ISO 27001:2022 · A.5.19 · A.5 Organisatorische Maßnahmen
Informationssicherheit in Lieferantenbeziehungen
Prozesse und Verfahren müssen festgelegt und umgesetzt werden, um die Risiken im Zusammenhang mit der Nutzung von Produkten und Dienstleistungen von Lieferanten zu steuern.
ISO 27001NIS2TISAXDORABSIDSGVO
Was fordert dieses Control?
Prozesse und Verfahren müssen festgelegt und umgesetzt werden, um die Risiken im Zusammenhang mit der Nutzung von Produkten und Dienstleistungen von Lieferanten zu steuern.
Warum ist das wichtig?
Lieferanten und Dienstleister sind ein häufiger Angriffsweg. Ein strukturiertes Lieferantenmanagement begrenzt die Risiken aus der Lieferkette.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Lieferkettensicherheit | Direkt |
| TISAX | 6.1.1 | Lieferantenmanagement | Direkt |
| DORA | Art. 28 | IKT-Drittparteienrisiko | Direkt |
| BSI | OPS.2.3 | Nutzung von Outsourcing | Direkt |
| DSGVO | Art. 28 | Auswahl von Auftragsverarbeitern | Direkt |
Was der Auditor erwartet
- Prozess zur Bewertung und Steuerung von Lieferantenrisiken
- Risikobasierte Einstufung der Lieferanten
- Übersicht relevanter Lieferanten mit Datenzugriff
Audit-Checkliste
Dokumente
Lieferantenmanagement-RichtlinieBewertung, Einstufung und Steuerung von Lieferanten
Nachweise
LieferantenbewertungenDurchgeführte Sicherheitsbewertungen
Lieferantenregister mit EinstufungRelevante Lieferanten mit Kritikalität und Datenzugriff
Eingesammelte ZertifikateBelege wie ISO 27001, TISAX oder SOC 2 kritischer Lieferanten
Interviews
Einkauf / VerantwortlicheWie Lieferanten ausgewählt und bewertet werden
Praxis-Tipps zur Umsetzung
Risikobasiert priorisierenKritische Lieferanten mit Datenzugriff intensiver bewerten als unkritische.
Vor Vertragsschluss bewertenSicherheit bereits bei der Auswahl prüfen, nicht erst danach.
Register führenAlle relevanten Lieferanten zentral mit Risikoeinstufung erfassen.
Häufige Fehler
Keine ÜbersichtNiemand weiß, welche Dienstleister Zugriff auf welche Daten haben.
Nur Preis zähltSicherheit spielt bei der Lieferantenauswahl keine Rolle.
Häufig gestellte Fragen
Welche Lieferanten muss man bewerten?
Vor allem solche mit Zugriff auf Informationen oder Systeme, risikobasiert priorisiert.
Wie bewertet man Lieferanten?
Über Fragebögen, Zertifikate (z.B. ISO 27001) und ggf. Audits, abhängig von der Kritikalität.
Wie verhält sich das zu A.5.20?
A.5.19 regelt den Gesamtprozess, A.5.20 die konkreten Sicherheitsanforderungen in den Verträgen.
So hilft CompliantDesk bei A.5.19
Das Lieferanten-Modul führt ein Register mit Risikoeinstufung, versendet Sicherheitsfragebögen und dokumentiert Bewertungen auditfähig.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten