Lieferantenbewertung: Kriterien, Gewichtung und Excel-Vorlage
Bewerte Lieferanten mit passenden Kriterien, gewichteten Antworten und Ausschlusskriterien. Kostenlose Excel-Vorlage mit Anleitung und ausgefülltem Beispiel.
Ein Lieferant hat eine Sicherheitsrichtlinie, erstellt Backups und nennt einen Ansprechpartner. Reicht das für eure Zusammenarbeit? Die Antwort hängt davon ab, welche Leistung er erbringt, welche Daten er verarbeitet und welche Zugriffe er erhält.
Eine Lieferantenbewertung macht diese Entscheidung nachvollziehbar. Du legst Kriterien fest, prüfst Antworten und Nachweise und hältst offene Punkte fest. Die folgende Vorlage hilft beim Einstieg in die Bewertung der Informationssicherheit eines Dienstleisters.
Excel-Vorlage zur Lieferantenbewertung herunterladen – ohne Registrierung. Enthalten sind ein leeres Arbeitsblatt, ein fiktives Beispiel und eine Anleitung. Die Bewertung berechnet sich aus deinen Eingaben; Gewichte und Grenzen kannst du anpassen.
Was gehört in eine Lieferantenbewertung?
Beginne mit der Leistung und ihrem Kontext. Ein Anbieter mit Zugriff auf produktive Kundendaten braucht andere Prüfungen als ein Lieferant ohne Zugang zu euren Systemen. Halte vor dem Fragebogen fest:
- Welche Leistung kauft ihr ein, und welcher Geschäftsprozess hängt davon ab?
- Welche Informationen, Systeme und Zugriffsrechte sind betroffen?
- Wer beurteilt die Antworten, und wer klärt offene Punkte?
- Wann wurde geprüft, und wann ist die nächste Überprüfung vorgesehen?
Kritikalität und Risikoeinstufung beantworten unterschiedliche Fragen. Kritikalität beschreibt, wie wichtig die Leistung für euch ist. Die Bewertung beschreibt Sicherheitslücken im betrachteten Kontext. Ein kritischer Anbieter kann gut abgesichert sein. Ein kleiner Anbieter kann trotzdem weitreichende Zugriffe haben.
Zehn Kriterien als Ausgangspunkt
Die Excel-Vorlage enthält zehn Fragen. Sie sind ein Beispiel für die Informationssicherheit von Dienstleistern, kein allgemeiner Einkaufsfragebogen zu Qualität, Preis und Lieferfähigkeit.
| Kriterium | Was du klären solltest | Beispielgewicht |
|---|---|---|
| Zugriffsrechte | Sind Zugriffe auf benötigte Systeme und Daten begrenzt? | 3 |
| Authentifizierung | Sind privilegierte und externe Zugriffe mit MFA abgesichert? | 3 |
| Datenschutz | Sind benötigte Verträge und Verarbeitungsorte geklärt? | 3 |
| Informationssicherheit | Sind Verantwortung und Richtlinien dokumentiert? | 2 |
| Datensicherung | Werden Sicherungen und Wiederherstellung geprüft? | 3 |
| Notfallvorsorge | Sind Ausfallvorsorge und Wiederanlauf geklärt? | 2 |
| Vorfälle | Sind Meldeweg, Ansprechpartner und Reaktionszeiten vereinbart? | 2 |
| Unterlieferanten | Sind relevante Unterlieferanten und Leistungen bekannt? | 2 |
| Sicherheitsnachweise | Gibt es passende aktuelle Nachweise oder Prüfberichte? | 1 |
| Beendigung | Sind Datenrückgabe, Löschung und Zugriffsentzug geregelt? | 2 |
Passe diese Fragen an eure Leistung an. Ein Zertifikat kann ein hilfreicher Nachweis sein. Prüfe trotzdem, ob sein Geltungsbereich die eingekaufte Leistung abdeckt und ob offene Fragen damit tatsächlich beantwortet werden.
Antworten gewichten und Punkte berechnen
Die Vorlage verwendet eine Skala von 0 bis 5. 0 bedeutet ausdrücklich nicht erfüllt. Eine fehlende Antwort bleibt leer. So wird Unwissen nicht mit einer nachgewiesenen Lücke verwechselt. Die Anleitung beschreibt Zwischenstufen für geplante, teilweise umgesetzte und belegte Anforderungen.
Für jede Frage berechnet Excel die gewichteten Punkte:
Gewichtete Punkte = Antwortpunkte × Gewicht
Der Erfüllungsgrad ergibt sich aus allen aktiven Fragen:
Erfüllungsgrad = Summe gewichteter Punkte ÷ Summe maximaler Punkte
Gewicht 0 nimmt eine Frage aus der Wertung. Dokumentiere dafür die Begründung. Sobald eine aktive Frage fehlt oder ein Eingabewert ungültig ist, zeigt die Vorlage keine vollständige Einstufung. Sie verwendet ausschließlich ganze Punkt- und Gewichtswerte von 0 bis 5.
Die voreingestellten Grenzen lauten: ab 80 % niedrig, ab 60 % mittel, darunter hoch. Das sind anpassbare Beispielregeln, keine Vorgaben aus ISO 27001 und keine berechnete Wahrscheinlichkeit eines Sicherheitsvorfalls. Ein hoher Erfüllungsgrad bildet nur die von euch bewerteten Kriterien ab.
Ausschlusskriterien dürfen im Durchschnitt nicht verschwinden
Manche Voraussetzungen sind für eine konkrete Leistung unverzichtbar. Kennzeichne sie vor der Befragung als Ausschlusskriterium. In der Vorlage löst die Kombination aus „Ausschluss: Ja“ und 0 Punkten einen gesonderten Hinweis aus. Er überstimmt die normale Kategorie.
Das bedeutet nicht, dass die Tabelle automatisch einen Lieferanten ablehnt. Dein Team muss klären, ob die Leistung verändert werden kann, eine Voraussetzung nachgebessert wird oder die Zusammenarbeit nicht möglich ist.
Im fiktiven Beispiel „BeispielCloud“ kommen 69 von 115 möglichen Punkten zusammen: 60 %. Bei der Authentifizierung stehen jedoch 0 Punkte und ein aktives Ausschlusskriterium. Deshalb lautet das Ergebnis „Ausschluss prüfen“, obwohl der reine Punktwert in die mittlere Kategorie fällt. Gute Antworten auf andere Fragen gleichen diese Voraussetzung nicht aus.
Vom Ergebnis zur nächsten Handlung
Eine Bewertung ist erst dann hilfreich, wenn jemand die offenen Punkte übernimmt. Verknüpfe jede relevante Lücke mit einer konkreten Rückfrage oder Maßnahme. Halte Zuständigkeit, Frist und Nachweis fest. Prüfe anschließend, ob die Antwort eure Entscheidung tatsächlich verändert.
Plane auch die nächste Aktualitätsprüfung. Leistungen, Unterlieferanten und Zugriffe können sich ändern. Ein ausgefüllter Fragebogen bleibt ein Nachweis für einen bestimmten Zeitpunkt.
Das übergreifende Vorgehen beschreibt unser Leitfaden zum Lieferantenrisikomanagement. Dieser Beitrag konzentriert sich auf Kriterien und Auswertung einer einzelnen Bewertung.
Wann die Excel-Vorlage an ihre Grenzen kommt
Die Tabelle verschickt keine Fragebögen, erinnert keinen Lieferanten und führt keine Aufgaben mit deinem Team nach. Für eine erste Bewertung oder die Abstimmung eurer Methode ist sie nützlich. Bei vielen parallelen Bewertungen entsteht Arbeit rund um Versand, Rückfragen, Versionen und Prüftermine.
Mit Lieferanten-Assessments in Kopexa versendest du Surveys einschließlich Erinnerungen und konfigurierst antwortbasierte Risikobewertungen. Dein Team prüft auffällige Antworten und führt offene Punkte im Zusammenhang des Lieferanten weiter. Das Lieferantenmanagement verbindet diese Arbeit mit Risiken, Aufgaben und Lieferantenketten.
Häufige Fragen
Gibt es eine feste Formel für jede Lieferantenbewertung?
Die Formel dieser Vorlage ist ein nachvollziehbarer Einstieg. Kriterien, Gewichtung, Skalen und Grenzen müssen zu euren Leistungen passen. Eine andere Methode kann sinnvoll sein, wenn ihr beispielsweise Qualität oder Lieferfähigkeit bewertet.
Ist eine fehlende Antwort automatisch ein Ausschlusskriterium?
Nein. Eine fehlende Antwort bleibt offen. In dieser Vorlage wird ein Ausschluss erst bei einem vorher gekennzeichneten Kriterium und einer ausdrücklich mit 0 bewerteten Antwort ausgelöst.
Ersetzt das Rating die Lieferantenfreigabe?
Nein. Es strukturiert die Bewertung. Die Entscheidung über Zusammenarbeit, Bedingungen und akzeptierte Risiken bleibt ein eigener, dokumentierter Schritt.
Quellen
- NIST SP 800-161 Rev. 1, Update 1 [Abgerufen am ]