Im Vertrag steht es. Geprüft hat es niemand.

Der sorgfältigste Moment einer Dienstleisterbeziehung liegt vor ihrem Beginn. In der Verhandlung wird um Reaktionszeiten gerungen, um Zertifikate, um die Meldepflicht bei Vorfällen. Dann wird unterschrieben, der Vertrag wandert in die Ablage. Drei Jahre später fragt die Prüfung, wie sichergestellt wird, dass die Dienstleister die selbst gesetzten Anforderungen erfüllen. Die ehrliche Antwort lautet oft: gar nicht. Man hat sie vereinbart, nicht überwacht.

Anforderungen haben eine Richtung

Gedacht wird fast immer an das, was der Dienstleister schuldet. Ungefähr die Hälfte der vertraglichen Sicherheitsanforderungen geht aber in die andere Richtung: Zugänge zeitnah sperren, Ansprechpartner benennen, Systemänderungen ankündigen. Wer diese Seite nicht führt, steht bei der ersten Eskalation schlechter da als gedacht, weil der Dienstleister seine Mitwirkungspflichten belegen kann und man selbst nicht.

Ohne Nachweisart ist eine Anforderung nur ein Satz

„Der Dienstleister ist nach ISO 27001 zertifiziert" klingt nach Kontrollpunkt, bleibt aber ein Satz, solange nicht festgelegt ist, was der Nachweis sein soll und wann er nachgefordert wird. Zertifikat, Auditbericht, Pentest-Bericht und Eigenerklärung sind sehr verschiedene Belastungsgrade. Das gehört in den Moment der Unterschrift, weil es später niemand nachträgt.

Und erbracht ist kein Dauerzustand. Ein Zertifikat, das 2024 vorlag, liegt 2026 nicht mehr vor. Die interessante Statusänderung ist die von erbracht zu abgelaufen, und sie passiert lautlos. Dasselbe gilt für SLA-Zahlen: Vier Stunden Reaktionszeit sagen wenig, solange nicht daneben steht, ab wann gezählt wird und was passiert, wenn die Zeit reißt.

NIS2 verlangt Lieferkettensicherheit als fortlaufende Steuerung, nicht als einmalige Auswahlentscheidung, und ISO 27001 fordert in den Lieferanten-Controls die Überwachung der vereinbarten Leistungen. Beides scheitert an derselben Stelle: Der Vertrag ist ein Dokument, aber die Zusagen darin sind nirgends Kontrollpunkte mit Termin und Verantwortlichem.

Wie isidaten Verträge führt

Im Vertragsmanagement hängen an einem Vertrag nicht nur Laufzeit und Datei. Anforderungen werden einzeln geführt, mit Richtung, Kritikalität, Kategorie, Nachweisart, Nachweisstatus, Fälligkeit, Wiederholung, Verantwortlichem und Klauselverweis. Daneben stehen Pflichten mit Frist und SLA-Definitionen mit Zielwert, Servicezeiten und Eskalationsregeln.

Geprüft wird täglich: Drei Hintergrundläufe markieren Überfälliges, warnen vor anstehenden Fristen und setzen wiederkehrende Nachweise nach Ablauf automatisch von erbracht auf abgelaufen. Der Vertrag ist mit den Objekten verknüpft, um die es geht, von IT-Systemen und Software über Prozesse und Räume bis zum Verarbeitungsverzeichnis. So ist beim Auslaufen sichtbar, was daran hängt, und nicht nur, dass es ausläuft.

Mehr dazu auf der Modulseite Vertragsmanagement und der NIS2-Lösungsseite. Warum Auftragsverarbeitungsvertrag und Verarbeitungsverzeichnis auseinanderlaufen, stand hier vor Kurzem.