So bauen Sie die Anbieterliste auf
Der erste Schritt ist der aufwendigste: herauszufinden, welche Anbieter es überhaupt gibt. Gute Quellen sind die Kreditorenliste der Buchhaltung, die Verträge im Einkauf, die Liste der Software-Abonnements und das Verzeichnis der Verarbeitungstätigkeiten. Fragen Sie zusätzlich die Fachabteilungen, denn viele Cloud-Dienste werden dort direkt gebucht.
Nicht jeder Anbieter ist für die Informationssicherheit relevant. Die Kantine und der Händler für Büromaterial gehören selten in die Bewertung. Entscheidend ist, ob ein Anbieter Zugang zu Ihren Daten, Systemen oder Räumen hat oder ob ein Ausfall Ihre eigene Leistung beeinträchtigt. Cloud-Dienste, IT-Dienstleister, Hosting, Lohnabrechnung und Software gehören fast immer dazu.
In Sightadel legen Sie jeden relevanten Anbieter mit Namen, Kategorie und Land an. Die Kategorie hilft beim Filtern und beim Vergleich ähnlicher Anbieter. Das Land ist wichtig, wenn personenbezogene Daten außerhalb der EU verarbeitet werden. Bestehende Listen müssen Sie nicht abtippen, denn Sightadel unterstützt den Import aus Excel-Dateien.
Planen Sie die Liste als lebendes Verzeichnis. Neue Anbieter kommen über den Einkauf dazu, alte fallen weg. Legen Sie fest, wer neue Anbieter meldet, bevor ein Vertrag unterschrieben wird.
Risiko nachvollziehbar bewerten
Die Bewertung eines Anbieters beginnt mit der Frage, was er für Sie tut. Daraus ergibt sich das inhärente Risiko, also das Risiko ohne Berücksichtigung von Schutzmaßnahmen. Ein Lohnbüro, das Gehalts- und Gesundheitsdaten verarbeitet, hat ein höheres inhärentes Risiko als eine Druckerei, die Flyer druckt.
Die Risikotreiber machen die Bewertung nachvollziehbar. Sie zeigen, welche Datenkategorien der Anbieter verarbeitet, etwa besondere Kategorien nach Art. 9 DSGVO, Finanz- und Zahlungsdaten oder Authentifizierungsdaten, und welche Sicherheitsfunktionen fehlen, etwa Multi-Faktor-Authentifizierung oder die Verschlüsselung gespeicherter und übertragener Daten.
Minderungsmaßnahmen senken das Risiko. Das kann eine vertragliche Regelung sein, ein Nachweis des Anbieters wie ein Zertifikat oder eine technische Maßnahme auf Ihrer Seite. Jede Maßnahme wird angewendet und genehmigt oder abgelehnt. Das Ergebnis ist das Restrisiko, und der Verlauf zeigt, welche Maßnahme wie viele Punkte bewirkt hat.
Wichtig ist die Freigabe. Ein Restrisiko, das niemand akzeptiert hat, ist nur eine Zahl. Legen Sie fest, wer welches Restrisiko akzeptieren darf, und halten Sie Ausnahmen mit Begründung fest.
Worauf Auditoren und Aufsicht achten
Bei der Lieferantensteuerung prüft der Auditor drei Dinge. Erstens, ob Sie wissen, welche Anbieter kritisch sind. Eine vollständige Liste mit Kategorien und Risikoeinstufung ist dafür der Beleg. Zweitens, ob Anforderungen an die Sicherheit vertraglich vereinbart sind, etwa im Auftragsverarbeitungsvertrag oder in einer Sicherheitsanlage zum Vertrag. Drittens, ob Sie die Anbieter regelmäßig überprüfen und nicht nur einmal bei Vertragsschluss.
In der Praxis wählt der Auditor einige Anbieter aus und fragt nach: Wie wurde dieser Anbieter bewertet? Welche Nachweise liegen vor? Wann war die letzte Überprüfung? Was passiert, wenn er ausfällt? Die Risikoanalyse in Sightadel beantwortet die ersten drei Fragen mit Bewertung, Treibern, Maßnahmen und Verlauf. Verträge, Zertifikate und Prüfberichte des Anbieters verknüpfen Sie als Nachweise.
Für Finanzunternehmen unter DORA kommt die Aufsicht hinzu. Sie erwartet ein vollständiges Informationsregister und besondere Sorgfalt bei Dienstleistern, die kritische oder wichtige Funktionen unterstützen. Auch Ausstiegsstrategien gehören dazu. Die Bewertung je Anbieter ist dafür eine Grundlage, ersetzt aber nicht die übrigen DORA-Pflichten.
Häufige Fehler in der Lieferantensteuerung
Der häufigste Fehler ist die einmalige Bewertung. Ein Anbieter wird bei Vertragsschluss geprüft und danach nie wieder. Dabei ändern sich Leistungen, Unterauftragnehmer und Sicherheitslage. Überprüfen Sie wichtige Anbieter mindestens jährlich und zusätzlich, wenn sich Leistung, Vertrag oder verarbeitete Daten ändern. In Sightadel starten Sie das über „Bewertung überprüfen“.
Ein zweiter Fehler ist der gleiche Aufwand für alle. Wer jeden Anbieter mit demselben umfangreichen Fragebogen prüft, bekommt keine oder schlechte Antworten. Richten Sie die Tiefe der Prüfung nach dem inhärenten Risiko. Für kritische Anbieter lohnt der Blick in Zertifikate und Prüfberichte, für unkritische reicht eine kurze Einordnung.
Drittens werden Zertifikate des Anbieters nicht gelesen. Ein ISO-27001-Zertifikat hilft nur, wenn sein Geltungsbereich die Leistung umfasst, die Sie nutzen. Prüfen Sie das und legen Sie das Zertifikat mit Gültigkeitsdatum als Nachweis ab.
Viertens fehlt der Blick auf den Ausfall. Neben der Vertraulichkeit zählt, was passiert, wenn ein Anbieter nicht mehr liefert. Halten Sie für kritische Anbieter fest, wie Sie in diesem Fall vorgehen.
