibt unter Incident Response; Patchbelege werden unter Patch- und Schwachstellennachweise geführt.
¶ 17. Cloud- und geteilte Verantwortung
Bei Cloud- und Managed Services werden zusätzlich dokumentiert:
- Verantwortungsmatrix für Provider, Organisation und weitere Parteien,
- Mandant, Service, Tarif, Region und aktivierte Funktionen,
- eigene Konfigurations-, Identitäts-, Logging- und Backupverantwortung,
- Portabilität, Exportformate, Schlüssel und technische Abhängigkeiten,
- Provideränderungen und Unterauftragnehmer,
- verfügbare Assurance-Berichte und deren Scope,
- verbleibende Eigenprüfungen und technische Kontrollen.
Ein Providerbericht bestätigt nicht automatisch die sichere Konfiguration des eigenen Mandanten.
¶ 18. Review, Verlängerung und Folgeentscheidung
Der Review dokumentiert:
- bestätigten Lieferanten-, Leistungs- und Vertrags-Scope,
- Aktualität von Kritikalität und Risiko,
- Leistungs-, Sicherheits- und Vorfallentwicklung,
- Gültigkeit und Relevanz externer Nachweise,
- offene, überfällige und wiederkehrende Befunde,
- Änderungen an Unterauftragnehmern, Standorten und Abhängigkeiten,
- Exit- und Notfallfähigkeit,
- Entscheidung über Fortführung, Bedingungen, Eskalation oder Exit.
Eine automatische Vertragsverlängerung ersetzt keine risikobasierte Folgeentscheidung.
¶ 19. Exit- und Abschlussnachweise
| Nachweis | Mindestinhalt |
|---|---|
| Exitentscheidung | Anlass, Scope, Rolle, Termin und Übergangsrisiken |
| Übergabe/Portabilität | Daten, Formate, Konfiguration, Wissen und Abnahme |
| Zugriffsentzug | Konten, Schlüssel, Zertifikate, Geräte und Fernzugänge |
| Rückgabe | Informationen, Datenträger, Geräte, Ausweise und Prototypen |
| Löschung | Scope, Methode, Zeitpunkt, Bestätigung und Ausnahmen |
| Unterauftragnehmer | Weitergabe von Exit- und Löschpflichten |
| Restpflichten | Vertraulichkeit, Aufbewahrung, Vorfälle und Unterstützung |
| Abschlussprüfung | offene Punkte, Restrisiko, Owner und Freigabe |
Eine Lieferantenbestätigung wird abhängig vom Risiko durch eigene Plausibilisierung, Stichprobe oder technische Prüfung ergänzt.
¶ 20. Befunde, Maßnahmen und Ausnahmen
Jeder Befund enthält:
- Bewertungs-, Lieferanten-, Leistungs- und Anforderungsbezug,
- beobachteten Ist-Zustand und erwartetes Kriterium,
- Auswirkung, Priorität und Risiko,
- Maßnahme, Owner, Termin und Eskalation,
- erwarteten Umsetzungs- und Wirksamkeitsnachweis,
- Nachprüfung, Ergebnis und Abschlussentscheidung.
Maßnahmen werden im Maßnahmen- und Umsetzungsregister gesteuert. Ausnahmen werden befristet unter Ausnahmen und Risikoakzeptanzen entschieden.
¶ 21. Nachweispaket
| Nachweis | Mindestinhalt | Schutz |
|---|---|---|
| Stammdatensatz | Lieferant, Leistung, Owner, Vertrag, Standorte und Unterauftragnehmer | Vertraulich |
| Kritikalitätsbewertung | Kriterien, Ergebnis, Prüftiefe, Rolle und Datum | Vertraulich |
| Due-Diligence-Akte | Auftrag, Quellen, Prüfungen, Befunde und Entscheidung | Streng vertraulich |
| Vertragsreferenz | Version, Anlagen, Gültigkeit und kontrollierte Ablage | Streng vertraulich |
| Betriebsfreigabe | Voraussetzungen, Zugriffe, Kontakte, Bedingungen und Freigabe | Vertraulich |
| Reviewbericht | Scope, Leistung, Sicherheit, Änderungen, Maßnahmen und Folgeentscheidung | Vertraulich |
| Vorfall-/Änderungsakte | Ereignis, Auswirkung, Entscheidung und Nachverfolgung | Streng vertraulich |
| Exitakte | Übergang, Rückgabe, Entzug, Löschung und Abschluss | Streng vertraulich |
¶ 22. Musterregister ohne positive Nachweisbehauptung
| Bewertungs-ID | Lieferantenklasse | Leistung | Kritikalität | Due Diligence | Vertrag | Review | Entscheidung | Status |
|---|---|---|---|---|---|---|---|---|
| SUP-REV-2026-001 | Cloud-/SaaS-Anbieter | zentrale Fachanwendung | Nicht bestätigt | Nicht durchgeführt | Nicht geprüft | Nicht geplant | Offen | Benötigt |
| SUP-REV-2026-002 | IT-Dienstleister | Administration und Support | Nicht bestätigt | Nicht durchgeführt | Nicht geprüft | Nicht geplant | Offen | Benötigt |
| SUP-REV-2026-003 | Softwarelieferant | Anwendung und Updates | Nicht bestätigt | Nicht durchgeführt | Nicht geprüft | Nicht geplant | Offen | Benötigt |
| SUP-REV-2026-004 | OT-/Wartungsdienstleister | Produktionsunterstützung | Nicht bestätigt | Nicht durchgeführt | Nicht geprüft | Nicht geplant | Offen | Benötigt |
| SUP-REV-2026-005 | Logistik-/Facility-Dienstleister | Standortleistung | Nicht bestätigt | Nicht durchgeführt | Nicht geprüft | Nicht geplant | Offen | Benötigt |
Die Einträge sind offene Musterbedarfe und keine realen Lieferanten- oder Vertragsdaten.
¶ 23. Kennzahlen und Aussagegrenzen
| Kennzahl | Berechnung | Aussagegrenze |
|---|---|---|
| klassifizierte Lieferanten | bestätigte Kritikalität / relevante Lieferanten | Grundgesamtheit muss vollständig sein |
| aktuelle Risikobewertungen | gültig bewertete / fällige kritische und hohe Lieferanten | Bewertungsqualität getrennt prüfen |
| Due-Diligence-Abdeckung | abgeschlossene Prüfungen / erforderliche Prüfungen | Prüftiefe und offene Befunde ausweisen |
| Vertragsabdeckung | Verträge mit bestätigten Sicherheitsanforderungen / relevante Verträge | Klauselqualität nicht aus Quote ableiten |
| fristgerechte Reviews | rechtzeitig abgeschlossene / fällige Reviews | formaler Abschluss ist kein Wirksamkeitsbeleg |
| offene Maßnahmen | Befunde nach Priorität, Alter und Überfälligkeit | kritische Einzelfälle sichtbar halten |
| getestete Exitfähigkeit | geeignete Tests / fällige kritische Leistungen | Testscope und Ergebnisqualität angeben |
| Vorfalltrend | Ereignisse nach Lieferant, Ursache und Auswirkung | Meldequalität und Dunkelziffer beachten |
¶ 24. Rollen und Funktionstrennung
| Rolle | Aufgabe |
|---|---|
| Einkauf | Grundgesamtheit, Auswahlprozess und Lieferantenakte koordinieren |
| Service-/Prozess-Owner | Leistung, Kritikalität, Risiko, Review und Folgeentscheidung verantworten |
| Vertrags-Owner | Fassung, Anlagen, Fristen, Nachträge und Nachwirkungen steuern |
| ISMS/Informationssicherheit | Sicherheitsprüfung, Befunde und Nachweise fachlich bewerten |
| IT/OT/Entwicklung | Architektur, Zugriffe, Komponenten, Betrieb und technische Tests prüfen |
| Datenschutz/Compliance | Rollen, Verarbeitung, Übermittlung, Rechts- und Vertragsanforderungen prüfen |
| BCM | Abhängigkeit, Notbetrieb, Wiederanlauf und Exitfähigkeit bewerten |
| Risiko-Owner | Restrisiko und Ausnahmen im eigenen Befugnisrahmen entscheiden |
| Audit/QM | Vollständigkeit, Nachvollziehbarkeit und Wirksamkeitsaussagen unabhängig prüfen |
Bei kritischen Leistungen werden prüfende und entscheidende Rollen angemessen getrennt.
¶ 25. Audit- und Assessmentprüfung
Vor Bereitstellung wird geprüft:
- Ist die Grundgesamtheit relevanter Lieferanten und Leistungen vollständig?
- Sind interne Owner, Verträge, Standorte und Unterauftragnehmer eindeutig?
- Bestimmt eine bestätigte Kritikalität die Prüftiefe?
- Sind Selbstauskünfte und externe Nachweise plausibilisiert?
- Passt der Zertifikats- oder TISAX-Scope zur konkreten Leistung?
- Sind offene Befunde, Bedingungen und Restrisiken sichtbar?
- Werden Leistung, Sicherheit, Änderungen und Vorfälle regelmäßig bewertet?
- Sind Maßnahmen umgesetzt und unabhängig nachgeprüft?
- Sind Exit, Zugriffsentzug, Rückgabe und Löschung praktisch vorbereitet?
- Sind Originale geschützt und nur kontrolliert referenziert?
¶ 26. Aktueller Entwurfsstatus
| Prüffrage | Status |
|---|---|
| Ist der reale Lieferanten- und Leistungsbestand vollständig bestätigt? | Nein |
| Sind Service-, Vertrags- und Risiko-Owner benannt? | Nein |
| Sind Kritikalität und Prüftiefe freigegeben? | Nein |
| Sind reale Due-Diligence-Akten referenziert? | Nein |
| Wurden Verträge und Nachweise auf konkreten Scope geprüft? | Nein |
| Sind regelmäßige Reviews und Maßnahmen nachgewiesen? | Nein |
| Wurde die Exitfähigkeit kritischer Leistungen getestet? | Nein |
| Wurde die Nachweisstruktur intern auditiert? | Nein |
Der Musterbestand erlaubt keine positive Aussage zur Sicherheitsleistung realer Lieferanten.
¶ 27. Mitgeltende Seiten
| Thema | Führende Seite |
|---|---|
| Lieferantenverfahren und Lebenszyklus | Lieferanten und Dienstleister |
| Informationsklassifizierung | Informationsklassifizierung |
| Risiken und Behandlung | Risikoregister und Risikobehandlungsplan |
| Verträge und Anforderungen | Rechts- und Vertragskataster |
| Cloud und mobile Nutzung | Mobile Arbeit und Cloud |
| Zugriffe | Zugriff und Berechtigungen und Berechtigungsreviews |
| Schwachstellen und Patches | Patch- und Schwachstellennachweise |
| Vorfälle | Incident Response |
| Nachweisbestand | Nachweisregister |
| Maßnahmen und Abweichungen | Maßnahmen- und Umsetzungsregister |
| Datenschutzkontrollen und Exit | Lieferantenkontrollen und Exit |
¶ 28. Weiterführende Informationen von SMCT MANAGEMENT
SMCT MANAGEMENT
Unterstützung bei ISO 27001, TISAX, Lieferantensteuerung, Risikomanagement und belastbarer Nachweisführung
Unterstützung bei ISO 27001, TISAX, Lieferantensteuerung, Risikomanagement und belastbarer Nachweisführung
- ISO-27001-Beratung und Auditvorbereitung
- SMCT MANAGEMENT – Managementberatung mit System
- Erstgespräch unter info@smct-management.de vereinbaren
¶ 29. Offene Punkte vor Freigabe
- realen Lieferanten-, Leistungs-, Vertrags- und Unterauftragnehmerbestand bestätigen,
- Kritikalitätskriterien, Prüftiefen und Befugnisse freigeben,
- Due-Diligence-Fragebogen und Nachweisanforderungen festlegen,
- Vertrags-, Datenschutz-, Kunden- und Flow-down-Prüfung operationalisieren,
- Onboarding-, Zugriffs- und Betriebsfreigaben verbinden,
- Reviewkalender, Kennzahlen und Eskalationsschwellen festlegen,
- Änderungs-, Vorfall- und Maßnahmenprozesse praktisch testen,
- Exit-, Portabilitäts-, Rückgabe- und Löschverfahren für kritische Leistungen testen,
- geschützte Ablage und kontrollierte Registerreferenzen einrichten,
- fachliche Prüfung und formale Freigabe dokumentieren.
¶ 30. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.2 | 08.08.2026 | Datenschutzbezogene Lieferantenkontrollen und Exit als Schnittstelle verknüpft | Einkauf / Service Owner / ISMS | Ausstehend | – |
| 0.1 | 08.08.2026 | Erste Fassung für Bestand, Kritikalität, Due Diligence, externe Nachweise, Vertrag, Betrieb, Review, Maßnahmen und Exit | Einkauf / Service Owner / ISMS | Ausstehend | – |
¶ 31. Quellen und fachliche Grundlagen
- ISO – ISO/IEC 27001 Information security management systems
- ISO – ISO/IEC 27036-1 Supplier relationships: Overview and concepts
- ISO – ISO/IEC 27036-3 Supply chain security guidelines
- BSI – IT-Grundschutz: OPS.3.1 Outsourcing für Dienstleister
- ENX – TISAX Downloads und ISA
- SMCT MANAGEMENT – ISO-27001-Beratung
Vor der betrieblichen Nutzung sind die tatsächlich anwendbaren Norm-, ISA-, Rechts-, Vertrags-, Kunden- und Lieferkettenanforderungen sowie der reale Scope und die Befugnisse zu bestätigen. Lizenzierte Norm- und ISA-Texte bleiben die führenden Quellen und werden nicht in dieser Wiki-Seite reproduziert.