Lieferantenrisiko messen: eine praktische Methode in 5 Schritten
Auch die beste Verteidigung fällt über den schwächsten Lieferanten. So machen Sie Lieferantenrisiko messbar statt nur dokumentiert.
Veröffentlicht: · 2 Min. Lesezeit · HilfeX Security‑Team
- Erst ein Inventar aller Lieferanten, dann Einstufung nach Kritikalität.
- Die Prüftiefe richtet sich nach Kritikalität – nicht jeder bekommt denselben langen Fragebogen.
- Der Risikoscore wird mindestens jährlich und nach Vorfällen aktualisiert.
Cloud‑Software, Wartungsfirmen, Entwicklungspartner und Logistiker greifen auf Ihre Systeme und Daten zu. Viele folgenreiche Angriffe der letzten Jahre trafen das Ziel nicht direkt, sondern über einen Lieferanten. ISO 27001 verlangt Informationssicherheit in Lieferantenbeziehungen, und NIS2 nennt die Sicherheit der Lieferkette ausdrücklich als Risikomanagement‑Maßnahme.
1. Inventar: Wer greift worauf zu?
Führen Sie alle Lieferanten in einer Liste zusammen: Leistung, zugängliche Systeme, verarbeitete Datenarten (vor allem personenbezogene Daten) und Fernzugriffe. Einkauf und IT pflegen oft getrennte Listen – führen Sie sie zusammen.
2. Nach Kritikalität einstufen
Stufen Sie jeden Lieferanten etwa als hoch, mittel oder niedrig ein. Kriterien: Auswirkung auf den Betrieb, Zugriffstiefe, Sensibilität der Daten und Ersetzbarkeit. Wartungsfirmen mit Fernzugriff auf OT‑Systeme sind meist hoch kritisch.
3. Bewertung: Fragebogen und Nachweise
- Hoch: ausführlicher Fragebogen, Nachweise (z. B. Zertifikate, Richtlinien, Pentest‑Zusammenfassung), ggf. Gespräch.
- Mittel: kurzer Fragebogen und Basisnachweise.
- Niedrig: Basiserklärung.
Fragen auf Basis anerkannter Rahmenwerke wie ISO 27001 Anhang A und NIS2 machen Antworten vergleichbar.
4. Risikoscore und Vertrag
Bewerten Sie Antworten je Kontrollbereich und kombinieren Sie sie mit der Kritikalität zu einem Risikoscore. Fordern Sie für hohe Risiken einen Maßnahmenplan. Ergänzen Sie Verträge um Informationssicherheit, Meldepflichten bei Vorfällen, Auditrechte und Regeln für Unterauftragnehmer.
5. Kontinuierlich überwachen
Wiederholen Sie die Bewertung mindestens jährlich sowie nach wesentlichen Änderungen oder Sicherheitsvorfällen beim Lieferanten. Prüfen Sie bei Vertragsende, dass alle Zugänge geschlossen sind.
Das Modul Lieferanten‑Risikoscore in HilfeX IQ Portal automatisiert Versand, Erinnerungen, Nachweise und Reporting in einem Dashboard.
Häufige Fragen
Sollte jeder Lieferant denselben Fragebogen bekommen?
Nein. Die Prüftiefe sollte sich nach der Kritikalität richten, sonst entsteht unnötiger Aufwand auf beiden Seiten.
Muss ein ISO‑27001‑zertifizierter Lieferant noch bewertet werden?
Das Zertifikat ist ein starkes Signal. Prüfen Sie aber, ob sein Geltungsbereich Ihre Leistung abdeckt und ob es gültig ist.
Wie oft sollte die Bewertung erneuert werden?
In der Regel mindestens jährlich und nach wesentlichen Änderungen oder Vorfällen.
