A.5 Organisatorische Maßnahmen
Steuerung der Informationssicherheit in der IKT-Lieferkette
Prozesse und Verfahren müssen festgelegt und umgesetzt werden, um die Informationssicherheitsrisiken im Zusammenhang mit der Lieferkette für IKT-Produkte und -Dienstleistungen zu steuern.
Was fordert dieses Control?
Prozesse und Verfahren müssen festgelegt und umgesetzt werden, um die Informationssicherheitsrisiken im Zusammenhang mit der Lieferkette für IKT-Produkte und -Dienstleistungen zu steuern.
Warum ist das wichtig?
Software- und Hardware-Lieferketten sind komplex und ein zunehmendes Angriffsziel (Supply-Chain-Attacken). Transparenz und Anforderungen entlang der Kette sind essenziell.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| NIS2 | Art. 21 (2) | Direkt |
| TISAX | 6.1.1 | Direkt |
| DORA | Art. 28-30 | Direkt |
Was der Auditor erwartet
- 1Sicherheitsanforderungen an IKT-Lieferanten und deren Vorlieferanten
- 2Transparenz über kritische Komponenten und Subdienstleister
- 3Umgang mit Schwachstellen in zugelieferten Produkten
Audit-Checkliste
Dokumente
Anforderungen an IKT-Lieferkette
Sicherheitsvorgaben für Produkte, Dienste und Subunternehmer
Nachweise
Nachweise von Lieferanten
Zertifikate, SBOM, Sicherheitszusagen
Praxis-Tipps zur Umsetzung
Transparenz fordern
Bei kritischer Software Stücklisten (SBOM) und Subunternehmer-Infos einfordern.
Vorlieferanten mitdenken
Sicherheitsanforderungen müssen die gesamte Kette adressieren.
Schwachstellen koppeln
Lieferkette mit Schwachstellenmanagement (A.8.8) verzahnen.
Häufige Fehler
Nur direkter Lieferant
Vorlieferanten und Komponenten bleiben unbeachtet.
Keine Reaktion auf Lücken
Schwachstellen in zugelieferten Produkten werden nicht verfolgt.
Häufig gestellte Fragen
Was ist eine SBOM?
Eine Software Bill of Materials, also eine Stückliste aller Komponenten einer Software, hilfreich für Schwachstellenmanagement.
Wie unterscheidet sich das von A.5.19?
A.5.19 betrifft Lieferanten allgemein, A.5.21 speziell die IKT-Lieferkette inklusive Vorlieferanten und Komponenten.
Betrifft das auch Cloud-Dienste?
Ja, Cloud-Anbieter und ihre Subdienstleister sind Teil der IKT-Lieferkette.
So hilft CompliantDesk bei A.5.21
Erfassen Sie IKT-Lieferanten mit Kritikalität und Subdienstleistern und verknüpfen Sie Schwachstellen- und Risikoinformationen entlang der Kette.