ISO 27001:2022 · A.5.22 · A.5 Organisatorische Maßnahmen
Überwachung und Änderungsmanagement von Lieferantenleistungen
Die Organisation muss die Informationssicherheitspraktiken und das Leistungsniveau von Lieferanten regelmäßig überwachen, überprüfen, bewerten und Änderungen steuern.
ISO 27001NIS2TISAXDORABSI
Was fordert dieses Control?
Die Organisation muss die Informationssicherheitspraktiken und das Leistungsniveau von Lieferanten regelmäßig überwachen, überprüfen, bewerten und Änderungen steuern.
Warum ist das wichtig?
Eine einmalige Bewertung reicht nicht. Lieferantenleistungen und -risiken ändern sich, kontinuierliche Überwachung hält das Risikobild aktuell.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Lieferantensteuerung | Direkt |
| TISAX | 6.1.1 | Überwachung von Lieferanten | Direkt |
| DORA | Art. 28 | Überwachung Drittparteien | Direkt |
| BSI | OPS.2.3 | Nutzung von Outsourcing | Direkt |
Was der Auditor erwartet
- Regelmäßige Überprüfung der Lieferantenleistung
- Reaktion auf Sicherheitsvorfälle bei Lieferanten
- Steuerung von Änderungen in der Leistungserbringung
Audit-Checkliste
Dokumente
Überwachungs-/Review-ProzessIntervalle und Kriterien der Lieferantenüberprüfung
Nachweise
Lieferanten-ReviewsDurchgeführte regelmäßige Bewertungen
Aktualisierte ZertifikatsablageGültige, nachgehaltene Zertifikate kritischer Lieferanten
Reaktionen auf Subprozessor-ÄnderungenDokumentierte Bewertung gemeldeter Änderungen beim Lieferanten
Praxis-Tipps zur Umsetzung
Re-Assessments planenKritische Lieferanten in festen Intervallen erneut bewerten.
SLAs überwachenVereinbarte Sicherheits- und Leistungskennzahlen aktiv nachhalten.
Änderungen erfassenWechsel von Subdienstleistern oder Standorten bewerten.
Trust-Center abonnierenNewsletter und Trust-Center der Anbieter abonnieren, um Subprozessor-Änderungen früh zu erkennen.
Häufige Fehler
Einmal bewertet, nie wiederDie initiale Prüfung wird nie aktualisiert.
Änderungen unbemerktLieferant verlagert Verarbeitung, ohne dass es auffällt.
Häufig gestellte Fragen
Wie oft muss man Lieferanten überprüfen?
Risikobasiert, kritische Lieferanten typischerweise jährlich, weniger kritische seltener.
Was tun bei einem Vorfall beim Lieferanten?
Den Vorfall bewerten, eigene Risiken prüfen und ggf. Maßnahmen oder Vertragskonsequenzen einleiten.
Zählt ein aktuelles ISO-Zertifikat als Nachweis?
Es ist ein starkes Indiz, ersetzt aber nicht die eigene risikobasierte Überwachung.
So hilft CompliantDesk bei A.5.22
Planen Sie wiederkehrende Lieferanten-Reassessments im Kalender und verfolgen Sie Bewertungen und Statusänderungen je Lieferant.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten