Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

Lieferantenleistungen freigeben und nachhalten

Führe eine externe Leistung durch Auswahl, Vereinbarung, Nutzung und Ausstieg. Nutze vorhandene Lieferantenbewertungen und halte Entscheidungen sowie offene Arbeit im bestehenden Beschaffungs- oder Servicevorgang zusammen.

Verantwortlich: Intern zuständige Person für die Leistung mit Einkauf, Fachbereich und ITFachlich geprüft am

Vorhandene Unterlagen nutzen

Verwende eure Lieferantenakte, Verträge und bestehende Risikomethode weiter. Die Bewertungs-Excel hilft, wenn ein geeigneter Fragebogen fehlt. Die gemeinsame Lieferanten- und Cloud-Richtlinie regelt den Ablauf; sie erzeugt weder eine zweite Bewertung noch ein Pflichtformular für jede Prüfung.

Was du konkret tun musst

  1. 1

    Leistung und passende Prüfung bestimmen

    Beschreibe im vorhandenen Eintrag Zweck, betroffene Informationen, Zugriffe und die Folgen eines Ausfalls. Benenne die zuständige Person. Nutze eure Risikomethode und bestehende Bewertung, um nötige Fragen, Nachweise und Prüfwege auszuwählen. Vergleiche bei einem Zertifikat Gültigkeit, Geltungsbereich und erfasste Leistung mit eurem Einsatz. Halte offene Fragen fest.

  2. 2

    Bedingungen und Nutzung entscheiden

    Prüfe die erforderlichen Sicherheitsleistungen gegen Vertrag oder angebotene Standardbedingungen. Kläre Schutz, Vorfallkontakte und Mitwirkung, relevante Unterauftragnehmer, Änderungen, passende Nachweise und das Ende der Leistung. Bei IKT-Produkten kommen kritische Komponenten, Herkunft, Integrität und Unterstützung hinzu. Nutze dafür geeignete Herstellerangaben oder risikogerechte Prüfungen. Die befugte Rolle entscheidet über Nutzung und offene Bedingungen. Eine interne Freigabe hebt geltende Pflichten nicht auf.

  3. 3

    Cloud-Aufgaben zuordnen und umsetzen

    Halte für den tatsächlich genutzten Dienst fest, welche Aufgaben beim Anbieter und welche bei euch liegen. Benenne intern Verantwortliche für die verbleibende Konfiguration, Zugriffe, Überwachung, Sicherung, Wiederherstellung und Vorfallmitwirkung. Prüfe etwa, wer Backups erstellt und wer deren Rückspielbarkeit testet. Setze die eigenen Aufgaben nach euren vorhandenen Zugangs- und Betriebsregeln um. Der Dienstbezug allein erledigt sie nicht.

  4. 4

    Prüfung, Änderungen und Ausstieg durchführen

    Lege im selben Vorgang fest, wer welche vereinbarte Leistung und Nachweise wann prüft. Bewerte Ergebnisse und verfolge nötige Korrekturen. Prüfe zusätzlich bei relevanten Änderungen, etwa neuem Unterlieferanten, Datenort oder Wartungsende, was sich an Risiko, Vertrag und Freigabe ändern muss. Bereite beim Ausstieg Übergabe oder Export und die weitere Nutzbarkeit benötigter Daten vor. Führe vereinbarte Löschung sowie getrennten Zugriffsentzug durch und prüfe das Ergebnis. Halte berechtigte Aufbewahrung und offene Nachweise fest.

Praxisbeispiel

Beispiel: Ein Cloud-Dienst wechselt den Unterauftragnehmer

Ein freigegebener Cloud-Dienst kündigt einen neuen Unterauftragnehmer und einen anderen Verarbeitungsort an. Der bestehende Servicevorgang enthält Bewertung und Vertrag.

Änderung prüfen
FestlegungDie zuständige Person klärt, welche Daten und vereinbarten Bedingungen betroffen sind. Sie bewertet die Änderung mit den beteiligten Sicherheits- und Datenschutzrollen.
NachweisAnkündigung, betroffene Leistung und bewertete Vertrags- oder Risikofolgen sind am Servicevorgang verknüpft.
Nutzung entscheiden
FestlegungDie befugte Rolle entscheidet über die weitere Nutzung und notwendige Schutz- oder Vertragsänderungen. Offene Punkte erhalten eine zuständige Person.
NachweisDie Entscheidung verweist auf die bewertete Änderung und den gültigen Vereinbarungsstand.
Ergebnis nachhalten
FestlegungDie zuständige Person prüft, ob die entschiedenen Änderungen umgesetzt wurden. Ist die weitere Nutzung nicht tragbar, führt sie den vorbereiteten Export und Ausstieg mit Anbieter und IT durch.
NachweisPrüfergebnis und ausgeführte Folgearbeiten bleiben im bestehenden Vorgang. Ein nötiger Ausstieg wird mit Übergabe, Zugriffsende und Löschstand abgeschlossen.

Ergebnis festhalten

  • Der bestehende Lieferanten- oder Servicevorgang verbindet Leistung, Verantwortung, Bewertung und begründete Nutzungsentscheidung mit dem gültigen Vereinbarungsstand.
  • Bei Cloud-Diensten sind Anbieter- und Kundenaufgaben sowie deren tatsächliche Umsetzung und passende Prüfergebnisse nachvollziehbar. Kritische IKT-Abhängigkeiten und relevante Unterlieferanten bleiben im Zusammenhang sichtbar.
  • Die laufende Prüfung zeigt bewertete Ergebnisse, Änderungen und tatsächliche Folgearbeit. Beim Ende der Leistung sind Übergabe, Lösch- und Zugriffsstand sowie offene Aufbewahrung oder Nachweise nachvollziehbar.

Häufige Fehler bei der Umsetzung

Ein Zertifikat als Freigabe behandeln

Prüfe, ob es die eingekaufte Leistung und euren Einsatz abdeckt. Kläre verbleibende Risiken und offene Bedingungen, bevor die befugte Rolle die Nutzung entscheidet.

Anbieteraufgaben mit eigenen Aufgaben verwechseln

Eine Sicherung beim Provider beantwortet noch nicht, wer eure Daten in welcher Form wiederherstellen kann. Kläre die konkrete Aufteilung und prüfe eure verbleibenden Aufgaben.

Für jede Prüfung eine neue Liste anlegen

Führe Ergebnis und Folgearbeit am bestehenden Servicevorgang. Ein neues Register oder ein Vor-Ort-Audit bei jedem Lieferanten ist kein allgemeiner Pflichtweg.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen
  • A.5.19 · Informationssicherheit in Lieferantenbeziehungen

    Kapitel 1 und 2 führen konkrete Leistung, Zuständigkeit, risikogerechte Bewertung und Freigabe im bestehenden Vorgang zusammen. Die tatsächliche Bewertung und Entscheidung müssen am eigenen Bestand erfolgen.

  • A.5.20 · Berücksichtigung der Informationssicherheit in Lieferantenvereinbarungen

    Kapitel 3 unterstützt passende Sicherheitsvereinbarungen und nachvollziehbare Abweichungsentscheidungen. Tatsächliche Vereinbarung, rechtliche Prüfung und Umsetzung bleiben erforderlich.

  • A.5.21 · Management der Informationssicherheit in der IKT-Lieferkette

    Kapitel 3 bezieht relevante IKT-Unterauftragnehmer, kritische Komponenten, Integrität und Unterstützung in die Auswahl und Vereinbarung ein. Reale Lieferketteninformationen und geeignete Prüfbelege müssen beschafft und bewertet werden.

  • A.5.22 · Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen

    Kapitel 5 verbindet regelmäßige und anlassbezogene Leistungsprüfung mit Änderungsentscheidungen und Korrekturen im vorhandenen Vorgang. Prüfung, Auswertung und Folgearbeiten müssen tatsächlich durchgeführt werden.

  • A.5.23 · Informationssicherheit bei Nutzung von Cloud-Diensten

    Kapitel 4 und 5 unterstützen den Cloud-Lebenszyklus durch konkrete Aufgabenteilung, eigene Nutzung, Prüfung, Änderungen und Ausstieg. Tatsächliche Konfiguration und Umsetzung werden dadurch nicht nachgewiesen.

  • TISAX · 6.1.1

    VDA ISA 6.0.3 · Teilweise Überschneidung

    Der gemeinsame Ablauf unterstützt die risikogerechte Auswahl und Bewertung sicherheitsrelevanter Leistungen, passende Vereinbarungen und die Prüfung von Auftragnehmern und Kooperationspartnern. Reale Bewertungen, abgeschlossene Vereinbarungen, Prüfergebnisse sowie anwendbare zusätzliche Anforderungen bleiben nachzuweisen. Kein eigener Cloud-ISA-Crosswalk und keine vollständige Zielerfüllung.

    Referenz

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen