Due Diligence bei Lieferanten: ein Prozess für viele Frameworks

Jedes wichtige Framework verlangt, Lieferantenrisiken zu steuern, wie unser Vergleich der Anforderungen an Lieferanten- und Lieferkettenrisiken zeigt. Die Anforderungen überschneiden sich so stark, dass ein einmal entworfener Prozess sie alle erfüllen kann. Hier ist eine Struktur, die das leistet.

Schritt 1: ein Inventar

Erfassen Sie jeden Lieferanten mit Zugriff auf Ihre Systeme, Daten oder Standorte und halten Sie für jeden fest: was er tut, welche Daten er berührt und welche Frameworks dadurch relevant werden (Karteninhaberdaten für PCI DSS, ePHI für HIPAA, personenbezogene Daten für DSGVO, Dienste, die einen NIS2-regulierten Dienst unterstützen). PCI DSS (12.8.1), ISO 27001 (A.5.19) und die CIS Controls (15.1) beginnen alle hier.

Schritt 2: einstufen

• Stufe 1: Zugriff auf sensible Daten oder Produktivsysteme, oder kritisch für Ihren Dienst.
• Stufe 2: eingeschränkter Zugriff oder mittlere Kritikalität.
• Stufe 3: kein Zugriff auf sensible Daten; geringe Auswirkungen bei Ausfall.

Die Einstufung sorgt dafür, dass der Prozess verhältnismäßig bleibt. CIS nennt das Klassifizierung von Dienstleistern (15.3).

Schritt 3: nach Stufe bewerten

• Stufe 1: ein unabhängiger Prüfbericht zu dem von Ihnen genutzten Dienst (SOC 2 Type II oder ISO-27001-Zertifikat mit passendem Geltungsbereich), dazu ein kurzer Fragebogen zu dem, was der Bericht nicht abdeckt. Lesen Sie den Bericht: Geltungsbereich, Prüfzeitraum, Abweichungen, Ausnahmen (Carve-outs) und die Kontrollen, die Sie selbst betreiben sollen.
• Stufe 2: ein Standardfragebogen oder der Bericht, falls vorhanden.
• Stufe 3: eine einfache Prüfung beim Onboarding.

Schritt 4: einmal vertraglich regeln, alles abdecken

Formulieren Sie Sicherheitsklauseln, die alle Frameworks zugleich abdecken:

• Sicherheitspflichten, die dem Dienst angemessen sind.
• Meldung von Vorfällen an Sie, mit einer Frist, die kurz genug für Ihre eigenen Pflichten ist (NIS2: 24 Stunden, DSGVO: 72).
• Vertragsbedingungen nach DSGVO Artikel 28, wenn sie personenbezogene Daten in Ihrem Auftrag verarbeiten; ein Business-Associate-Agreement, wenn HIPAA gilt.
• Prüfungs- oder Bewertungsrechte sowie Rückgabe oder Löschung von Daten bei Vertragsende.
• Für PCI DSS: Bestätigung ihrer Verantwortung für Karteninhaberdaten (12.8.2) und eine dokumentierte Aufteilung der Verantwortlichkeiten (12.8.5).

Schritt 5: überwachen und beenden

Bewerten Sie Lieferanten der Stufe 1 jährlich neu (PCI DSS verlangt eine jährliche Überwachung der Compliance von Dienstleistern, 12.8.4), Lieferanten der Stufe 2 jedes oder alle zwei Jahre, und reagieren Sie auf Vorfälle und Änderungen. Entziehen Sie bei Vertragsende den Zugriff, stellen Sie Daten wieder her oder löschen Sie sie, und dokumentieren Sie dies (CIS 15.7).

Ein kurzer Fragebogen, der funktioniert

Bei Lieferanten ohne unabhängigen Prüfbericht ist ein kurzer Fragebogen besser als ein langer, weil Menschen kurze Fragen ordentlich beantworten. Zehn Fragen decken den größten Teil dessen ab, was jedes Framework verlangt:

1. Auf welche unserer Daten greifen Sie zu, welche speichern oder verarbeiten Sie, und wo?
2. Verfügen Sie über einen aktuellen SOC-2-Bericht oder ein ISO-27001-Zertifikat, das diesen Dienst abdeckt?
3. Ist MFA für jeden Zugriff auf Systeme mit unseren Daten erzwungen?
4. Wie schnell werden kritische Schwachstellen geschlossen?
5. Sind unsere Daten im Ruhezustand und bei der Übertragung verschlüsselt?
6. Werden Backups erstellt, geschützt und getestet?
7. Wie und wie schnell informieren Sie uns über einen Vorfall, der unsere Daten betrifft?
8. Welche Unterauftragnehmer verarbeiten unsere Daten?
9. Wie werden unsere Daten bei Vertragsende zurückgegeben oder gelöscht?
10. Wer ist Ihr Ansprechpartner für Sicherheit?

Ordnen Sie jede Antwort einmal Ihren Anforderungen zu und verwenden Sie diese Zuordnung für jeden Lieferanten. Die Lückenanalyse und das Thema Lieferketten-Risiko zeigen, wie jedes Framework diese Anforderungen formuliert.

Wichtigste Erkenntnisse

• Ein Lieferanteninventar, nach Risiko gestuft, dient allen Frameworks.
• Akzeptieren Sie unabhängige Berichte, wo ihr Geltungsbereich passt, und lesen Sie sie.
• Formulieren Sie Vertragsklauseln einmal so, dass sie jede Pflicht abdecken.

Ein Datensatz pro Lieferant

Führen Sie alles (Stufe, Bewertungen, gelesene Berichte, Vertragsklauseln, Überprüfungen) an einem Ort pro Lieferant. Auditoren jedes Frameworks können ihre Nachweise dann im selben Datensatz finden.

Die Themenseite Vendor Risk listet jede Anforderung mit ihrer Quelle auf, und unser Beitrag Warum „SOC 2 zertifiziert“ die falsche Frage ist behandelt das Lesen von Lieferantenberichten.

Fragen

Kann ich den SOC-2-Bericht eines Anbieters anstelle eines Fragebogens akzeptieren?

Oft ja, wenn es sich um einen Type-II-Bericht handelt, er aktuell ist, den von Ihnen genutzten Dienst abdeckt und Sie die Abweichungen sowie die komplementären Kontrollen der Nutzerunternehmen lesen. Ein Bericht, der Ihren Dienst nicht abdeckt, sagt Ihnen wenig.

Welche Frameworks verlangen, dass Lieferantenverträge Sicherheitsklauseln enthalten?

ISO 27001 (A.5.20), PCI DSS (12.8.2), DSGVO für Auftragsverarbeiter (Artikel 28), Business-Associate-Agreements nach HIPAA und die Maßnahmen zur Lieferkette aus NIS2 verlangen alle Sicherheitsklauseln in Lieferantenvereinbarungen.

Wie oft sollten Lieferanten neu bewertet werden?

Kritische Lieferanten mindestens jährlich (PCI DSS verlangt eine jährliche Überwachung der Compliance von Dienstleistern), andere alle ein bis zwei Jahre, und jeden Lieferanten nach einem erheblichen Vorfall oder einer Änderung des Dienstes.