Passgenaue Lösungen für B2B-Unternehmen
Wer an große Unternehmen liefert, wird regelmäßig geprüft: mit Fragebögen, Kundenaudits und Anforderungen im Vertrag. NIS2 und DORA verpflichten Ihre Kunden, ihre Lieferkette zu bewerten. Sightadel hält Ihre Antworten und Nachweise an einer Stelle, damit jede Prüfung auf demselben Stand aufbaut.
Ausgangslage
Für Zulieferer und Dienstleister ist die Sicherheit beim Kunden ein Teil des Auftrags. Sie haben Zugang zu Systemen, Daten oder Produktionsabläufen Ihrer Kunden. Ein Vorfall bei Ihnen kann dort einen Schaden auslösen. Deshalb wollen große Kunden vor und während der Zusammenarbeit wissen, wie Sie arbeiten.
Die Anforderungen kommen in vielen Formen. Ein Fragebogen mit hundert Fragen, ein Lieferantenaudit vor Ort, eine Sicherheitsanlage zum Rahmenvertrag, die Bitte um ein Zertifikat. Seit NIS2 und DORA gelten, sind viele Kunden gesetzlich verpflichtet, die Sicherheit ihrer Lieferkette zu steuern. Sie geben diese Pflicht über Verträge an Sie weiter.
Die Fragen ähneln sich, die Formulare nicht. Wer jeden Fragebogen einzeln beantwortet, beschäftigt Vertrieb, IT und Geschäftsführung immer wieder mit denselben Themen. Mit einem ISMS nach ISO 27001 sind die Antworten einmal geprüft und belegt, und ein Zertifikat beantwortet viele Fragen schon vorab.
Warum jetzt
Der Termin steht, der Prüfer kommt mit einer Liste. Gefragt wird nach Richtlinien, Zugriffen, Notfallplan und dem Umgang mit Vorfällen, jeweils mit Beleg.
Jeder Kunde schickt sein eigenes Formular, oft in Excel und mit Frist. Die Antworten verteilen sich auf mehrere Personen und widersprechen sich manchmal.
Nach § 30 BSIG gehört die Sicherheit der Lieferkette zum Risikomanagement wichtiger und besonders wichtiger Einrichtungen. Ihre Kunden müssen Sie deshalb bewerten und vertraglich binden.
DORA verlangt von Finanzunternehmen, ihre IKT-Dienstleister zu erfassen, zu bewerten und Verträge mit festen Mindestinhalten zu schließen. Als Dienstleister merken Sie das an Fragebögen und Vertragsanlagen.
Öffentliche und große private Auftraggeber setzen ISO 27001 häufig als Bedingung. Ohne Zertifikat kommen Sie nicht in die engere Auswahl.
Was Ihr Kunde von Ihnen verlangt, müssen Sie oft an Ihre eigenen Unterauftragnehmer weitergeben. Auch diese Kette braucht Nachweise.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Der Nachweis, den die meisten Kunden kennen und anerkennen. Ein Zertifikat einer akkreditierten Stelle beantwortet viele Fragen aus Fragebögen und Audits vorab. Es gilt drei Jahre, mit jährlichen Überwachungsaudits.
Zum Framework →Direkt betroffen, wenn Ihr Sektor im BSIG genannt ist und Sie die Größenschwellen erreichen. Indirekt betroffen sind Sie fast immer, sobald Kunden erfasst sind und die Sicherheit der Lieferkette nach § 30 BSIG steuern müssen.
Zum Framework →Verarbeiten Sie personenbezogene Daten im Auftrag Ihrer Kunden, sind Sie Auftragsverarbeiter. Dann braucht es Verträge nach Art. 28 DSGVO, beschriebene Maßnahmen und eine Meldekette für Datenpannen.
Zum Framework →Gilt für Finanzunternehmen. Liefern Sie IKT-Dienstleistungen an Banken oder Versicherer, bekommen Sie die Anforderungen über Verträge, Fragebögen und Prüfrechte. Den Nachweis führen Sie meist über Ihr ISMS.
Zum Framework →In vielen Lieferbeziehungen ohnehin verlangt. Dokumentenlenkung, internes Audit und Managementbewertung führen Sie gemeinsam mit ISO 27001.
Zum Framework →Empfohlene Reihenfolge
Welche Kunden verlangen was? Fragebögen, Vertragsanlagen und Auditberichte der letzten Jahre zeigen, welche Themen immer wieder kommen und welcher Nachweis am meisten bewirkt.
Ein ISMS nach ISO 27001 deckt den größten Teil ab. Kundenspezifische Anforderungen, die darüber hinausgehen, bilden Sie als eigenes Framework ab und verknüpfen vorhandene Nachweise.
Wo stehen die Daten, wer hat Zugriff, wie wird gesichert, wie werden Vorfälle gemeldet? Jede Antwort bekommt einen Beleg mit Datum und eine verantwortliche Person.
Kundenaudits und das Zertifizierungsaudit greifen auf dieselben Unterlagen zu. Prüfer erhalten in Sightadel einen eigenen Zugang ohne Löschrecht.
Zertifikate, freigegebene Richtlinien, Maßnahmen und Unterauftragnehmer stehen auf einer eigenen Seite. Neue Fragebögen beantworten Sie mit einem Link und den wenigen individuellen Fragen.
Schwerpunkt
Lieferantenfragebögen verschwinden nicht. Mit diesen Schritten beantworten Sie sie schneller und einheitlich.
Die meisten Fragen betreffen dieselben Themen: Zugriffe, Verschlüsselung, Datensicherung, Notfallplan, Schulungen und Unterauftragnehmer. Die Antworten liegen im ISMS und gelten für alle Kunden.
Wiederkehrende Kataloge großer Kunden importieren Sie aus Excel oder Word. Jede Anforderung wird zum Prüfpunkt, vorhandene Nachweise verknüpfen Sie statt neu zu suchen.
Im Trust Center zeigen Sie Zertifikate, Kurzfassungen von Richtlinien und Unterauftragnehmer. Vertrauliches wie Auditberichte oder Netzpläne geben Sie nur auf Anfrage frei.
Was Kunden von Ihnen verlangen, prüfen Sie bei Ihren eigenen Dienstleistern. Das Modul Anbieter führt sie mit Risiko, Vertrag und Nachweisen samt Gültigkeitsdatum.
So hilft Sightadel
Kundenspezifische Anforderungskataloge und Sicherheitsanlagen legen Sie als eigenes Framework an, auch per Import aus Excel oder Word. Sie arbeiten damit wie mit jedem anderen Framework.
Mehr erfahren →Eine eigene Seite mit Zertifikaten, freigegebenen Dokumenten, Sicherheitsmaßnahmen und Unterauftragnehmern. Der Einkauf Ihrer Kunden findet die Antworten selbst.
Mehr erfahren →ISO 27001 und NIS2 werden Kontrolle für Kontrolle durchgearbeitet. Wo sich Anforderungen mit Kundenkatalogen decken, gilt ein Nachweis für alle.
Mehr erfahren →Belege tragen Datum, Version und Ablaufdatum. Fragt ein Kunde im Audit nach einem Nachweis, finden Sie ihn an derselben Stelle wie für das Zertifizierungsaudit.
Mehr erfahren →Ihre eigenen Unterauftragnehmer stehen mit Kritikalität, Fragebogen und Nachweisen in einer Liste. Abgelaufene Zertifikate fallen auf, bevor der Kunde danach fragt.
Mehr erfahren →Sightadel prüft die von außen sichtbare Angriffsfläche Ihrer Domains. Viele Kunden bewerten Lieferanten genau aus dieser Sicht.
Mehr erfahren →Nach Absprache
Manche Großkunden schicken umfangreiche Sicherheitsanlagen oder verlangen Auswertungen in einer bestimmten Form. Eigene Frameworks legen Sie selbst an. Ist ein Katalog sehr umfangreich oder brauchen Sie eine weitere Anbindung, setzen wir das nach Absprache für Sie um.
Zulieferer und Dienstleister mit großen Kundenkatalogen oder besonderen Vorgaben
Umfang und Kosten stehen vorher im Angebot. Umgesetzt wird erst nach Ihrer Zusage.
Individuelle Anpassungen ansehenAufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben die Zahl und der Umfang der Kundenanforderungen und wie viel davon bereits belegt ist.
Was Sie lizenzieren · typisch Professional
Ein typischer Zulieferer führt ISO 27001 und DSGVO in der Edition Professional. Sie umfasst zehn Nutzer, 25 Lieferanten und drei eigene Frameworks, genug für die Kataloge der wichtigsten Kunden. Lizenz für ISO 27001: ab 750 € im Monat. Ist ISO 27001 dabei, kosten DSGVO und bei Bedarf NIS2 dauerhaft weniger. Mit vielen Kundenkatalogen oder Gesellschaften passt Enterprise.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Selten vollständig. Viele Kunden akzeptieren das Zertifikat für einen großen Teil ihrer Fragen und wollen den Rest beantwortet haben, etwa zu Standorten, Unterauftragnehmern oder Vertragsdetails. Mit Zertifikat und Trust Center bleiben meist nur wenige individuelle Fragen.
Nicht automatisch. Ob Sie selbst erfasst sind, hängt von Ihrem Sektor und Ihrer Größe ab. Unabhängig davon muss Ihr Kunde seine Lieferkette bewerten und gibt Anforderungen über den Vertrag an Sie weiter. Die Einordnung im Einzelfall klären Sie mit Ihrer Beratung.
Wiederkehrende Kataloge importieren Sie als eigenes Framework und verknüpfen vorhandene Nachweise. Für einmalige Fragebögen nutzen Sie die geprüften Antworten aus Ihrem ISMS und verweisen auf das Trust Center.
Prüfer erhalten einen eigenen Zugang ohne Löschrecht. Ob Sie einem Kunden für ein Audit so einen Zugang geben oder Unterlagen gezielt freigeben, entscheiden Sie selbst.
Zertifikate, Kurzfassungen von Richtlinien, Sicherheitsmaßnahmen und die Liste der Unterauftragnehmer. Interne Systemnamen, Netzpläne oder vollständige Auditberichte gehören nicht auf eine öffentliche Seite. Diese geben Sie auf Anfrage frei.
Prüfen Sie zuerst die Liste der vorhandenen Frameworks. Fehlt der Standard, bilden Sie die Anforderungen, die Ihnen vorliegen, als eigenes Framework ab. Ob das für den Nachweis beim Kunden reicht, klären Sie mit ihm oder der zuständigen Prüfstelle.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
