Risikobewertung von Drittparteien und Lieferanten
Ihre Lieferanten halten Ihre Daten, führen Ihre Prozesse aus und tragen Ihre Verfügbarkeit. Ein ausgefüllter Fragebogen sagt Ihnen, was sie zu behaupten bereit sind. Wir sagen Ihnen, was sie belegen können.
Leistungsüberblick
Die Bewertung von Drittparteien ist der Punkt, an dem die meisten Kontrollumgebungen still versagen. Die Organisation ist zertifiziert, die Richtlinien sind aktuell, das interne Audit ist sauber, und dann verliert ein Lohnabrechnungsdienstleister mit einem ungepatchten Dateitransferserver alles.
ZULTIV bewertet Ihre Lieferanten so, wie ein Auditor Sie bewerten würde: gegen ein festgelegtes Kriterium, auf Nachweisbasis, mit einer eingestuften Feststellung für jede Lücke. Am Ende wissen Sie, welche Lieferanten die vertraglich zugesagten Maßnahmen tatsächlich tragen, bei welchen zur Verlängerung Nachbesserungsklauseln aufzunehmen sind und welche ein Risiko darstellen, das Sie jetzt eskalieren sollten.
Was bewertet wird
- Governance und Verantwortlichkeit: wer beim Lieferanten die Sicherheit verantwortet und ob diese Person überhaupt Befugnisse hat
- Zertifizierungen und Bescheinigungen: Geltungsbereichserklärungen richtig gelesen, nicht nur Zertifikatslogos gesammelt
- Umgang mit Daten: was sie halten, wo die Daten liegen, wer darauf zugreifen kann und wie lange sie bestehen
- Zugangssteuerung: Eintritt, Wechsel und Austritt, privilegierte Zugänge sowie die eigene Remote-Belegschaft
- Technische Maßnahmen: Patch-Rhythmus, Verschlüsselung bei der Übertragung und im Ruhezustand, Protokollierung und Überwachung
- Reaktion auf Vorfälle, die Meldefristen im Vertrag gegenüber denen im eigenen Ablaufplan
- Betriebskontinuität, ihre Wiederanlaufziele gegenüber Ihrer Toleranz für ihren Ausfall
- Viertparteien: wovon Ihr Lieferant abhängt, denn dessen Konzentrationsrisiko ist nun Ihres
- Vertragliche Position: Auditrechte, Sicherheitsanlagen, Auftragsverarbeitungsbedingungen und Ausstiegsregelungen
Geltungsbereich
Der Geltungsbereich wird schriftlich festgelegt, bevor irgendetwas beginnt, denn „bewerten Sie unsere Lieferanten“ bedeutet sehr unterschiedlichen Aufwand, je nach Antwort auf drei Fragen: wie viele, wie tief und welche Nachweise Sie überhaupt verlangen dürfen.
Stufenprüfung
Der gesamte Lieferantenbestand, klassifiziert nach Kritikalität und Datenexposition, damit der Aufwand dort landet, wo das Risiko liegt. Meist der richtige erste Auftrag.
Standardbewertung
Nachweisbasierte Prüfung eines festgelegten Lieferanten gegen ein vereinbartes Kriterium, mit eingestuftem Feststellungsregister und einer Position zur Nachbesserung.
Tiefenbewertung
Für kritische Lieferanten: Interviews, Durchsprache der Maßnahmen, Stichproben und, soweit Ihr Vertrag es zulässt, eine Prüfung vor Ort oder an den laufenden Systemen.
Vorgehen
01: Klassifizieren
Wir erfassen die Lieferanten im Geltungsbereich und stufen sie nach Datensensibilität, geschäftlicher Kritikalität und Ersetzbarkeit ein. Nicht jeder Lieferant verdient dieselbe Tiefe.
02: Kriterium festlegen
Wir vereinbaren, wogegen jede Stufe bewertet wird: Ihr eigener Maßnahmenkatalog, ISO/IEC 27001 Anhang A, NIST CSF oder die Erwartungen einer Aufsichtsbehörde. Die Messlatte wird zuerst schriftlich festgehalten.
03: Nachweise erheben
Fragebogen, dann Verifizierung: Zertifikate und ihre Geltungsbereichserklärungen, SOC-2-Berichte und ihre Ausnahmen, Richtlinien, Tickets, Konfigurationsauszüge, Interviews.
04: Behauptungen prüfen
Wo eine Maßnahme behauptet wird, ziehen wir Stichproben. Ein angegebenes Patch-SLA von 30 Tagen wird an tatsächlichen Patch-Aufzeichnungen geprüft und nicht akzeptiert, weil ein Kästchen angekreuzt wurde.
05: Einstufen und berichten
Jede Lücke wird so geschrieben, dass Anforderung, Nachweis und Abweichung getrennt bleiben, und dann nach dem Restrisiko für Sie eingestuft, nicht danach, wie unangenehm es ist, sie anzusprechen.
06: Nachbessern und nachprüfen
Sie erhalten je Lieferant eine Position zur Nachbesserung: akzeptieren, bis zu einem Termin nachbessern, zur Verlängerung eine Vertragsklausel aufnehmen oder ersetzen. Wir prüfen erneut, sobald Sie so weit sind.
Wichtige Ergebnisse
Lieferantenrisikoregister
Jeder bewertete Lieferant mit Stufe, Kriterium, Restrisikoeinstufung und verantwortlicher Person: ein lebendes Dokument, kein einmaliges PDF.
Bewertungsbericht je Lieferant
Geltungsbereich, Methode, geprüfte Nachweise und jede eingestufte Feststellung, in einer Form, die Sie ohne Umschreiben an den Lieferanten senden können.
Nachbesserungs- und Vertragsmaßnahmen
Was jeder Lieferant bis wann beheben muss und welche Lücken sich besser über den Vertrag bei der nächsten Verlängerung schließen lassen.
Managementzusammenfassung
Zwei Seiten für Ihren Vorstand oder Risikoausschuss: Konzentrationsrisiko, die Lieferanten, die eine Entscheidung brauchen, und was sich seit dem letzten Mal geändert hat.
Für wen das gedacht ist
- Nach ISO/IEC 27001 zertifizierte Organisationen, die Lieferantenmaßnahmen nach Anhang A 5.19 bis 5.22 nachweisen müssen
- Unternehmen, deren eigene Kunden ihnen inzwischen jedes Quartal einen Sicherheitsfragebogen für Lieferanten schicken
- Regulierte Branchen: Banken, Versicherungen und Finanzdienstleister, Gesundheitswesen sowie alle, die personenbezogene Daten nach dem DPDP Act als Verantwortliche verarbeiten
- Teams, die Entwicklung, Support oder Infrastruktur auslagern und nie geprüft haben, was diese Partner tatsächlich tun
- Alle, die gerade einen Lieferantenvorfall hinter sich haben und keinen zweiten wollen
Normen und Rahmenwerke, gegen die wir bewerten
Das Kriterium richtet sich nach Ihren Pflichten, nicht nach unserer Bequemlichkeit. Üblich sind:
- ISO/IEC 27001:2022Anhang A 5.19 bis 5.23, Lieferantenmaßnahmen
- ISO/IEC 27036Sicherheit in Lieferantenbeziehungen
- SOC 2Trust Services Criteria & Ausnahmen im Bericht
- NIST CSF 2.0Govern & Risikomanagement der Lieferkette
- HIPAAPflichten von Business Associates
- DPDP Act, 2023Pflichten bei der Beauftragung von Verarbeitern
- DSGVOAnforderungen an Auftragsverarbeiter nach Artikel 28
Häufige Fragen
Das ist ein gutes Signal, aber keine Antwort. Entscheidend ist, was die Geltungsbereichserklärung des Zertifikats abdeckt: Ein Lieferant kann durchaus für einen Geschäftsbereich, einen Standort oder eine Produktlinie zertifiziert sein, die mit der von Ihnen eingekauften Leistung nichts zu tun hat. Diese Erklärung sauber zu lesen, gehört zum Ersten, was wir tun.
Das ist selbst eine Feststellung, und wir berichten sie als solche. In der Praxis liegt der Hebel im Vertrag: Auditrechte und Sicherheitsanlagen, die bei Unterzeichnung vereinbart wurden, sind weit mehr wert als Anfragen im Nachhinein. Wo diese Rechte fehlen, sagen wir Ihnen, was zur Verlängerung aufzunehmen ist.
Nicht alle. Stufen Sie den Bestand zuerst ein, bewerten Sie dann die kritische Stufe sauber und behandeln Sie den Rest mit einem leichteren, nachweisgeprüften Fragebogen. Gleicher Aufwand über zweihundert Lieferanten verteilt bewertet keinen davon gut.
Nur wenn Sie es wünschen, und immer mit Ihrer Einführung. Manche Kunden möchten, dass wir vollständig über ihr Lieferantenmanagement arbeiten; andere stellen fest, dass ein unabhängiger Bewerter härtere Fragen stellt und geradere Antworten bekommt. Beides funktioniert.
Kritische Lieferanten jährlich und sofort bei einer wesentlichen Änderung: einer Übernahme, einer Verletzung des Schutzes personenbezogener Daten, dem Wechsel zu einem neuen Unterauftragsverarbeiter oder einer Änderung der gehaltenen Daten. Niedrigere Stufen können in einem längeren Zyklus laufen.
Bewertung anfragen
Sprechen wir über Ihren Bedarf
Sagen Sie uns ungefähr, wie viele Lieferanten im Spiel sind und woran sie rühren. Wir melden uns mit Geltungsbereich, Methode und einer Zahl zurück, nicht mit einer Broschüre.