ISO 27001:2022 · A.5.20 · A.5 Organisatorische Maßnahmen
Adressierung der Sicherheit in Lieferantenvereinbarungen
Relevante Informationssicherheitsanforderungen müssen mit jedem Lieferanten je nach Art der Lieferantenbeziehung festgelegt und vereinbart werden.
ISO 27001NIS2TISAXDSGVOBSI
Was fordert dieses Control?
Relevante Informationssicherheitsanforderungen müssen mit jedem Lieferanten je nach Art der Lieferantenbeziehung festgelegt und vereinbart werden.
Warum ist das wichtig?
Nur vertraglich verankerte Sicherheitsanforderungen sind durchsetzbar. Verträge müssen Pflichten, Meldewege und Kontrollrechte klar regeln.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Lieferkettensicherheit | Direkt |
| TISAX | 6.1.1 | Vertragliche Anforderungen | Direkt |
| DSGVO | Art. 28 | Auftragsverarbeitung (AVV) | Direkt |
| BSI | OPS.2.3 | Nutzung von Outsourcing | Direkt |
Was der Auditor erwartet
- Sicherheitsklauseln in Lieferantenverträgen
- AVV bei Verarbeitung personenbezogener Daten
- Regelung von Melde-, Audit- und Subunternehmerpflichten
Audit-Checkliste
Dokumente
Vertragsvorlagen mit SicherheitsklauselnPflichten, Meldewege, Audit- und Löschregelungen
AVV-VorlagenDSGVO-konforme Auftragsverarbeitungsverträge
Nachweise
Abgeschlossene Verträge / AVVStichprobe für kritische Lieferanten
Dokumentierte AbweichungenNicht durchsetzbare Anforderungen mit begründeter Risikoakzeptanz
Vereinbarte MeldepflichtVertragsklausel zur fristgebundenen Vorfallmeldung durch den Lieferanten
Praxis-Tipps zur Umsetzung
Standardklauseln nutzenSicherheits- und AVV-Bausteine als wiederverwendbare Vorlagen pflegen.
Subunternehmer regelnWeitergabe an Subdienstleister vertraglich einschränken und transparent machen.
Kontrollrechte sichernAudit- und Nachweisrechte für kritische Lieferanten vereinbaren.
Häufige Fehler
AVV fehltPersonenbezogene Daten werden ohne Auftragsverarbeitungsvertrag verarbeitet.
Keine MeldepflichtVerträge regeln nicht, dass Lieferanten Vorfälle melden müssen.
Häufig gestellte Fragen
Wann braucht man einen AVV?
Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, ist er nach Art. 28 DSGVO Pflicht.
Was gehört in die Sicherheitsklauseln?
Schutzanforderungen, Meldepflichten, Audit- und Kontrollrechte sowie Lösch- und Subunternehmerregelungen.
Gilt das für alle Lieferanten?
Umfang und Tiefe richten sich nach der Kritikalität der Beziehung.
So hilft CompliantDesk bei A.5.20
Verwalten Sie AVV und Sicherheitsvereinbarungen als verknüpfte Dokumente je Lieferant inklusive Fristen und Statusüberblick.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten