Zum Inhalt springen
Demo buchen
ISO 27001:2022 · A.5.21 · A.5 Organisatorische Maßnahmen

Steuerung der Informationssicherheit in der IKT-Lieferkette

Prozesse und Verfahren müssen festgelegt und umgesetzt werden, um die Informationssicherheitsrisiken im Zusammenhang mit der Lieferkette für IKT-Produkte und -Dienstleistungen zu steuern.

ISO 27001NIS2TISAXDORABSI

Was fordert dieses Control?

Prozesse und Verfahren müssen festgelegt und umgesetzt werden, um die Informationssicherheitsrisiken im Zusammenhang mit der Lieferkette für IKT-Produkte und -Dienstleistungen zu steuern.

Warum ist das wichtig?

Software- und Hardware-Lieferketten sind komplex und ein zunehmendes Angriffsziel (Supply-Chain-Attacken). Transparenz und Anforderungen entlang der Kette sind essenziell.

Bezug zu anderen Normen

NormStelleThemaBezug
NIS2§ 30 Abs. 2 BSIGSicherheit der LieferketteDirekt
TISAX6.1.1IKT-LieferketteDirekt
DORAArt. 28-30IKT-DrittparteienDirekt
BSIOPS.2.3Nutzung von OutsourcingIndirekt

Was der Auditor erwartet

  • Sicherheitsanforderungen an IKT-Lieferanten und deren Vorlieferanten
  • Transparenz über kritische Komponenten und Subdienstleister
  • Umgang mit Schwachstellen in zugelieferten Produkten

Audit-Checkliste

Dokumente

Anforderungen an IKT-LieferketteSicherheitsvorgaben für Produkte, Dienste und Subunternehmer

Nachweise

Nachweise von LieferantenZertifikate, SBOM, Sicherheitszusagen
Subunternehmer-ListenWesentliche Vorlieferanten kritischer IKT-Lieferanten
Risikobewertung der IKT-LieferketteDokumentierte Bewertung inklusive bewusst akzeptierter Restrisiken

Praxis-Tipps zur Umsetzung

Transparenz fordernBei kritischer Software Stücklisten (SBOM) und Subunternehmer-Infos einfordern.
Vorlieferanten mitdenkenSicherheitsanforderungen müssen die gesamte Kette adressieren.
Schwachstellen koppelnLieferkette mit Schwachstellenmanagement (A.8.8) verzahnen.

Häufige Fehler

Nur direkter LieferantVorlieferanten und Komponenten bleiben unbeachtet.
Keine Reaktion auf LückenSchwachstellen in zugelieferten Produkten werden nicht verfolgt.

Häufig gestellte Fragen

Was ist eine SBOM?
Eine Software Bill of Materials, also eine Stückliste aller Komponenten einer Software, hilfreich für Schwachstellenmanagement.
Wie unterscheidet sich das von A.5.19?
A.5.19 betrifft Lieferanten allgemein, A.5.21 speziell die IKT-Lieferkette inklusive Vorlieferanten und Komponenten.
Betrifft das auch Cloud-Dienste?
Ja, Cloud-Anbieter und ihre Subdienstleister sind Teil der IKT-Lieferkette.
So hilft CompliantDesk bei A.5.21

Erfassen Sie IKT-Lieferanten mit Kritikalität und Subdienstleistern und verknüpfen Sie Schwachstellen- und Risikoinformationen entlang der Kette.

Demo buchenKostenloser NIS2-Check

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten