Lieferketten-Risiko: Verantwortung endet nicht an der eigenen Firewall

Die meisten Sicherheitskonzepte hören an der eigenen Netzwerkgrenze auf. Ein erheblicher Teil der Risiken sitzt aber außerhalb davon: beim Cloud-Anbieter, beim Wartungsdienstleister, beim Software-Zulieferer. Das eigene Sicherheitsniveau ist nur so hoch wie das der Partner, an die Daten und Zugänge weitergereicht werden. Wenn dort etwas schiefgeht, steht es trotzdem in der eigenen Verantwortung.

Der Fragebogen, der abgelegt und vergessen wird

In vielen Organisationen besteht die Lieferantenprüfung aus einem einmaligen Fragebogen. Er wird zu Beginn der Zusammenarbeit verschickt, ausgefüllt zurückgesendet, in einem Ordner abgelegt und danach nicht wieder angesehen. Das erzeugt ein Stück Papier, aber keine Sicherheit. Ob der Dienstleister zwei Jahre später noch dieselben Schutzmaßnahmen fährt, weiß niemand. Drittparteien-Risiko ist kein Zustand, der einmal festgestellt wird, sondern einer, der sich ständig verändert.

NIS2 macht aus der Kür eine Pflicht

Mit NIS2 ist die Sicherheit der Lieferkette ausdrücklich Teil der Risikomanagementpflichten. Betroffene Einrichtungen müssen die Risiken ihrer Dienstleister und Zulieferer bewerten und beherrschen, nicht einmalig, sondern fortlaufend. Damit wird aus freiwilliger Sorgfalt eine nachweispflichtige Aufgabe. Wer hier mit einer Sammlung alter PDF-Fragebögen antritt, hat denselben Nachweis-Fehler gemacht wie an jedem anderen Stichtag.

Was kontinuierliches Lieferantenmanagement bedeutet

isidaten behandelt Drittparteien nicht als Anhang, sondern als nachverfolgbare Objekte:

• Fragebögen mit Status: Sicherheits- und Datenschutz-Fragebögen werden versendet, im Status verfolgt und nach Rücklauf bewertet, statt in einem Postfach zu versanden.
• Verträge mit Fristen: Verträge und ihre Fristen liegen mit Wiedervorlage vor, sodass Verlängerung, Kündigung und Neubewertung nicht am Kalender eines Einzelnen hängen.
• Auftragsverarbeiter und Datentransfers: Wer welche Daten wohin verarbeitet, ist dokumentiert, inklusive der Übermittlungen, die datenschutzrechtlich begründet sein müssen.
• Wiederkehrende Bewertung: Die Prüfung ist kein einmaliger Akt, sondern ein wiederholbarer Vorgang mit nachvollziehbarem Verlauf.

Eine Objektbasis: Lieferant, Vertrag, Risiko, Nachweis

Der Unterschied liegt darin, wo ein erkanntes Lieferantenrisiko landet. Bei isidaten ist der Lieferant dasselbe Objekt über alle Bereiche: Fragebogen, Vertrag, Auftragsverarbeiter und Risikoregister greifen auf denselben Dienstleister zu, statt ihn in getrennten Tools und Ordnern mehrfach zu führen. Ein erkannter Mangel bleibt damit nicht in einem abgelegten Dokument stecken, sondern lässt sich als Risiko mit Maßnahme und dokumentierter Entscheidung weiterverfolgen. Aus verstreuten Einzeldokumenten wird ein zusammenhängender Stand, den eine Prüfung nachvollziehen kann.

Der Bezug zu NIS2

Für Einrichtungen unter NIS2 schließt das eine der häufigsten Lücken: die Lieferkette als blinder Fleck. Wer Lieferanten, Verträge und Verarbeiter an einem Ort führt und mit dem Risikomanagement verbindet, kann die geforderte Sorgfalt nicht nur behaupten, sondern belegen. Wie isidaten das abbildet, zeigen wir auf unserer Lösungen-Seite, oder direkt in einer Demo.