ISO 27001 Lieferantenmanagement: Lieferantenrisiken identifizieren, bewerten und kontrollieren

Lieferanten fallen in den Geltungsbereich Ihrer ISO 27001-Norm, wenn sie auf Ihre Informationen zugreifen, diese verarbeiten, speichern, übermitteln oder deren Verfügbarkeit beeinflussen können. Dies umfasst SaaS-Anbieter, Cloud-Plattformen, Lohnabrechnungsdienstleister, Auftragnehmer, Managed-Service-Provider und alle Lieferanten, die mit kritischen Geschäftssystemen verbunden sind.

ISO/IEC 27001:2022 behandelt das Lieferantenrisiko durch die Kontrollen 5.19 bis 5.23 in Anhang A. Diese Kontrollen helfen Organisationen dabei, Sicherheitsanforderungen an Lieferanten zu definieren, diese in Verträge aufzunehmen, Risiken in der ICT-Lieferkette zu managen, Lieferantendienstleistungen zu überwachen und Cloud-Dienste zu steuern.

Ziel ist es, Lieferantenrisiken sichtbar und nachvollziehbar zu machen. Sie sollten aufzeigen können, welche Lieferanten relevant sind, auf welche Daten sie Zugriff haben, wie sie bewertet wurden, welche Sicherheitsbestimmungen gelten, wer die Geschäftsbeziehung führt und wie ihr Risiko im Laufe der Zeit überprüft wird.

Was versteht man unter Lieferantenmanagement in ISO 27001?

Gemäß ISO 27001 umfasst das Lieferantenmanagement die Identifizierung, Bewertung und Kontrolle von Informationssicherheitsrisiken im Zusammenhang mit Drittanbietern. Zu diesen Anbietern zählen beispielsweise Lieferanten, Dienstleister, Auftragnehmer, Cloud-Plattformen und SaaS-Tools, die auf die Systeme oder Daten Ihres Unternehmens zugreifen, diese verarbeiten oder beeinflussen können.

Das Lieferantenmanagement in ISO 27001 stellt sicher, dass ein Unternehmen die Beziehungen zu seinen Lieferanten durch dokumentierte Kontrollen, Risikobewertungen und vertragliche Sicherheitsverpflichtungen steuert, wie in Anhang A, Kontrollen 5.19 bis 5.23 der ISO/IEC 27001:2022, beschrieben.

Die Norm beschreibt dies in Anhang A, der die Kontrollen für Lieferantenbeziehungen regelt und festlegt, wie Unternehmen ihre Beziehungen zu Lieferanten gestalten können. Als Unternehmen sind Sie verpflichtet, Ihre Lieferanten aufzulisten, deren Dienstleistungen zu definieren, zu dokumentieren, auf welche Daten oder Systeme sie zugreifen dürfen, und zu bestätigen, dass sie die Regeln Ihrer Informationssicherheitsrichtlinie einhalten.

Der hier erwartete Lieferantenbestand überschneidet sich ebenfalls mit ISO 27001 Anhang A.8 Anlagenmanagement Anforderungen, da vom Anbieter bereitgestellte Assets, die auf Ihre Daten zugreifen, unter beiden Kontrollfamilien verfolgt werden müssen, um Lücken im Prüfprotokoll zu vermeiden.

Was Auditoren gemäß ISO 27001 Lieferantenmanagement prüfen

Das Lieferantenmanagement unterliegt sowohl internen als auch externen Audits gemäß der Norm ISO 27001. Die Auditoren überprüfen Ihre Umsetzung der Kontrollmaßnahmen für die Lieferantenbeziehungen in Anhang A (in der Version 2022 den Kontrollmaßnahmen 5.19–5.23 in Anhang A zugeordnet).

Die Prüfungen erfolgen üblicherweise:

• Identifiziert und dokumentiert Drittanbieter
• Verfolgt, auf welche Daten, Systeme oder Infrastrukturanbieter zugreifen können.
• Bewertet und kontrolliert die mit diesen Beziehungen verbundenen Risiken.

Wem obliegt das Lieferantenmanagement nach ISO 27001?

Das Lieferantenmanagement sollte sich nicht auf Sicherheit oder Beschaffung beschränken. Das Lieferantenrisikomanagement nach ISO 27001 betrifft in der Regel die Bereiche Sicherheit, GRC, Recht, Beschaffung, IT, Finanzen und das Geschäftsteam, das den Lieferanten nutzt.

Ein praktisches Eigentumsmodell sieht folgendermaßen aus:

• Sicherheit oder GRC definiert die Bewertungskriterien, prüft Sicherheitsnachweise, verfolgt Risiken und führt Prüfprotokolle.
• Einkauf & Beschaffung Verwaltet die Lieferantenaufnahme, Verlängerungsdaten, Geschäftsbedingungen und Lieferantenstammdaten.
• Rechtliches Prüft Sicherheitsklauseln, Datenschutzbestimmungen, Meldepflichten bei Datenschutzverletzungen, Prüfungsrechte und die Formulierungen von Unterauftragnehmern.
• IT oder Ingenieurwesen Genehmigt den technischen Zugriff, richtet Benutzerkonten ein, prüft Integrationen und entfernt den Zugriff beim Ausscheiden aus dem Unternehmen.
• Der Geschäftsinhaber erläutert, warum der Lieferant benötigt wird, bestätigt die geschäftlichen Auswirkungen eines Ausfalls des Lieferanten und akzeptiert oder eskaliert das Restrisiko.

Bei Hochrisiko-Lieferanten sollten sowohl ein Geschäftsverantwortlicher als auch ein Sicherheitsverantwortlicher benannt werden. Verweigert ein Lieferant die Vorlage von Nachweisen, die Akzeptanz von Sicherheitsklauseln oder die Erfüllung von Mindestanforderungen, ist die Entscheidung dem zuständigen Risikoverantwortlichen oder dem zuständigen Gremium zur Kenntnis zu bringen. Die Entscheidung, das akzeptierte Risiko und etwaige Ausgleichsmaßnahmen sind zu dokumentieren.

Lieferantenbeziehungsmanagement nach ISO 27001 gemäß Anhang A

ISO/IEC 27001:2022 regelt die Lieferantensicherheit durch die Kontrollen 5.19 bis 5.23 in Anhang A. Diese Kontrollen kommen zur Anwendung, wenn Lieferanten die Vertraulichkeit, Integrität oder Verfügbarkeit Ihrer Informationen beeinträchtigen können.

Sie sind besonders wichtig für Anbieter, die sensible Daten verarbeiten, kritische Systeme unterstützen, Cloud- oder Infrastrukturdienste bereitstellen, auf Produktionsumgebungen zugreifen oder Geschäftsprozesse unterstützen, auf die Kunden angewiesen sind.

5.19 – Informationssicherheit in Lieferantenbeziehungen

Diese Kontrollmaßnahme verpflichtet Organisationen, festzulegen, wie sie mit lieferantenbezogenen Informationssicherheitsrisiken umgehen. In der Praxis bedeutet dies, ein Lieferantenverzeichnis zu führen, Lieferanten nach Risiko zu klassifizieren und zu dokumentieren, welche Daten, Systeme, Dienstleistungen oder Geschäftsprozesse von jedem Lieferanten betroffen sein können.

Ein Lohnabrechnungsdienstleister, ein Cloud-Hosting-Anbieter, ein Quellcode-Scanning-Tool und ein Büroartikelhändler sollten nicht denselben Bewertungsmaßstab erhalten. Der Umfang der Bewertung sollte dem Zugriff des Anbieters, der geschäftlichen Kritikalität, den Auswirkungen auf die Compliance und den potenziellen Folgen für Kunden entsprechen.

5.20 – Informationssicherheit in Lieferantenverträgen

Lieferantenverträge sollten Sicherheitsanforderungen enthalten, bevor Lieferanten Zugriff auf Systeme oder Daten erhalten. Diese Anforderungen können Verschlüsselung, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Fristen für die Meldung von Datenschutzverletzungen, Nutzung durch Subunternehmer, Prüfrechte, Datenaufbewahrung, Datenlöschung und Rückgabe von Anlagen umfassen.

Dies bietet den Abteilungen für Sicherheit, Recht, Beschaffung und Geschäftsentwicklung eine gemeinsame Grundlage, um Lieferanten zur Rechenschaft zu ziehen. Zudem erhalten Prüfer den Nachweis, dass die Erwartungen der Lieferanten dokumentiert und nicht informell gehandhabt werden.

5.21 – Management der Informationssicherheit in der IKT-Lieferkette

Diese Kontrollmaßnahme greift, wenn Technologieanbieter, Cloud-Plattformen, Softwareanbieter, Infrastrukturpartner oder Unterauftragnehmer Ihre Informationssicherheit beeinträchtigen können. Sie zwingt Unternehmen dazu, über die direkte Lieferantenbeziehung hinauszublicken und wichtige Abhängigkeiten in der Lieferkette zu verstehen.

Wenn ein SaaS-Anbieter beispielsweise auf einen Cloud-Anbieter oder Subunternehmer zur Verarbeitung von Kundendaten angewiesen ist, sollte diese Abhängigkeit bei der Anbieterprüfung offengelegt werden. Bei kritischen Lieferanten ist zudem das Konzentrationsrisiko zu prüfen. Sind viele Anbieter vom selben Cloud-Anbieter, derselben Region oder demselben Infrastrukturpartner abhängig, kann ein Ausfall eines Viertanbieters die Geschäftskontinuität gefährden.

5.22 – Überwachung, Überprüfung und Änderungsmanagement von Lieferantenleistungen

Das Lieferantenrisiko endet nicht mit der Aufnahme in das System. ISO 27001 erwartet von Organisationen, dass sie regelmäßig überprüfen, ob Lieferanten die vereinbarten Sicherheitsanforderungen weiterhin erfüllen.

Dies kann die Überprüfung aktualisierter SOC-2-Berichte, ISO-27001-Zertifikate, Zusammenfassungen von Penetrationstests, Vorfallhistorie, SLA-Performance, Zugriffsprotokolle und Änderungen des Leistungsumfangs umfassen. Eine erneute Bewertung ist besonders wichtig, wenn ein Anbieter die Hosting-Regionen wechselt, Subprozessoren hinzufügt, den Zugriff erweitert, die Eigentumsverhältnisse ändert, SLAs nicht einhält oder einen Sicherheitsvorfall meldet.

5.23 – Informationssicherheit bei der Nutzung von Cloud-Diensten

Cloud-Dienste erfordern eine verstärkte Überprüfung, da sie häufig sensible Daten in großem Umfang speichern, verarbeiten oder übertragen. Unternehmen sollten festlegen, wie Cloud-Dienste genehmigt, konfiguriert, überwacht und außer Betrieb genommen werden.

Die Überprüfung von Cloud-Anbietern sollte Zugriffsberechtigungen, Verschlüsselung, Protokollierung, Datensicherung und -wiederherstellung, Datenspeicherung, Reaktion auf Sicherheitsvorfälle, geteilte Verantwortung, Mandantenisolierung und Kündigungsverfahren umfassen.

Warum das Lieferantenrisikomanagement in ISO 27001 wichtig ist

Das Lieferantensicherheitsmanagement unterstützt Unternehmen bei der Erreichung der ISO 27001-Standards, indem es das Risiko von Drittanbietern in das ISMS integriert. Kann ein Lieferant auf sensible Daten zugreifen, ein kritisches System unterstützen oder die Verfügbarkeit von Diensten beeinträchtigen, muss das damit verbundene Risiko identifiziert, bewertet, behandelt und regelmäßig überprüft werden.

Dies ist von Bedeutung, da Lieferantenausfälle zu Compliance-Verstößen führen können. Prüfer können Lieferantenbestände, Risikoklassifizierungen, unterzeichnete Verträge, Sicherheitsnachweise, Prüfprotokolle und den Nachweis verlangen, dass Lieferantenwechsel erneut bewertet wurden. Ohne diese Nachweise entsteht eine Lücke im Lieferantenmanagement des ISMS.

1. Lieferanten vergrößern Ihr Risikofeld

Sie verfügen möglicherweise über strenge interne Kontrollmechanismen, doch wenn ein Anbieter mit Zugriff auf Ihre Daten keine Verschlüsselung, MFA oder regelmäßige Sicherheitsupdates implementiert, entsteht ein indirektes Sicherheitsrisiko. ISO 27001 fordert, dass Sie die Umgebungen von Anbietern als Teil Ihrer umfassenderen Sicherheitsarchitektur betrachten.

2. Lieferanten beeinflussen Ihre Audit-Situation

Die Prüfer verlangen detaillierte Lieferantenbestandslisten, Risikoklassifizierungen, unterzeichnete Verträge mit Sicherheitsklauseln und die laufende Überprüfung von Protokollen. Fehlende Unterlagen führen nicht nur zu Warnhinweisen, sondern können auch Verzögerungen im Prüfverfahren, Nacharbeiten oder sogar Abweichungen zur Folge haben.

3. Vorfälle mit Dritten bleiben weiterhin Ihre Verantwortung

Ob es sich um einen Verstoß gegen Lieferantenrichtlinien oder eine Systemfehlkonfiguration handelt – Aufsichtsbehörden und Kunden werden Ihr Unternehmen zur Rechenschaft ziehen. ISO 27001 für Lieferantenmanagement schafft einen nachweisbaren Rahmen, um die gebotene Sorgfaltspflicht zu belegen.

4. Fehlende Kontrolle über Lieferanten schwächt Ihr ISMS.

Können Sie nicht nachweisen, wie Lieferantenrisiken identifiziert, bewertet und behandelt werden, gilt Ihr gesamtes ISMS als unvollständig. Klausel 6.1 (Risikobehandlungsplanung) und Klausel 8.1 (Operative Planung) beziehen sich beide auf das Management von Drittparteirisiken.

ISO 27001-konformer Lieferantenmanagementprozess

Ein Lieferantenmanagementprozess nach ISO 27001 sollte eine lückenlose Dokumentation vom Lieferantenbeginn bis zum Lieferantenausstieg gewährleisten. Für jeden relevanten Lieferanten sollten Sie nachweisen können, welche Leistungen er erbringt, auf welche Daten er Zugriff hat, welches Risiko er birgt, welche Nachweise geprüft wurden, welche Bedingungen vereinbart wurden und wann die Geschäftsbeziehung erneut überprüft wird.

Das unten beschriebene Verfahren ist am effektivsten, wenn der Umfang der Prüfung dem Risiko des Anbieters entspricht. Ein kritischer Cloud-Anbieter erfordert eine gründlichere Überprüfung als ein risikoarmer Lieferant ohne Zugriff auf sensible Daten.

Die wenigen wichtigen Schritte in diesem Prozess sind folgende:

Schritt 1: Erstellen und Verwalten eines zentralen Lieferantenbestands

Beginnen Sie mit der Erstellung eines zentralen Lieferantenverzeichnisses. Verschaffen Sie sich einen Überblick darüber, worauf Lieferanten Zugriff haben, indem Sie jede Lieferantenbeziehung dokumentieren, sei es im Bereich Infrastruktur, Finanzen, SaaS-Tools oder Beratung.

Schlüsselaktivitäten:

• Listen Sie alle aktiven und inaktiven Lieferanten auf, einschließlich Dritt- und Viertanbieter.
• Erfassen Sie die Zugriffsrechte der Anbieter: die von ihnen verarbeiteten Daten (z. B. personenbezogene Daten, Quellcode) und die Systeme, auf die sie Zugriff haben.
• Beachten Sie deren Konformitätsstatus (z. B. ISO 27001, SOC 2 Typ II, DSGVO-Bereitschaft).
• Erfassen Sie wichtige Metadaten der Anbieter, wie z. B. den primären Ansprechpartner, den Vertragsbeginn und das Vertragsende, die Verlängerungsbedingungen und etwaige Klauseln zur automatischen Verlängerung.

Schritt 2: Lieferantenrisikostufen bestimmen

Nachdem Sie die Anbieter aufgelistet haben, klassifizieren Sie diese nach dem Risiko, das sie für Ihr ISMS darstellen. Verwenden Sie einheitliche Kriterien, damit Teams die Anbieter nicht allein aufgrund persönlicher Einschätzungen oder Dringlichkeit bewerten.

Zu den gängigen Kriterien für das Lieferantenrisiko gehören:

• Art der verarbeiteten Daten, z. B. personenbezogene Daten (PII), Gesundheitsdaten (PHI), Finanzdaten, Quellcode oder Kundendatensätze
• Zugriffsebene auf das System, z. B. Produktionszugriff, Administratorzugriff, API-Zugriff oder Lesezugriff
• Geschäftliche Kritikalität, beispielsweise ob ein Ausfall Auswirkungen auf Kunden, Umsatz, Betriebsabläufe oder regulatorische Verpflichtungen hätte.
• Integrationstiefe, z. B. ob der Anbieter Verbindungen zu Kernsystemen oder Identitätsanbietern herstellt.
• Geografischer Standort und Datenresidenz, insbesondere für regulierte oder grenzüberschreitende Verarbeitungsprozesse
• Abhängigkeit von Viertanbietern, wie z. B. Cloud-Anbietern, Unterauftragnehmern oder Managed-Service-Partnern

Hochrisikoanbieter sollten einer eingehenderen Due-Diligence-Prüfung unterzogen werden, strengere Vertragsbedingungen erhalten und häufigeren Überprüfungen unterzogen werden. Niedrigrisikoanbieter benötigen möglicherweise nur eine grundlegende Überprüfung und eine regelmäßige Bestätigung, dass sich ihr Zugriff nicht verändert hat.

Schritt 3: Durchführung von Lieferantenrisikobewertungen

Die Risikobewertung von Lieferanten prüft, ob deren Kontrollmechanismen dem jeweiligen Risikoniveau angemessen sind. Ziel ist es, genügend Nachweise zu sammeln, um zu entscheiden, ob der Lieferant zugelassen, unter Auflagen zugelassen, nachbesserungsbedürftig oder abgelehnt werden kann.

Bei Hochrisiko-Lieferanten sollten Nachweise wie die folgenden geprüft werden:

• SOC-2-Typ-II-Berichte, ISO-27001-Zertifikate oder andere unabhängige Prüfberichte
• Zusammenfassungen von Penetrationstests oder Nachweise zum Schwachstellenmanagement
• Die Antworten auf den Sicherheitsfragebogen wurden Ihren Kontrollanforderungen zugeordnet.
• Verfahren zur Reaktion auf Vorfälle und Verpflichtungen zur Meldung von Datenschutzverletzungen
• Geschäftskontinuitäts- und Notfallwiederherstellungspläne
• Unterauftragnehmer- oder Viertanbieterlisten
• Verfahren zur Datenaufbewahrung, -löschung und -rückgabe
• Zugriffskontrolle, Verschlüsselung, Protokollierung und Überwachungspraktiken

Bei Lieferanten mit mittlerem und niedrigem Risiko kann die Prüfung weniger streng ausfallen, die Gründe dafür sollten jedoch dokumentiert werden. Die Prüfer achten auf die Übereinstimmung zwischen dem Risikoniveau des Lieferanten und der durchgeführten Sorgfaltsprüfung.

Schritt 4: Entscheiden Sie, ob Sie den Lieferanten genehmigen, Nachbesserungen verlangen oder ihn ablehnen.

Nach der Risikobewertung ist über den Umgang mit dem Lieferantenrisiko zu entscheiden. Das Ergebnis sollte dokumentiert werden, bevor der Lieferant Zugriff auf Systeme oder Daten erhält.

Zu den üblichen Ergebnissen gehören:

• Genehmigen: Der Anbieter erfüllt die erforderlichen Sicherheitsstandards für seine Risikostufe.
• Unter Auflagen genehmigen: Der Anbieter kann genutzt werden, jedoch nur unter Einhaltung kompensatorischer Kontrollmechanismen, eingeschränktem Zugriff oder einer Frist zur Behebung des Problems.
• Vor der Genehmigung nachbessern: Der Anbieter muss vor der Integration bestimmte Lücken schließen.
• Ablehnen: Der Anbieter erfüllt nicht die Mindestanforderungen an Sicherheit oder Geschäftskontinuität.
• Akzeptieren Sie das Risiko: Das Unternehmen akzeptiert ein Restrisiko, nachdem das Problem und die Eskalation von der Sicherheitsabteilung oder dem GRC-Team dokumentiert wurden.

Die Risikoübernahme sollte nicht informell per Slack-Nachricht oder mündlich erfolgen. Dokumentieren Sie, wer das Risiko übernommen hat, warum die Entscheidung getroffen wurde, welche kompensatorischen Maßnahmen greifen und wann die Entscheidung überprüft wird.

Schritt 5: Sicherheitsklauseln festlegen und implementieren

Die Einhaltung der ISO 27001 verpflichtet Organisationen, Sicherheitsverpflichtungen in schriftlichen Verträgen und Vereinbarungen zu definieren und durchzusetzen. Es geht darum, die Sicherheitserwartungen festzulegen, bevor ein Dienstleister Zugriff erhält, und zu formalisieren, wie Dienstleister Ihre Daten schützen und mit Ihrem Informationssicherheitsmanagementsystem (ISMS) abstimmen müssen.

Die Klauseln müssen:

• Legen Sie die grundlegenden Standards fest, die die Anbieter einhalten müssen (MFA für alle Benutzer, sicherer Softwareentwicklungszyklus usw.).
• Legen Sie ein Zeitfenster für die Benachrichtigung über die Reaktion auf Sicherheitsvorfälle fest (in der Regel 72 Stunden) sowie Vorfallprotokolle und Ergebnisse der Nachbereitung des Vorfalls.
• Legen Sie die Prüfrechte für die Überprüfung der Sicherheitsdokumentation oder die Entsendung unabhängiger Prüfer fest, falls sich die Risikostufen ändern.

Schritt 6: Lieferanten fortlaufend überwachen

Die Überwachung von Lieferanten sollte auch nach der Aufnahme in den Geschäftsbetrieb fortgesetzt werden. Ein Anbieter, der im letzten Jahr noch akzeptabel war, kann ein höheres Risiko darstellen, wenn er Unterauftragnehmer hinzufügt, Hosting-Standorte ändert, den Zugriff erweitert, SLAs nicht einhält, eine Zertifizierung ablaufen lässt oder einen Sicherheitsvorfall meldet.

Die Überprüfungshäufigkeit sollte sich nach dem Lieferantenrisiko richten. Lieferanten mit hohem Risiko benötigen möglicherweise jährliche oder vierteljährliche Überprüfungen, während bei Lieferanten mit geringerem Risiko eine regelmäßige Bestätigung ausreicht, dass sich ihr Zugriff, ihr Umfang und ihre Sicherheitslage nicht verändert haben.

Nützliche Überwachungsauslöser sind beispielsweise:

• Abgelaufene SOC-2-Berichte, ISO-27001-Zertifikate oder Zusammenfassungen von Penetrationstests
• Änderungen des Leistungsumfangs, der Hosting-Region, der Unterauftragnehmer oder der Eigentumsverhältnisse
• Neuer Zugriff auf Produktionssysteme, regulierte Daten, Quellcode oder Kundendaten
• Sicherheitsvorfälle, Benachrichtigungen über Datenschutzverletzungen oder negative Nachrichten
• SLA-Verletzungen oder wiederholte Serviceausfälle
• Vertragsverlängerungen oder automatische Verlängerungen für Hochrisikolieferanten

Jede Überprüfung ist zu dokumentieren, einschließlich der Person, die den Anbieter überprüft hat, der geprüften Nachweise, der vorgenommenen Änderungen und der ergriffenen Maßnahmen.

ISO 27001 Best Practices für das Lieferantenrisikomanagement zur Vorbereitung auf Audits

Die Prüfer erwarten nicht, dass jeder Lieferant dem gleichen Prüfungsniveau unterzogen wird. Sie erwarten einen einheitlichen, risikobasierten Prozess und den Nachweis, dass dieser Prozess eingehalten wird.

1. Lieferantenrisikokriterien definieren

Bevor Sie Risiken managen, definieren Sie, was Risiko in Ihrem Lieferantenkontext bedeutet. Diese Klassifizierung stellt sicher, dass Sie nicht dieselben Kontrollen auf einen Anbieter einer Essensliefer-App anwenden wie auf Ihren Lohnabrechnungsdienstleister.

Schaffen Sie Klarheit, Konsistenz und Verantwortlichkeit im gesamten Unternehmen durch:

• Die Lieferanten werden anhand ihres Zugriffs auf Produktionssysteme, sensible Daten oder geschäftskritische Dienste in Risikostufen (z. B. hoch, mittel, niedrig) eingeteilt.
• Verwendung einheitlicher Kriterien wie regulatorische Auswirkungen (personenbezogene Daten, Gesundheitsdaten), geografischer Bezug (grenzüberschreitende Verarbeitung) und Systemabhängigkeit.

2. Lieferantenrisiko regelmäßig bewerten

Die Risikobewertung ist ein fortlaufender Prozess. Im Rahmen der Compliance-Vorgaben sind Organisationen verpflichtet zu überprüfen, ob die Kontrollmechanismen eines Anbieters noch mit ihren ISMS-Rahmenwerken übereinstimmen.

Eine solche kontinuierliche Bewertung erfordert:

• Sammlung von Nachweisen für SOC-2-Berichte, Penetrationstestergebnisse, Protokolle von Sicherheitsvorfällen und ISO-Zertifikate.
• Die Lieferanten sollten jährlich oder immer dann neu bewertet werden, wenn sich der Leistungsumfang oder die Eigentumsverhältnisse ändern.

3. Überprüfen Sie die Sicherheitslage des Anbieters anhand von Nachweisen.

ISO 27001 verlangt, dass Sie die Sicherheitsmaßnahmen des Anbieters anhand von Nachweisen überprüfen. Ihr Unternehmen muss die Sicherheitslage des Anbieters Ihrem ISMS zuordnen, indem es:

• Sie fordern den aktuellsten SOC 2 Typ II Bericht, das ISO 27001 Zertifikat oder unabhängige Penetrationstestergebnisse an.
• Wir bitten um Einzelheiten zu ihrem Vorgehen bei Sicherheitsvorfällen, einschließlich etwaiger Offenlegungen früherer Datenschutzverletzungen.
• Überprüfung auf jährliche externe Audits oder einen individuell auf Ihre Kontrollmechanismen abgestimmten Sicherheitsfragebogen.

4. Überwachen Sie die Anbieter kontinuierlich, nicht nur während der Einarbeitungsphase.

Eine anfängliche Due-Diligence-Prüfung reicht möglicherweise nicht aus, wenn sich die Risikostufen ändern, beispielsweise wenn die Anbieter ihre Infrastruktur ändern, neue Unterauftragnehmer einsetzen oder ihre Zugriffsbereiche erweitern.

Für die kontinuierliche Überwachung müssen Sie also Folgendes tun:

• Planen Sie vierteljährliche oder halbjährliche Überprüfungen Ihrer wichtigsten Lieferanten ein.
• Nutzen Sie automatisierte Tools, um ablaufende Zertifikate, nicht eingehaltene SLAs oder neue Risikosignale (z. B. Nachrichten über Sicherheitsverletzungen) zu verfolgen.
• Jeder Check-in muss dokumentiert werden: wer ihn geprüft hat, was festgestellt wurde und welche Maßnahmen ergriffen wurden.

3 nützliche Ressourcen für das Lieferantenmanagement

Lieferantenbeziehungen beeinflussen Compliance, Datensicherheit und operative Stabilität. Diese herunterladbaren Ressourcen können Ihnen beim Aufbau oder der Optimierung Ihres Lieferantenmanagementprozesses helfen.

1. Vorlage für eine Richtlinie zum Lieferantenmanagement

A Vorlage für eine Lieferantenmanagementrichtlinie Dient zur Definition des gesamten Lieferantenlebenszyklus, von der Einarbeitung und Leistungsbeurteilung bis zur Abmeldung. Es hilft bei der Festlegung von Verantwortlichkeiten, Kontrollmechanismen und Dokumentationsverfahren.

2. Handbuch zur Anbieterauswahl für Cloud-Unternehmen

Dieser E-Book zur Anbieterauswahl für Cloud-Unternehmen Unterstützt SaaS- und Cloud-Teams bei der Bewertung von Anbietern hinsichtlich Sicherheit, Zuverlässigkeit und Compliance. Es enthält praktische Checklisten und Entscheidungshilfen.

3. Lieferantenmanagementverfahren

Ein Dokument zum Lieferantenmanagement beschreibt die Schritte zur Umsetzung Ihrer Lieferantenrichtlinie, einschließlich Sorgfaltsprüfung, regelmäßiger Überprüfungen und Kündigungsprotokolle. Sie können es hier herunterladen. Vorlage für ein Lieferantenmanagementverfahren hier kostenlos.

Automatisieren Sie die Lieferantenrisikoüberwachung gemäß ISO 27001 mit Sprinto.

Die manuelle Lieferantenverwaltung wird zunehmend schwierig, wenn die Anzahl der Lieferanten, Verträge, Nachweisanforderungen, Verlängerungen und Prüfzyklen steigt. Tabellenkalkulationen eignen sich zwar für eine kleine Lieferantenliste, stoßen aber an ihre Grenzen, wenn Teams wiederkehrende Prüfungen, Zugriffskontexte, Vertragsnachweise und revisionssichere Unterlagen an einem zentralen Ort benötigen.

Sprinto unterstützt Teams beim Management von Lieferantenrisiken gemäß ISO 27001 über den gesamten Lieferantenlebenszyklus hinweg. Sie können es für Folgendes verwenden:

• Führen Sie ein zentrales Lieferantenverzeichnis mit Angaben zu Eigentümern, Zugangsdaten, Verträgen und Überprüfungsterminen.
• Klassifizieren Sie Lieferanten nach Zugriffsrechten, Datensensibilität, Geschäftskritikalität und Auswirkungen auf die Compliance.
• Planen Sie wiederkehrende Bewertungen basierend auf der Risikostufe des Anbieters.
• SOC-2-Berichte, ISO-27001-Zertifikate, Zusammenfassungen von Penetrationstests, Sicherheitsfragebögen und andere Nachweise anfordern und speichern.
• Ordnen Sie die Arbeitsabläufe der Lieferanten den Kontrollen 5.19 bis 5.23 des Anhangs A der ISO 27001 zu.
• Änderungen wie abgelaufene Nachweise, erweiterte Zugriffe, neue Unterauftragnehmer, Vorfälle und anstehende Verlängerungen werden verfolgt.
• Führen Sie ein Prüfprotokoll über Überprüfungen, Ergebnisse, Entscheidungen, Risikoakzeptanz und Abhilfemaßnahmen.

Dies hilft den Bereichen Sicherheit, GRC, Beschaffung, Recht und Geschäftsleitung, mit demselben Lieferantenrisikodatensatz zu arbeiten, anstatt Aktualisierungen in Tabellenkalkulationen, E-Mail-Verläufen und gemeinsam genutzten Laufwerken suchen zu müssen.

Nutze einfach das Vereinbaren Sie eine persönliche Demo um zu sehen, wie Sprinto die Arbeitsabläufe zur Lieferantenrisikobewertung nach ISO 27001 unterstützt.

Häufig gestellte Fragen