Lieferantenaudit: Aus einer Ja-Antwort einen belastbaren Nachweis machen

„Backups werden regelmäßig getestet.“ Die Antwort im Lieferantenfragebogen klingt beruhigend. Offen bleibt, was getestet wurde, ob eure Leistung dazugehört und ob festgestellte Fehler behoben sind.

Ein Lieferantenaudit untersucht solche Aussagen anhand vereinbarter Kriterien und geeigneter Nachweise. Dieser Leitfaden zeigt einen kompakten Ablauf für Informationssicherheit. Er ersetzt nicht die allgemeine Lieferantenbewertung: Dort priorisierst du Beziehungen. Hier prüfst du einen konkreten Sachverhalt.

Lege einen prüfbaren Auftrag fest

Schreibe vor dem Termin auf, welche Leistung du beurteilen willst. „Der Cloud-Anbieter“ ist zu breit. „Die Wiederherstellung unserer gehosteten Auftragsanwendung einschließlich der vereinbarten Datenbasis“ lässt sich untersuchen.

Halte außerdem fest:

• Welche Sicherheitsanforderung dient als Kriterium?
• Welche Systeme, Standorte und Zeiträume gehören zur Prüfung?
• Welche Unterlagen oder Gespräche werden benötigt?
• Wer beurteilt die Ergebnisse und entscheidet über offene Punkte?

Die ENISA-Leitlinie zur Lieferkettensicherheit behandelt in Abschnitt 3.3 vereinbarte Sicherheitsanforderungen, Prüfungen und vertragliche Auditrechte. Daraus folgt keine pauschale Vor-Ort-Auditpflicht für jeden Lieferanten. Wähle die Prüfungstiefe anhand des Risikos, der vorhandenen Assurance und eurer Vereinbarungen.

Ein Dokumentenreview kann für eine klar begrenzte Frage ausreichen. Eine offene kritische Aussage kann zusätzliche Nachweise oder ein Gespräch mit den Verantwortlichen erfordern. Technische Tests und Zugriffe brauchen einen ausdrücklich vereinbarten Umfang.

Fordere Belege an, die die Frage beantworten

Ein Zertifikat kann eine wichtige Grundlage sein. Prüfe jedoch seinen Geltungsbereich und die erfasste Leistung. Ein Fragebogen beschreibt zunächst eine Selbstauskunft. Ein Testprotokoll kann eine konkrete Durchführung belegen. Diese Belegarten sind nicht austauschbar.

Fiktive Nachweisstichprobe für Wiederherstellung:

Vereinbare eine sichere Form der Einsicht. Geschwärzte Unterlagen oder eine kontrollierte Bildschirmansicht können zweckmäßiger sein als vollständige Betriebsdaten per E-Mail. Dokumentiere dann auch die Grenzen deiner Prüfung: Was hast du gesehen, und was konntest du nicht beurteilen?

Trenne Beobachtung, Kriterium und Bewertung

Eine nachvollziehbare Feststellung besteht aus einer überprüften Beobachtung und dem zugehörigen Kriterium. Schreibe nicht nur „Backup mangelhaft“.

Ein genaueres, fiktives Beispiel:

Für die beauftragte Anwendung wurde ein Wiederherstellungstest vorgelegt. Der Test erfasste die Datenbank, aber nicht die zusätzlich vereinbarte Dokumentenablage. Für diesen Teil liegt in der geprüften Stichprobe kein Ergebnis vor.

Daraus folgt zunächst eine Nachforderung oder weitere Prüfung. Ob tatsächlich eine Abweichung besteht, hängt vom Kriterium und den weiteren Belegen ab. Fehlende Einsicht und nachgewiesene Nichterfüllung sind unterschiedliche Ergebnisse.

Vermeide pauschale Punktwerte, die diese Unsicherheit verstecken. Benenne, was die offene Frage für eure Leistung bedeutet.

Führe Feststellungen bis zur erneuten Prüfung

Nutze pro Feststellung ein kurzes Protokoll:

„Lieferant hat zugesagt“ ist noch kein Wirksamkeitsnachweis. Bei der Nachprüfung brauchst du nicht zwangsläufig das gesamte Audit zu wiederholen. Prüfe gezielt, ob der offene Punkt geklärt wurde und ob die Änderung neue Auswirkungen hat.

Wann musst du wieder hinschauen?

Ein neuer Unterauftragnehmer, eine geänderte Leistung oder ein relevanter Vorfall kann die bisherige Bewertung verändern. Lege solche Auslöser neben dem regulären Review fest. Für Automotive-Zulieferer behandelt der ISA2027-Leitfaden den konkreten Versionswechsel separat.

Beginne mit einer kritischen Aussage aus einem bestehenden Fragebogen. Verfolge sie vom Kriterium über den Beleg bis zur Entscheidung. Wenn das nur mit mehreren losen E-Mail-Verläufen gelingt, habt ihr einen klaren Ansatzpunkt für eure Arbeitsorganisation.

Kopexa könnt ihr anhand dieses Falls prüfen: Bleiben Lieferant, offene Maßnahme und zugehöriger Nachweis nachvollziehbar verbunden? Der Nutzen zeigt sich am geklärten Prüffall, nicht an der Anzahl ausgefüllter Fragen.