Lieferantenrisikomanagement
Sicherheitsrisiken von Drittanbietern und Dienstleistern bewerten, überwachen und steuern.
Lieferantenrisikomanagement wird durch die NIST CSF 2.0 Outcomes GV.SC-04 (Suppliers are known and prioritized by criticality); GV.SC-06 (Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships); GV.SC-07 (The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship); ID.RA-10 (Critical suppliers are assessed prior to acquisition); DE.CM-06 (External service provider activities and services are monitored to find potentially adverse events) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001, CIS v8.1, PCI DSS, 800-53, HIPAA und NIS2. Redaktionell Redaktionell zugeordnet in SOC 2, GDPR, DORA und CPS 234. In CMMC nur lose verwandt. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für Essential Eight und Cyber Essentials.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | Suppliers are known and prioritized by criticality; Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships; The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship… | Themendefinition | GV.SC-04 GV.SC-06 GV.SC-07 ID.RA-10 DE.CM-06 |
| ISO 27001 | A.5.19A.5.20A.5.22 | Information security in supplier relationships; Addressing information security within supplier agreements; Monitoring, review and change management of supplier services | Crosswalk | A.5.19: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 A.5.20: via GV.SC-06; GV.SC-07; ID.RA-10; NIST 800-53 map: SA-4 A.5.22: via GV.SC-04; GV.SC-07; ID.RA-10; DE.CM-06; NIST 800-53 map: SA-9, SR-6 |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | Establish and Maintain an Inventory of Service Providers; Assess Service Providers; Monitor Service Providers… | Crosswalk | CIS 15.1: via GV.SC-04 CIS 15.5: via GV.SC-06 CIS 15.6: via GV.SC-07; DE.CM-06 CIS 15.3: via GV.SC-04 CIS 15.4: Service provider contracts must include security requirements. CIS 15.7: Securely decommission service providers: deactivate accounts, end data flows and dispose of data. |
| SOC 2 | CC9.2 | Managing vendor and business partner risk | Redaktionell | CC9.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | List of third-party service providers kept; Written agreements with service providers; Due diligence before engaging service providers… | Crosswalk | 12.8.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.2: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.3: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.4: via GV.SC-04; GV.SC-07; DE.CM-06 12.8.5: via GV.SC-04; GV.SC-06; GV.SC-07 |
| CMMC | RA.L2-3.11.1CA.L2-3.12.3CM.L2-3.4.9SI.L2-3.14.6SI.L2-3.14.7 | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (GV.SC-04, GV.SC-06, GV.SC-07, ID.RA-10, DE.CM-06) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| 800-53 | SA-4SA-9SR-6 | Acquisition Process; External System Services; Supplier Assessments and Reviews | Crosswalk | SA-4: via GV.SC-06; GV.SC-07; DE.CM-06 SA-9: via GV.SC-04; GV.SC-06; GV.SC-07; DE.CM-06 SR-6: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 |
| HIPAA | §164.308(b)(1)§164.314(a) | Business Associate Contracts and Other Arrangements; Business Associate Contracts or Other Arrangements | Crosswalk | §164.308(b)(1): via NIST HIPAA map: SA-9 §164.314(a): via NIST HIPAA map: SA-4, SA-9 |
| GDPR | Art.28(1)Art.28(3) | Processor; Processor | Redaktionell | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 5.15.26.1 | Supply chain security policy; Directory of suppliers and service providers; Security in acquisition of ICT services, ICT systems or ICT products | Crosswalk | 5.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10; ENISA ISO map: A.5.19, A.5.20 5.2: via GV.SC-04; ENISA ISO map: A.5.22 6.1: via GV.SC-06; ID.RA-10 |
| Essential Eight | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Essential Eight-Anforderung diesem Thema zugeordnet. |
| DORA | Art.28(3)Art.28(4)Art.28(5)Art.30(2)Art.30(3)Art.28(8) | General principles; General principles; General principles… | Redaktionell | Art.28(3): A register of information on all contractual arrangements for ICT services. Art.28(4): Due diligence and risk assessment before contracting. Art.28(5): Contract only with providers that comply with appropriate information security standards. Art.30(2): Minimum contractual provisions for all ICT services. Art.30(3): Further provisions for critical or important functions, including audit rights, TLPT participation and exit. Art.28(8): Exit strategies and tested exit plans. |
| CPS 234 | Para 16Para 22Para 28Para 34 | Assess third parties' information security capability; Evaluate the design of third parties' controls; Check third parties' control testing is adequate… | Redaktionell | Para 16: Assess the security capability of third parties that manage information assets. Para 22: Evaluate the design of third parties' controls. Para 28: Check that third parties' control testing meets the entity's own standard. Para 34: Internal audit assesses third-party assurance it relies on. |
| Cyber Essentials | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Cyber Essentials-Anforderung diesem Thema zugeordnet. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über Lieferantenrisikomanagement
Lieferantenrisikomanagement bietet einen strukturierten Ansatz für die Bewertung, Aufnahme und fortlaufende Überwachung der Sicherheitspraktiken von Drittanbietern, Lieferanten und Dienstleistern, die Unternehmensdaten verarbeiten oder Zugriff auf Systeme haben. Das Programm sollte standardisierte Sicherheitsfragebögen zur Bewertung, die Prüfung von SOC 2-Berichten und ISO 27001-Zertifizierungen, vertragliche Sicherheitsanforderungen einschließlich Prüfungsrechten (Right-to-Audit-Klauseln) sowie eine laufende Überwachung durch Sicherheitsbewertungsdienste oder regelmäßige Neubewertungen umfassen. Da Organisationen zunehmend auf Drittanbieterdienste angewiesen sind, ist Lieferantenrisikomanagement unverzichtbar geworden, um die Sicherheit im erweiterten Unternehmensverbund aufrechtzuerhalten und Compliance-Anforderungen aus Frameworks wie SOC 2, PCI DSS und ISO 27001 zu erfüllen.