Eine Lieferantenpolitik für die Installationsbranche ist ein Überblick über die Parteien, mit denen Sie selbst arbeiten — Nachunternehmer, Freiberufler, Softwarelieferanten für Ihre Planung oder Gebäudemanagementsysteme — mit einer Risikobewertung für jede Partei. Für Installationsbetriebe liegt der Schwerpunkt oft nicht nur auf digitalen Zugriffen, sondern auch auf physischem Zutritt: Wer erhält einen Schlüssel, einen Zugriffsausweis oder eine Anmeldung für das Managementsystem Ihres Kunden.
Das macht die Installationsbranche zu einem Sonderfall. Während ein Softwareunternehmen hauptsächlich prüft, wer auf den Quellcode zugreifen kann, schaut ein Installationsbetrieb, wer sich im Gebäude des Kunden aufhält, an welchen Leitungen gearbeitet wird und welche Daten zu dem Gebäude — Grundrisse, Alarmanlagen-Codes, Zugriffsprotokolle — an einen Nachunternehmer weitergegeben werden. Eine Lieferantenpolitik verbindet diese beiden Welten, physisch und digital, in einem Überblick.
Warum dies auch ohne eigene Verpflichtung relevant ist
Installationsbetriebe fallen in der Regel nicht selbst unter die Risikomanagementverpflichtung des Gesetzes zur Cybersicherheit. Aber der Auftraggeber, der der Verpflichtung unterliegt — ein Krankenhaus, ein Energieversorgungsunternehmen, eine Gemeinde — muss seine eigene Lieferkette beurteilen, und das bedeutet, dass er auch prüft, wen Sie wiederum einsetzen. Ein Nachunternehmer mit einem ungenutzten Laptop, der sich in das Gebäudemanagementsystem eines Krankenhauses anmeldet, ist für diesen Auftraggeber ein Risiko, auch wenn der Vertrag formell mit Ihnen abgeschlossen ist. Eine Lieferantenpolitik zeigt, dass Sie diese Durchlaufkette kennen und verwalten, anstatt die Antwort zu schulden, sobald die Frage kommt. Mehr über das, was dieser Auftraggeber genau fragen darf, lesen Sie in der Übersicht der Themen pro Sektor.
Was konkret in die Politik gehört
Eine praktikable Lieferantenpolitik beginnt mit einer Liste: Wer arbeitet für Sie, mit welchem Zugang und wie stabil ist diese Beziehung. Für Installationsbetriebe sind das in der Regel drei Kategorien. Nachunternehmer und Freiberufler, die vor Ort arbeiten und dabei physischen Zugang zu Gebäuden, Schlüsselkästen oder Serverräumen erhalten. Softwarelieferanten für Planungs-, Abrechnungs- oder Gebäudemanagementsysteme, die aus der Ferne zuschauen oder mitarbeiten. Und Lieferanten von Materialien oder Ausrüstung, die manchmal auch einen eigenen Zugang benötigen, beispielsweise für Garantieregistrierung aus der Ferne.
Für jede Partei stellt sich die Frage, was eine angemessene Kontrolle ist: eine Erklärung, dass Passwörter nicht zwischen Mitarbeitern weitergegeben werden, eine Vereinbarung darüber, was mit Zugriffscodes nach Abschluss eines Auftrags geschieht, oder einfach einen Ansprechpartner, den Sie kontaktieren können, wenn etwas schief geht. Nicht jeder Lieferant erfordert denselben Detailgrad — ein Lieferant von Schrauben benötigt etwas anderes als ein Nachunternehmer, der sich mit Ihrem Konto im Gebäudemanagementsystem eines Krankenhauses anmeldet.
Nachunternehmer und Zugang: Der Punkt, wo es oft schiefgeht
In der Installationsbranche wird häufig mit wechselnden Nachunternehmern gearbeitet, manchmal für einen einzelnen Auftrag, manchmal strukturell. Das macht Zugriffsverwaltung schwieriger als in einem Unternehmen mit einem festen Team. Ein praktischer Ausgangspunkt ist eine einfache Frage pro Nachunternehmer: Erhält diese Person einen eigenen Zugriffsausweis oder Schlüssel, oder wird mit einem gemeinsamen Code gearbeitet? Wird dieser Zugang sofort nach Abschluss des Auftrags entzogen, oder bleibt er aktiv, bis jemand daran denkt, ihn zu sperren? Und wer in Ihrem eigenen Unternehmen ist für die Entzug dieser Zugänge verantwortlich?
Diese Fragen wirken organisatorisch, nicht technisch, aber genau darum geht es in einer Lieferantenpolitik: nicht um Firewalls, sondern um wer wo hereinkommt und warum. Für die umfassenderen Maßnahmen rund um Zugriff innerhalb Ihres eigenen Unternehmens gibt es eine separate Vertiefung; dieser Artikel befasst sich speziell mit den Parteien außerhalb Ihres Unternehmens, die Sie selbst einsetzen.
Wie Sie beginnen, ohne es zu einem Jahresprojekt zu machen
Eine Lieferantenpolitik muss nicht auf einmal vollständig sein. Eine praktikable Reihenfolge ist: Beginnen Sie mit den Parteien, die Zugang zu den empfindlichsten Umgebungen haben — Gebäudemanagementsysteme bei Kunden aus den kritischen Sektoren oder Software, die aus der Ferne mitbeobachtet. Dokumentieren Sie pro Partei, was Sie wissen, was Sie noch abklären müssen und wer das übernimmt. Erweitern Sie diesen Überblick dann auf den Rest der Lieferkette.
Ob und in welchem Umfang dies für Ihr Unternehmen relevant ist, hängt von den Sektoren ab, in denen Ihre Kunden tätig sind, und von der Art Ihrer eigenen Dienstleistung. Eine kurze Überprüfung zeigt, wo Ihr Unternehmen in der Lieferkette steht, und die Wissensdatenbank auf secria.eu zeigt pro Thema, welche Fundstelle im offiziellen Text dazu gehört. Wie wir diese Quellen pflegen, wird auf der Seite erläutert. der Seite über unser Vorgehen.
Was dieser Artikel nicht ersetzt
Eine Lieferantenpolitik ist ein organisatorisches Dokument, keine rechtliche Beratung zu Ihren spezifischen Verträgen oder zur Haftung gegenüber Subunternehmern. Für Fragen dazu ist ein Jurist oder der Branchenverband die richtige Anlaufstelle. Häufig gestellte Fragen zum Geltungsbereich des Gesetzes und zur Rolle von Lieferanten finden Sie auf der Seite mit häufig gestellten Fragen.
Möchten Sie wissen, wo Ihr eigenes Unternehmen steht und welche Lieferanten in Ihrer Lieferkette zuerst Aufmerksamkeit verdienen? Der Quick-Scan ist kostenlos und gibt in wenigen Minuten einen ersten Überblick, ohne dass Sie dafür ein Konto benötigen.