Anleitungen
Lieferant bewerten mit KaitoSec
Ein geführtes Szenario von Kritikalität, Fragebogen und Nachweisen bis zur Freigabe.
Dieses Szenario macht aus einer Lieferantenanfrage eine prüfbare Freigabeentscheidung. Der Kern ist nicht das Zertifikat allein, sondern die begründete Kritikalität und die Bewertung der Nachweise.
| Baustein | Inhalt |
|---|
| Normziel | ISO 27001 A.5.19 bis A.5.22. Lieferantenbeziehungen, Sicherheitsanforderungen, Überwachung und Änderungen müssen gesteuert werden. |
| Funktion | KaitoSec verbindet Lieferantendaten, Kritikalität, Fragebogen, Nachweise, Vertrag, Risiken, Bedingungen und Wiedervorlage. |
| Ergebnis | Eine begründete Lieferantenfreigabe mit dokumentierter Kritikalität, geprüften Nachweisen und offenen Bedingungen. |
| Schritt | Arbeit in KaitoSec | Ergebnis |
|---|
| 1 | Dienst, Kontakt, Datenzugriff und betroffene Assets erfassen. | Lieferantendatensatz. |
| 2 | Auswirkung auf Betrieb, Daten und Compliance bewerten. | Kritikalität. |
| 3 | Fragebogen und relevante Zertifikate über das Lieferantenportal einholen. | Lieferantenrückmeldung. |
| 4 | Sicherheitsklauseln, Leistungszusagen und Unterauftragnehmer prüfen. | Vertragsbewertung. |
| 5 | Restlücken und Abhängigkeiten als Risiko oder Ausnahme erfassen. | Lieferantenrisiko. |
| 6 | Freigabe, Bedingungen und Prüfdatum festhalten. | Freigabeentscheidung. |
| Feld | Beispiel |
|---|
| Lieferant | CRM-Anbieter. |
| Kritikalität | Hoch wegen Kundendaten und starker Dienstabhängigkeit. |
| Nachweise | ISO-27001-Zertifikat, SOC-2-Bericht, Auftragsverarbeitungsvertrag und Unterauftragnehmerliste. |
| Vertragsbedingung | Meldung neuer Unterauftragnehmer und jährliche Sicherheitsprüfung. |
| Risiko | Verzögerte Meldung von Sicherheitsvorfällen. |
| Entscheidung | Freigegeben mit offener Überwachung der Meldepflichten. |
Das ist ausreichend, wenn Kritikalität, Nachweise, Vertragsanforderungen, Risiken, Bedingungen und Prüfdatum dokumentiert sind.
| Fehler | Beraterhinweis |
|---|
| Nur Zertifikat prüfen | Bewerte auch Datenzugriff, Dienstabhängigkeit und Vertragslage. |
| Kritikalität nicht begründen | Die Prüftiefe hängt direkt von der Kritikalität ab. |
| Freigabe ohne Prüfdatum | Lieferantenrisiken ändern sich und brauchen Wiederbewertung. |
| Situation | Nächster Schritt |
|---|
| Antwort ist unvollständig | Rückfrage mit Frist im Lieferantenportal dokumentieren. |
| Vertrag enthält Lücke | Risiko oder Ausnahme anlegen und Bedingung für Freigabe ergänzen. |
| Kritikalität ist hoch | Wiederbewertung und Nachweispflicht festlegen. |
