Warum daraus ein Regulierungsthema wurde
Wer Leistungen fremdbezieht, verlagert Tätigkeiten, nicht Pflichten. Diese Grundregel steht in mehreren Regelwerken zugleich: Die Richtlinie (EU) 2022/2555 nennt die Sicherheit der Lieferkette und der Beziehungen zu Anbietern ausdrücklich als Bestandteil der Risikomanagementmaßnahmen. DORA regelt das IKT-Drittparteienrisiko in Kapitel V der Verordnung (EU) 2022/2554. Die DSGVO verlangt für Auftragsverarbeiter in Art. 28 eine Auswahl nach hinreichenden Garantien und einen Vertrag mit festgelegten Inhalten. ISO/IEC 27001 behandelt Lieferantenbeziehungen als eigenen Themenbereich.
Die Anforderungen unterscheiden sich im Detail, nicht im Grundgedanken: nachvollziehbare Auswahl, klare vertragliche Grundlage, laufende Überwachung, geordneter Ausstieg.
Der Lebenszyklus
- Bedarf und Einstufung. Welche Funktion soll der Dienstleister stützen, und wie kritisch ist sie? Diese Einstufung steuert alles Weitere.
- Prüfung vor Vertragsschluss: Eignung, Sicherheitsniveau, Referenzen, wirtschaftliche Stabilität, Standorte, Unterauftragnehmer.
- Vertrag: Leistungspflichten, Sicherheitsanforderungen, Informations-, Prüf- und Kündigungsrechte.
- Betrieb und Überwachung: Leistungsdaten, Berichte, Vorfälle, Änderungen bei Standorten, Sub-Dienstleistern oder Eigentümerstruktur.
- Beendigung: Rückführung von Daten und Aufgaben nach einer vorbereiteten Exit-Strategie.
Kritikalität statt Gleichbehandlung
Ein Prüfumfang, der für jeden Lieferanten gleich ist, ist entweder für die kritischen zu dünn oder für die unkritischen zu teuer. Üblich sind daher zwei bis drei Stufen, abgeleitet aus der Bedeutung der gestützten Prozesse, aus der Art der zugänglichen Daten, aus der Ersetzbarkeit und aus der Tiefe des Systemzugriffs.
Die Einstufung sollte schriftlich begründet und wiederkehrend überprüft werden. Dienstleister wandern über die Zeit nach oben, ohne dass jemand darüber entscheidet, meist weil sie schrittweise zusätzliche Aufgaben übernehmen.
Was vertraglich abgesichert sein muss
| Regelungsbereich | Zweck |
|---|---|
| Sicherheitsanforderungen und Nachweise | messbare Anforderungen statt Absichtserklärungen |
| Informationspflicht bei Sicherheitsvorfällen | Sie erfahren rechtzeitig, was Ihre eigenen Meldefristen auslöst |
| Prüf- und Auskunftsrechte | eigene Prüfung oder Vorlage von Berichten Dritter |
| Weiterverlagerung | Zustimmung, Information und Durchreichen der Anforderungen an Unterauftragnehmer |
| Standorte und Datenorte | Grundlage für die rechtliche Bewertung von Verarbeitungen |
| Beendigung und Rückführung | Kündigungsrechte, Mitwirkung, Datenherausgabe in verwertbarer Form |
Überwachung, die tatsächlich etwas belegt
Zertifikate und Prüfberichte Dritter sind ein zulässiger und effizienter Nachweis, aber sie tragen nur so weit, wie ihr Geltungsbereich reicht. Prüfen Sie deshalb den Geltungsbereich und nicht nur die Existenz des Zertifikats, und ergänzen Sie ihn um Nachweise aus der laufenden Zusammenarbeit: Einhaltung vereinbarter Leistungswerte, gemeldete Vorfälle, Bearbeitungszeiten, Ergebnisse von Wiederanlauftests.
Für kritische Dienstleister gehört eine eigene, dokumentierte Beurteilung in festem Turnus dazu, deren Ergebnis eine Entscheidung auslöst: Fortführung, Auflagen oder Ausstieg.
Wo die Steuerung regelmäßig reißt
Der Fachbereich beauftragt ohne Sicherheitsprüfung. Der Vertrag regelt Preise ausführlich und Sicherheit in einem Satz. Unterauftragnehmer bleiben unbekannt. Die Überwachung besteht aus dem jährlichen Einsammeln von Zertifikaten. Und der Ausstieg wird erst geplant, wenn er nötig ist, also unter Zeitdruck und in schlechter Verhandlungsposition.
Wie Rizzqo Dienstleister im Bestand führt
Dienstleistersteuerung wird oft neben der Informationssicherheit aufgebaut, mit eigener Liste, eigenen Fragebögen und eigener Bewertung. In Rizzqo ist ein Dienstleister ein unterstützender Wert wie ein Server oder ein Standort. Er trägt Kategorie und Unterkategorie, einen benannten Verantwortlichen und die Verknüpfung zu den Geschäftsprozessen und Informationen, die über ihn laufen. Daraus ergibt sich die Kritikalität, ohne sie separat zu schätzen: Sie folgt aus dem, was an dem Anbieter hängt.
Die Anforderungen der hinterlegten Regelwerke werden nach Kategorie zugeordnet, sodass ein als Dienstleister klassifiziertes Asset die für Dienstleister vorgesehenen Anforderungen erhält, mit Nachweisen am Objekt. Was offen bleibt, lässt sich als Risikobewertung führen und über Maßnahmen abarbeiten, die in Jira bearbeitet werden können.