Ihre Lieferanten sind Ihre Angriffsfläche
Moderne Unternehmen sind auf Lieferanten angewiesen — Cloud-Services, IT-Partner, Berater, Subunternehmer. Jede solche Verbindung ist ein potenzieller Einstiegspunkt für Angreifer. Das NIS2UmsuCG erkennt dies an und macht Lieferantensicherheit zu einer expliziten Anforderung.
Die Realität: Wenn Sie einem Lieferanten Zugang zu Ihren Systemen oder Daten gewähren, teilen Sie Ihr Risiko mit ihm. Aber die Verantwortung bleibt bei Ihnen.
Was erfordert das NIS2UmsuCG?
NIS2UmsuCG Artikel 21 — Lieferantensicherheit:
Organisationen müssen angemessene Maßnahmen ergreifen bezüglich:
- Sicherheitsaspekte in Beziehungen zu Lieferanten
- Sicherheitsqualität von Lieferantenprodukten/-dienstleistungen
- Cybersicherheitsmethoden von Lieferanten, einschließlich Entwicklungsprozessen
- Schwachstellenmanagement und Berichterstattung der Lieferanten
Konsequenz: Sie können bei einem Vorfall nicht den Lieferanten beschuldigen. Sie sind dafür verantwortlich, das Risiko gemanagt zu haben.
Häufige Risiken in der Lieferkette
Der Lieferant hat unzureichende Sicherheit implementiert. Ihre Schwächen werden zu Ihren Schwächen.
Der Lieferant hat mehr Zugang als nötig. Größere Angriffsfläche bei einer Sicherheitsverletzung.
Der Lieferant meldet Vorfälle nicht. Sie wissen nicht, dass Sie exponiert sind.
Die Subunternehmer des Lieferanten sind unbekannt. Die Risikokette verlängert sich unkontrolliert.
Wer ist bei einem Vorfall wofür verantwortlich? Unklare Verträge führen zu Verzögerungen und Konflikten.
Kritische Abhängigkeit von einem Lieferanten. Wenn sie ausfallen, fallen Sie aus.
5 Schritte für effektive Vendor Compliance
- Inventarisieren und klassifizieren Listen Sie alle Lieferanten mit Systemzugang, Datenverarbeitung oder geschäftskritischer Bedeutung auf. Klassifizieren Sie nach Risikostufe: Kritisch, Hoch, Mittel, Niedrig. Konzentrieren Sie Ressourcen auf die kritischen.
- Sicherheitsanforderungen definieren Erstellen Sie Anforderungsstufen angepasst an die Klassifizierung. Kritische Lieferanten: ISO 27001 oder gleichwertig, Penetrationstests, Vorfallsberichterstattung. Niedrigeres Risiko: grundlegende Sicherheitsrichtlinien.
- Bewertung durchführen Verwenden Sie standardisierte Fragebögen. Fordern Sie Dokumentation an. Für kritische Lieferanten: erwägen Sie Vor-Ort- oder virtuelle Audits. Verifizieren Sie Antworten, vertrauen Sie nicht blind.
- Verträge aktualisieren Stellen Sie sicher, dass Verträge enthalten: Sicherheitsanforderungen, Vorfallsberichterstattungspflicht, Auditrechte, Anforderungen an Subunternehmer, Haftung bei Sicherheitsverletzungen, Exit-Klauseln.
- Kontinuierlich überwachen Vendor Compliance ist kein einmaliges Projekt. Jährliche Neubewertung kritischer Lieferanten. Überwachen Sie Nachrichten über Sicherheitsverletzungen. Reagieren Sie auf Änderungen.
Fragen an Lieferanten
Grundlegende Fragen (alle Lieferanten)
- Haben Sie eine dokumentierte Informationssicherheitsrichtlinie?
- Wie handhaben Sie Sicherheitsvorfälle?
- Haben Sie Sicherheitszertifizierungen (ISO 27001, SOC 2)?
- Wie schnell können Sie uns bei einem Vorfall benachrichtigen?
- Welche Subunternehmer verwenden Sie, die uns betreffen?
Vertiefende Fragen (kritische Lieferanten)
- Können wir Ihren neuesten Penetrationstestbericht einsehen?
- Wie oft führen Sie Sicherheitsüberprüfungen durch?
- Welche Sicherheitsschulung erhalten Ihre Mitarbeiter?
- Wie handhaben Sie Patching und Schwachstellen?
- Was ist Ihr RTO/RPO für Services an uns?
- Wie stellen Sie Sicherheit bei Ihren Subunternehmern sicher?
Vertrags-Checkliste
Muss enthalten sein:
- Verweis auf Ihre Sicherheitsanforderungen
- Verpflichtung zur Aufrechterhaltung von Sicherheitsstandards
- Vorfallsberichterstattung innerhalb von [X] Stunden
- Recht auf Sicherheitsaudit
- Genehmigungserfordernis für Subunternehmer
Sollte enthalten sein:
- SLA für sicherheitsrelevante Probleme
- Haftung bei Sicherheitsvorfällen
- Verpflichtung zur Information über Änderungen
- Backup- und Disaster-Recovery-Anforderungen
- Exit-Klauseln und Datenhandhabung bei Beendigung
Warnsignale
"Das ist vertraulich" ist keine akzeptable Antwort auf grundlegende Sicherheitsfragen.
Wenn sie keine Richtlinien und Verfahren zeigen können, haben sie wahrscheinlich keine reifen Prozesse.
"Wir hatten nie Vorfälle" ist selten wahr. Entweder untersuchen sie nicht, oder sie sind nicht ehrlich.
Wenn sie nicht wissen, welche Subunternehmer Ihre Daten handhaben, ist das ein ernstes Warnsignal.
Praktische Tipps
Richtig priorisieren
Nicht alle Lieferanten benötigen dieselbe Prüfung. Ein Cloud-Anbieter, der Kundendaten verarbeitet, erfordert tiefere Prüfung als ein Büromateriallieferant.
Standards verwenden
Fragebögen wie SIG (Standardized Information Gathering) oder CAIQ (Consensus Assessments Initiative Questionnaire) sparen Zeit und bieten Vergleichbarkeit.
Wo möglich automatisieren
Manuelles Lieferantenmanagement skaliert nicht. Verwenden Sie Tools für Bewertungen, Erinnerungen und Dokumentation.
Bereit sein zu handeln
Wenn ein Lieferant Anforderungen nicht erfüllt, haben Sie einen Plan. Können sie sich verbessern? Gibt es Alternativen? Welche kompensierenden Kontrollen können implementiert werden?
So kann Securapilot helfen
Securapilots Lieferantenmodul macht Vendor Compliance effizienter:
- Lieferantenregister — Zentralisierte Übersicht mit Klassifizierung
- Fragebögen — Standardisierte Bewertungen pro Risikostufe
- Risikobewertung — Automatische Risikobewertung basierend auf Antworten
- Erinnerungen — Automatische Nachverfolgung von Prüfungen
- Dokumentenmanagement — Alle Zertifikate und Berichte an einem Ort
- Dashboard — Überblick über die Lieferantenlandschaft
Demo buchen und sehen Sie, wie wir Ihnen helfen können, die Kontrolle über Lieferantenrisiken zu übernehmen.
Häufig gestellte Fragen
Was ist Vendor Compliance?
Vendor Compliance ist der Prozess, der sicherstellt, dass Ihre Lieferanten definierte Sicherheits- und regulatorische Anforderungen erfüllen. Es umfasst Initial-Assessment, Vertragsanforderungen und laufende Überwachung.
Warum sind Lieferanten mein Risiko?
Ihre Lieferanten haben oft Zugang zu Ihren Systemen oder Daten. Bei einer Sicherheitsverletzung bei ihnen können Sie direkt betroffen sein. Das NIS2UmsuCG macht Sie für das Management dieses Risikos verantwortlich.
Welche Lieferanten sollten geprüft werden?
Fokussieren Sie sich auf kritische Lieferanten: solche mit Zugang zu sensiblen Systemen/Daten, die geschäftskritische Services liefern oder Ihre Fähigkeit zur Servicebereitstellung beeinträchtigen können.
Wie oft sollten Prüfungen stattfinden?
Initial-Prüfung vor Vertragsabschluss. Kritische Lieferanten mindestens jährlich. Wichtige Lieferanten alle zwei Jahre. Alle bei wesentlichen Änderungen.
