Eine Lieferantenpolitik für ICT-Dienstleistungen ist ein Überblick über jeden Anbieter, der in Ihrem Namen oder neben Ihnen Zugriff auf Systeme, Daten oder Infrastruktur Ihrer Kunden hat — mit Angabe, was jeder darf, welche Absprachen gelten und wann diese zuletzt überprüft wurden. Sie stellen sie auf, weil die Sorgfaltspflicht, die den Auftraggeber obliegt, diesen verpflichtet, auch Ihre Sicherheit zu bewerten — und weil Sie wiederum auf Unterauftragnehmer, Fernverwaltungssoftware und Cloud-Partner angewiesen sind, die dieselbe Bewertung verdienen.
Der Kern ist einfach: Wer bei Ihrem Kunden zugreifen kann, sollte in Ihrem Überblick aufgeführt sein. Das gilt für den Anbieter, der Ihr Ticketing-System hostet, für den Freiberufler, der nachts Patches einspielen, und für das Tool, mit dem Sie einen Arbeitsplatz ferngesteuert überwachen. Eine Lieferantenpolitik ist keine Formalität für die Galerie; sie ist die Antwort auf die Frage, die Ihr Kunde Ihnen eines Tages stellen wird: Wer kann noch auf meine Daten zugreifen, und wie stellen Sie sicher, dass diese das ordnungsgemäß tun.
Wer sollte im Überblick aufgeführt sein
Beginnen Sie umfassend und streichen Sie danach. In den Überblick gehören Unterauftragnehmer, die Arbeiten für Sie übernehmen, Softwareanbieter, deren Tools Zugriff auf Kundenumgebungen haben, Cloud-Partner, bei denen Sie Kundendaten unterbringen, und unabhängige Fachleute, die gelegentlich mitarbeiten. Die Frage, die Sie sich bei jedem Anbieter stellen, ist nicht, ob er für Ihren Geschäftsbetrieb wichtig ist, sondern ob er — direkt oder indirekt — auf Kundensysteme oder -daten zugreifen kann. Ein Bürobedarfsanbieter gehört nicht dazu; ein Anbieter, der Ihre Überwachungssoftware hostet, schon.
Es ist verlockend, nur große, sichtbare Anbieter aufzunehmen und kleinere Unterauftragnehmer zu übersehen, weil die Beziehung informell ist. Das ist genau dort, wo es oft schiefgeht: eine informelle Absprache mit einem Freiberufler, der mit Ihren Anmeldedaten bei einem Kunden arbeitet, ist für den Kunden nicht weniger riskant als ein Vertrag mit einem großen Anbieter. Wer unsicher ist, ob die eigene Organisation selbst unter die Sorgfaltspflicht fällt und daher verpflichtet ist, diesen Überblick zu führen, kann das mit ein paar Fragen klären lassen.
Was Sie pro Lieferant erfassen
Pro Lieferant reicht in der Regel ein begrenzter Satz von Informationen aus: welche Art von Zugriff hat der Anbieter (Lesen, Schreiben, Administratorrechte), auf welche Systeme oder Daten, gibt es einen Vertrag mit Vereinbarungen zu Sicherheit, wer ist bei Ihnen die Kontaktperson, und wann haben Sie zuletzt überprüft, ob sich etwas geändert hat. Diesen letzten Punkt vergessen viele: ein Lieferant, der vor zwei Jahren bewertet wurde und seitdem nicht wieder, zählt in der Praxis als nicht bewertet. Ein fester Zeitpunkt pro Jahr zum Durchgehen der Liste verhindert das.
Die Begriffe, die in solchen Übersichten vorkommen — Sorgfaltspflicht, Lieferkette, Wesentlichkeit — werden klarer, wenn Sie sie zunächst unabhängig von Ihrer eigenen Situation nachschlagen; die Wissensdatenbank pro Thema bietet für jeden Begriff eine kurze, nachvollziehbare Antwort.
Unterauftragnehmer: ein besonderer Schwerpunkt
Unterauftragnehmer verdienen besondere Aufmerksamkeit, weil der Kunde oft nicht weiß, dass sie existieren. Wenn Sie Arbeit an einen Dritten auslagern, der dabei Zugriff auf Kundensysteme hat, ist es üblich, das dem Kunden zu melden und festzuhalten, was dieser Dritte darf. Manche Verträge mit Auftraggebern verbieten Unterauftragvergaben ohne vorherige Genehmigung; das sollte beim Aufstellen der Politik überprüft werden, nicht bei der nächsten Diskussion mit dem Kunden.
Fernverwaltung als eigene Kategorie
Software für Remote-Verwaltung — Remote Management, Monitoring, Ticketing mit Anschauen-Funktion — verdient einen eigenen Platz in der Übersicht, auch wenn es im gewöhnlichen Sinne kein "Lieferant" ist. Diese Tools haben üblicherweise breiten Zugriff auf viele Kundenumgebungen gleichzeitig, was sie als Angriffspfad attraktiv macht. Festzuhalten, wer auf diese Tools zugreifen kann, mit welchen Rechten und mit welcher Überprüfung, ist daher eine der ersten Dinge, die ein Auftraggeber fragt, sobald das Gespräch über Ihre eigene Sicherheit beginnt.
Von der Übersicht zur Antwort
Eine Lieferantenpolitik, die nur auf dem Papier existiert, hilft nicht, wenn ein Kunde morgen einen Fragebogen sendet. Die Übersicht ist erst brauchbar, wenn sie mit einem Nachweis pro Lieferant gekoppelt ist und mit einem Eigentümer, der sie aktuell hält. Wie so ein lebendes Register in der Praxis aussieht und woher die zugehörigen Antworten auf Fragebögen kommen, wird auf der Seite erklärt, die zeigt, wie die Plattform funktioniert. die Seite, die zeigt, wie die Plattform funktioniert.
Möchten Sie zunächst sehen, ob Ihre Organisation selbst unter die NIS2-Sorgfaltspflicht fällt oder nur über die Lieferkette betroffen ist? Führen Sie die kostenlose Überprüfung durch oder blättern Sie durch die Themen — beide können ohne Konto eingesehen werden und geben sofort einen nächsten Schritt, der zu Ihrer Situation passt.