Lieferantenrisiken mit Fragebogen bewerten: in 4 Schritten
Wie bewerten Sie die Informationssicherheit Ihrer Lieferanten mit einem Fragebogen so, dass am Ende eine belastbare Entscheidung steht? Indem Sie zuerst festlegen, wie kritisch ein Lieferant ist, die Fragen daraus ableiten, Belege verlangen und jede Lücke in eine Massnahme oder einen bewussten Risikoentscheid überführen. Ein Fragebogen liefert die Informationen dafür, die Beurteilung nimmt er Ihnen nicht ab.
Warum ein Fragebogen allein nicht genügt
Nehmen wir einen IT-Dienstleister mit Fernzugriff auf Ihre Server. Im Fragebogen bestätigt er den Einsatz von Mehrfaktor-Authentisierung, kann aber weder einen aktuellen Nachweis noch einen getesteten Notfallprozess vorlegen. Steht im Lieferantenstamm danach pauschal «erfüllt», ist ein relevantes Risiko verdeckt.
Lieferanten beeinflussen Ihre Informationssicherheit, wenn sie Zugriff auf Personendaten, Fachanwendungen, Netzwerke oder geschäftskritische Prozesse erhalten. Auch ohne direkten Systemzugriff entstehen Abhängigkeiten, etwa bei Cloud-Diensten, Wartungsverträgen oder ausgelagerten Geschäftsprozessen.
Ein Fragebogen standardisiert die Erhebung: Er spart Zeit, macht Antworten vergleichbar und dokumentiert, was gefragt und geantwortet wurde. Wie aussagekräftig er ist, hängt davon ab, ob die Fragen zum tatsächlichen Risiko des Lieferanten passen und ob die Antworten geprüft werden.
Schritt 1: Lieferanten nach Kritikalität einstufen
Bevor Sie einen Fragebogen versenden, ordnen Sie jeden Lieferanten einer Risikoklasse zu. Ein Lieferant für Büromaterial braucht keine Prüfung seines Sicherheitsbetriebs, ein Anbieter mit Fernzugriff auf produktive Systeme schon.
Leitfragen für die Einstufung:
- Welche Leistung beziehen Sie, und welche Informationen fliessen dabei?
- Hat der Lieferant Zugriff auf vertrauliche Daten oder Personendaten?
- Ist er technisch in Ihre Systeme eingebunden, etwa über Schnittstellen, Fernwartung oder Konten in Ihrem Netz?
- Wie schwer wären Ausfall, Datenverlust oder unbefugter Zugriff bei ihm für Ihren Betrieb?
- Gelten regulatorische Vorgaben für diese Leistung?
- Könnten Sie kurzfristig auf einen anderen Anbieter ausweichen?
Für die Folgen eines Ausfalls oder Datenabflusses können Sie direkt auf Ihre Schutzbedarfsanalyse zurückgreifen: Ein Lieferant, der ein System mit hohem Schutzbedarf betreibt oder wartet, ist in der Regel kritisch.
Drei Stufen reichen meist aus:
| Stufe | Typische Lieferanten | Prüftiefe |
|---|---|---|
| gering | Kein Zugriff auf Daten oder Systeme, leicht ersetzbar | Schlanke Selbstauskunft oder keine Prüfung |
| erhöht | Zugriff auf interne Daten oder einzelne Systeme, Ersatz mit Aufwand möglich | Fragebogen mit Sicherheits- und Datenschutzthemen, Stichproben bei Nachweisen |
| kritisch | Verarbeitet sensible Daten, betreibt oder wartet kritische Systeme, schwer ersetzbar | Vollständiger Fragebogen, Nachweise, fachliche Prüfung, allenfalls vertragliche Auflagen oder ein Termin vor Ort |
Dokumentieren Sie die Einstufung mit Begründung. Bei einer Revision zeigt sie, warum Sie in welcher Tiefe geprüft haben, und sie verhindert, dass ähnliche Fälle nach Gefühl unterschiedlich behandelt werden.
Schritt 2: Fragen aus dem Risiko ableiten
Gute Fragen sind präzise, überprüfbar und einer Anforderung zugeordnet. «Sind Ihre Systeme sicher?» führt zu einer unverbindlichen Selbsteinschätzung. Brauchbarer ist: «Ist für administrative Zugriffe und Fernzugriffe eine Mehrfaktor-Authentisierung eingerichtet? Beschreiben Sie den Geltungsbereich und legen Sie einen Nachweis bei.»
Themen für Lieferanten mit erhöhtem oder kritischem Risiko
| Thema | Beispielfrage |
|---|---|
| Governance und Verantwortung | Wer ist bei Ihnen für Informationssicherheit verantwortlich, und gibt es eine verbindliche Sicherheitsrichtlinie? |
| Identitäten und Berechtigungen | Wie werden Zugriffe Ihrer Mitarbeitenden auf unsere Daten vergeben, überprüft und beim Austritt entzogen? |
| Schutz von Daten | Werden unsere Daten bei der Übertragung und gespeichert verschlüsselt? |
| Schwachstellen und Updates | Wie schnell werden kritische Sicherheitsupdates auf den Systemen eingespielt, die unsere Daten verarbeiten? |
| Protokollierung | Werden Zugriffe auf unsere Daten und Systeme protokolliert, und wie lange werden Protokolle aufbewahrt? |
| Sicherheitsvorfälle | Wie und innert welcher Frist informieren Sie uns über einen Vorfall, der unsere Daten betrifft? |
| Notfallvorsorge | Gibt es einen getesteten Wiederherstellungsplan für die Leistung, die Sie für uns erbringen? Wann war der letzte Test? |
| Unterauftragnehmer | Welche Unterauftragnehmer setzen Sie ein, und wie informieren Sie uns über Änderungen? |
| Mitarbeitende | Werden Ihre Mitarbeitenden mit Zugriff auf unsere Daten regelmässig zu Informationssicherheit geschult? |
Zusatzfragen bei Cloud- und Datenverarbeitung
- Wo werden die Daten gespeichert und verarbeitet, einschliesslich Backups und Support?
- Welche Daten verlassen die Schweiz oder den Europäischen Wirtschaftsraum, und auf welcher Grundlage?
- Wie sind die Daten verschiedener Kunden voneinander getrennt?
- Wie erhalten wir unsere Daten nach Vertragsende zurück, und wann werden sie gelöscht?
Ausführliche Prüffragen zu Speicherort, Zugriffen und Ausstieg finden Sie im Leitfaden zur Schweizer Datenhaltung bei Sicherheitssoftware.
Akzeptierte Nachweise vorab festlegen
Nicht jede Antwort braucht ein Zertifikat. Für manche Kontrollen genügen Richtlinien, Prozessauszüge, Testprotokolle oder Konfigurationsnachweise. Legen Sie vor dem Versand fest, welche Belege Sie je Thema akzeptieren. Sonst beginnt die Diskussion erst, wenn der Lieferant schon ausgewählt ist.
Legen Sie ebenso fest, welche Punkte Ausschlusskriterien sind. Fehlt etwa eine tragfähige Regelung zur Meldung von Sicherheitsvorfällen, gleicht eine gute Gesamtbewertung das nicht aus.
Schritt 3: Antworten bewerten statt abhaken
Ein «Ja» ist noch kein Nachweis. Aussagekräftig wird die Antwort erst, wenn klar ist, wie weit die Kontrolle umgesetzt und ob sie belegt ist. Bewährt hat sich eine einfache Skala je Frage:
- erfüllt
- teilweise erfüllt
- nicht erfüllt
- nicht anwendbar
Halten Sie zusätzlich fest, ob ein Nachweis vorliegt und ob jemand ihn geprüft hat.
Gewichten Sie kritische Themen höher. Ein fehlender Meldeprozess für schwere Vorfälle wiegt mehr als eine noch nicht vollständig dokumentierte Schulung. Bleiben Sie dabei einfach: Komplexe Punktesysteme erzeugen eine scheinbare Genauigkeit, die im Alltag wenig hilft.
Die Gesamtbewertung verbindet die Lücken mit der Kritikalität des Lieferanten. Ein kleiner Mangel kann bei einem wenig kritischen Anbieter tragbar sein. Dieselbe Lücke bei Ihrem zentralen Hosting-Partner ist ein hohes Risiko. Erst diese Verbindung macht aus einer Fragebogensammlung ein Lieferantenrisikomanagement.
Schritt 4: Aus Befunden Massnahmen und Entscheide machen
Jede relevante Feststellung braucht eine verantwortliche Person, eine Frist, einen Status und einen Entscheid zum Restrisiko. Je nach Fall sieht die Massnahme unterschiedlich aus:
- Nachlieferung eines Nachweises bis zu einem Termin
- vertragliche Ergänzung, etwa eine Meldepflicht für Vorfälle oder ein Prüfrecht
- technische Einschränkung, etwa Fernzugriff nur auf Anfrage und mit Protokollierung
- Wechsel des Lieferanten, wenn sich das Risiko nicht vertretbar senken lässt
Nicht jede Lücke führt zum Ausschluss. Massgebend ist, ob das Risiko angemessen reduziert werden kann und ob die zuständige Stelle ein verbleibendes Risiko bewusst akzeptiert. Eine dokumentierte Akzeptanz ist besser als ein stillschweigendes Übersehen. Wie Sie Kriterien und Zuständigkeiten dafür festlegen, beschreibt der Leitfaden zur Risikoakzeptanz im Unternehmen. Wie Massnahmen mit Fristen und Verantwortlichen geführt werden, zeigt der Leitfaden zum Massnahmenplan Informationssicherheit.
Wer was beurteilt
| Rolle | Aufgabe |
|---|---|
| Fachbereich | Beurteilt den geschäftlichen Bedarf und die Folgen eines Ausfalls |
| IT und Informationssicherheit | Bewerten technische und organisatorische Kontrollen und prüfen Nachweise |
| Datenschutz | Klärt die Anforderungen an die Bearbeitung von Personendaten |
| Beschaffung | Verankert Auflagen im Vertrag |
| Verantwortliche Stelle, bei kritischen Lieferanten die Geschäftsleitung | Entscheidet, ob die Zusammenarbeit unter den festgelegten Bedingungen zulässig ist |
Vorlage: Felder einer Lieferantenbewertung
| Feld | Inhalt |
|---|---|
| Lieferant und Leistung | Name, bezogene Leistung, Vertragsbeginn |
| Interne verantwortliche Person | Wer die Beziehung fachlich verantwortet |
| Daten und Systeme | Welche Informationen fliessen, welche Systeme sind betroffen |
| Kritikalität | gering, erhöht oder kritisch, mit Begründung |
| Fragebogen | Version, Versanddatum, Rücklaufdatum |
| Bewertung je Thema | erfüllt, teilweise, nicht erfüllt, nicht anwendbar |
| Nachweise | Welche Belege vorliegen, wer sie geprüft hat |
| Befunde und Massnahmen | Lücke, Massnahme, verantwortliche Person, Frist, Status |
| Restrisiko | Einstufung, Entscheid, entscheidende Person, Datum |
| Nächste Überprüfung | Termin oder Auslöser |
Befunde, die als Risiko bestehen bleiben, gehören zusätzlich in Ihr eigenes Risikoregister, damit sie neben den übrigen Risiken sichtbar bleiben. Eine Vorlage bietet der Leitfaden zum Risikoregister Informationssicherheit.
Dokumentation und Wiederholung
Lieferantenbewertungen verlieren schnell an Wert, wenn Fragebögen in Postfächern liegen, Nachweise in verschiedenen Ordnern und offene Punkte nur in Sitzungsnotizen. Bei einem Vorfall oder einer Revision lässt sich dann kaum belegen, was geprüft, entschieden und umgesetzt wurde. Führen Sie Bewertung, Belege und Entscheide deshalb an einem Ort.
Die Prüfung bei Vertragsabschluss ist eine Momentaufnahme. Bei kritischen Lieferanten sollten Sie Antworten und Nachweise periodisch erneuern, etwa jährlich, und zusätzlich bei Anlässen wie einem Sicherheitsvorfall beim Lieferanten, einem Wechsel von Unterauftragnehmern oder einer neuen Datenbearbeitung.
Typische Fehler
- Ein Einheitsfragebogen für alle. Er überfordert einfache Lieferanten und bleibt bei kritischen zu oberflächlich.
- Nur Selbstauskunft. Als Einstieg sinnvoll, bei hohem Risiko aber durch Nachweise, Rückfragen oder Vertragsklauseln zu ergänzen.
- Antworten abhaken statt bewerten. Ein «Ja» ohne Beleg wird als «erfüllt» geführt.
- Hoher Punktwert verdeckt Ausschlusskriterien. Ein fehlender Meldeprozess wird von vielen guten Antworten überdeckt.
- Keine Folgearbeit. Befunde ohne verantwortliche Person und Frist bleiben liegen.
- Einmal geprüft, nie wieder. Lieferanten ändern ihre Systeme, Unterauftragnehmer und Prozesse.
Wie Lieferantenrisiken in SCMC vorkommen
SCMC bewertet in erster Linie die eigene Organisation. Die Anforderungen an das Management von Lieferanten sind dabei in mehreren Modulen enthalten: Das NIS2-Assessment deckt die Lieferkette ab, das NIST CSF 2.0 Assessment bezieht Lieferkettenrisiken ein, und der Datenschutz-Check revDSG/DSGVO hat einen eigenen Bereich für Auftragsverarbeitung und Drittparteien-Management. So sehen Sie, wie gut Ihr eigener Umgang mit Lieferanten aufgestellt ist.
Konkrete Lieferantenrisiken können Sie im Modul Cyber-Risikomanagement als eigene Bedrohungsszenarien erfassen, nach Eintrittswahrscheinlichkeit und Schadenspotenzial bewerten und mit Massnahmen verknüpfen. Massnahmen tragen eine Frist und eine verantwortliche Person, Erinnerungen gehen per E-Mail hinaus, und die Risikoanalyse lässt sich als Word-Dokument für die Geschäftsleitung herunterladen.
Ein strukturierter Fragebogen schafft keine zusätzliche Bürokratie, wenn er zum Risiko passt. Er verlangt Belege, und offene Punkte werden zu überprüfbaren Massnahmen.
