Lieferantenrisiko und Lieferkettenrisiko: Wer verlangt was

Lieferanten sind zu einem der häufigsten Einfallswege in Organisationen geworden, von manipulierten Software-Updates bis zu kompromittierten Managed Service Providern. Die Frameworks haben darauf reagiert, manche stärker als andere. ControlMapping erfasst dies in zwei Themen: Lieferantenrisikomanagement (Bewertung und Steuerung einzelner Lieferanten) und Lieferkettenrisiko (das Programm rund um sie).

Lieferantenrisikomanagement

Framework	Lieferantenrisikomanagement	Verknüpfung
NIST CSF 2.0	GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06	Themendefinition
ISO 27001	A.5.19A.5.20A.5.22	Crosswalk
CIS v8.1	CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7	Crosswalk
SOC 2	CC9.2	Redaktionell
PCI DSS	12.8.112.8.212.8.312.8.412.8.5	Crosswalk
CMMC	—	Lose verwandt
800-53	SA-4SA-9SR-6	Crosswalk
HIPAA	§164.308(b)(1)§164.314(a)	Crosswalk
GDPR	Art.28(1)Art.28(3)	Redaktionell
NIS2	5.15.26.1	Crosswalk
Essential Eight	—	Keine Zuordnung in unseren Daten

Vollständige Details und die Begründung für jede Verknüpfung: Lieferantenrisikomanagement über Frameworks hinweg →

Lieferkettenrisiko als Programm

Framework	Lieferkettenrisiko	Verknüpfung
NIST CSF 2.0	GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09	Themendefinition
ISO 27001	A.5.19A.5.21	Crosswalk
CIS v8.1	CIS 15.2	Crosswalk
SOC 2	CC9.2	Redaktionell
PCI DSS	6.3.212.8.1	Crosswalk
CMMC	—	Lose verwandt
800-53	PM-30SR-2SR-3SR-11	Crosswalk
HIPAA	—	Lose verwandt
GDPR	Art.28(1)	Redaktionell
NIS2	5.16.1	Crosswalk
Essential Eight	—	Keine Zuordnung in unseren Daten

Vollständige Details und die Begründung für jede Verknüpfung: Lieferkettenrisiko über Frameworks hinweg →

Wo die Frameworks übereinstimmen

Die meisten Frameworks verlangen denselben Lebenszyklus: Sie müssen wissen, wer Ihre Lieferanten sind, sie vor der Zusammenarbeit bewerten, Sicherheitsanforderungen vertraglich festlegen, sie überwachen und die Beziehung sicher beenden. ISO 27001 deckt dies in A.5.19 bis A.5.22 ab; PCI DSS verlangt eine Liste der Dienstleister, schriftliche Vereinbarungen, Due Diligence, jährliche Überwachung und eine dokumentierte Aufteilung der Verantwortlichkeiten (12.8.1 bis 12.8.5); SOC 2 erwartet, dass Lieferantenrisiken bewertet und gesteuert werden (CC9.2); die CIS Controls verlangen ein Inventar, eine Klassifizierung, vertragliche Anforderungen, Bewertung, Überwachung und eine sichere Außerbetriebnahme (Control 15). Wenn Sie diesen Lebenszyklus einmal aufbauen, deckt derselbe Prozess die meisten dieser Frameworks ab.

Wo sie sich unterscheiden

• DSGVO (GDPR) konzentriert sich auf Auftragsverarbeiter: schriftliche Verträge mit den Inhalten aus Artikel 28 und der Einsatz nur solcher Auftragsverarbeiter, die hinreichende Garantien bieten. Es geht um personenbezogene Daten, nicht um Lieferanten allgemein.
• HIPAA verlangt Business-Associate-Verträge (§164.308(b)(1), §164.314(a)) mit allen, die in Ihrem Auftrag ePHI verarbeiten.
• NIS2 behandelt die Sicherheit der Lieferkette als eigenständige Maßnahme (Article 21(2)(d)), und die Durchführungsverordnung verlangt eine Richtlinie zur Sicherheit der Lieferkette, Kriterien für die Lieferantenauswahl und vertragliche Sicherheitsanforderungen (Punkte 5.1 und 5.2), wobei die eigenen Sicherheitspraktiken und Schwachstellen der Lieferanten zu berücksichtigen sind.
• NIST CSF 2.0 geht am weitesten, mit zehn Subkategorien der Funktion Steuern zum Management von Cybersicherheitsrisiken in der Lieferkette, vom Aufbau eines Programms bis zur Steuerung von Lieferanten über den gesamten Lebenszyklus.
• CMMC Level 2 enthält keine Praxis zu Lieferanten; die Weitergabe von Anforderungen an Unterauftragnehmer erfolgt über Vertragsklauseln. Die Essential Eight adressieren Lieferanten nicht.

So sieht ein gutes Programm aus

1. Ein Lieferanteninventar, mit Angabe, worauf jeder Lieferant zugreifen kann und wie kritisch er ist.
2. Gestaffelte Due Diligence: mehr Prüfung für Lieferanten mit Zugriff auf sensible Daten oder Systeme, weniger für die übrigen. Akzeptieren Sie deren SOC 2-Bericht oder ISO-Zertifikat, soweit er die Leistung abdeckt, und prüfen Sie den Geltungsbereich.
3. Vertragliche Anforderungen: Sicherheitspflichten, Meldung von Vorfällen an Sie, Prüfrechte sowie Rückgabe oder Löschung von Daten bei Vertragsende (Vorgaben aus DSGVO Artikel 28, sofern personenbezogene Daten betroffen sind).
4. Überwachung, abgestimmt auf die Stufe: jährliche Überprüfungen für kritische Lieferanten, wie PCI DSS sie von Dienstleistern verlangt.
5. Offboarding: Zugriffe entziehen, Daten zurückholen oder löschen und dies bestätigen.

Die Themenseiten Lieferantenrisiko und Lieferkettenrisiko listen jede Anforderung mit ihrer Quelle auf. Unser Beitrag warum ein SOC 2-Bericht die Lieferantenfrage nicht von allein beantwortet behandelt, wie sich Lieferantennachweise lesen lassen.

Fragen

Was verlangt NIS2 zur Sicherheit der Lieferkette?

Artikel 21(2)(d) verlangt Sicherheit der Lieferkette, einschließlich der Sicherheitsaspekte von Beziehungen zu unmittelbaren Lieferanten und Dienstleistern. Die Durchführungsverordnung legt eine Richtlinie zur Sicherheit der Lieferkette, Kriterien für die Lieferantenauswahl und Vertragsanforderungen fest (Punkte 5.1 und 5.2).

Verlangt CMMC Level 2 ein Lieferantenrisikomanagement?

Nicht als Programm. CMMC Level 2 übernimmt SP 800-171 Rev 2, das sich auf den Schutz von CUI in den eigenen Systemen konzentriert; die Weitergabe von Anforderungen an Unterauftragnehmer erfolgt stattdessen über die Vertragsklauseln.