Lieferkettenbewertung: Supply-Chain-Risiken systematisch bewerten

Eine IT-Lieferkettenbewertung untersucht die Abhängigkeiten von externen IT-Dienstleistern, Softwareanbietern und weiteren Beteiligten. Sie verbindet ein Lieferanteninventar mit Leistungen, Datenzugriffen, Unterauftragnehmern und Nachweisen. Ziel ist eine begründete Priorisierung von Prüfungen und Maßnahmen. Eine allgemeine Prozentzahl zum Anteil von Drittanbieterangriffen ist dafür keine belastbare Entscheidungsgrundlage.

Nutzen Sie Fragebögen, Dokumentenprüfungen, Gespräche und bei Bedarf abgestimmte technische Prüfungen. Umfang und Tiefe richten sich nach Leistung, Zugriffsrechten und Auswirkungen eines Ausfalls. Ein Zertifikat oder Security Rating ist ein Hinweis, keine vollständige Bewertung. Prüfen Sie Geltungsbereich, Aktualität und verbleibende Informationslücken.

§ 30 Absatz 2 Nummer 4 BSIG nennt für betroffene Einrichtungen die Sicherheit der Lieferkette und der Beziehungen zu unmittelbaren Anbietern. Für die praktische Bewertung sollten Sie Leistungen, Sicherheitsnachweise, Ansprechpartner und offene Maßnahmen erfassen. Welche Detailanforderungen gelten, hängt von Einrichtung und Dienstleistung ab.

DORA regelt IKT-Drittparteienrisiken im erfassten Finanzsektor; NIS2 hat einen anderen Anwendungsbereich. Prüfen Sie die Zuordnung vor der Bewertung. Ein gemeinsames Inventar kann die Arbeit unterstützen, sollte aber die unterschiedlichen Kategorien und Nachweispflichten nachvollziehbar auseinanderhalten.

Definieren Sie Kriterien, Gewichtungen und Mindestnachweise für die betrachtete Leistung. Trennen Sie die Bedeutung der Leistung vom Ergebnis der Kontrollprüfung. Fehlende Angaben sollten als unbekannt erscheinen, nicht automatisch als geringes Risiko. Eine dokumentierte Entscheidung erläutert Auffälligkeiten, Ausnahmen und die daraus abgeleiteten Maßnahmen.

Relevante Risiken können manipulierte Updates, übermäßige Zugriffe, fehlende Sicherheitsaktualisierungen, Datenabfluss oder Abhängigkeiten von einzelnen Plattformen sein. Berücksichtigen Sie Unterauftragnehmer soweit sie für Ihre Leistung relevant sind. Halten Sie fest, wo die Lieferkette nicht ausreichend bekannt ist und welche zusätzlichen Nachweise benötigt werden.

Wir unterstützen beim Aufbau eines leistungsbezogenen Lieferanteninventars, bei Bewertungskriterien und ausgewählten Nachweisprüfungen. Ergebnisse sind eine priorisierte Bewertung, dokumentierte Informationslücken und ein Maßnahmenregister mit Verantwortlichen. Für das laufende Monitoring werden Review-Anlässe und Eskalationswege vereinbart; eine pauschale Compliance-Garantie ist damit nicht verbunden.