Lieferantenaudit

Kaum ein Unternehmen verarbeitet noch alles selbst. Buchhaltung, Personalabrechnung, Hosting, Wartung, Newsletterversand, Aktenvernichtung – überall sitzen Dienstleister an Ihren Daten. Das Lieferantenaudit ist der Vorgang, mit dem Sie prüfen, ob das vertretbar ist. Sein häufigster Fehler ist, dass alle gleich behandelt werden.

Warum die Prüfung Pflicht ist

Zwei Regelwerke verlangen sie unabhängig voneinander.

Art. 28 Abs. 1 DSGVO erlaubt den Einsatz von Auftragsverarbeitern nur, wenn diese hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Sie müssen sich davon überzeugen – vor Beauftragung und danach fortlaufend. Ein unterschriebener Auftragsverarbeitungsvertrag allein erfüllt das nicht; er ist das Ergebnis der Prüfung, nicht ihr Ersatz.

Die NIS-2-Richtlinie verlangt von den erfassten Einrichtungen ausdrücklich Maßnahmen zur Sicherheit der Lieferkette. Das wirkt weit über den unmittelbaren Anwendungsbereich hinaus: Erfasste Unternehmen geben die Anforderungen an ihre Zulieferer weiter, und so erreicht die Richtlinie auch Betriebe, die selbst nicht erfasst sind. Siehe NIS-2.

Abstufen nach Kritikalität

Der Aufwand steigt sonst ins Unhaltbare. Ein Unternehmen mit sechzig Dienstleistern kann nicht sechzig Audits führen – und muss es auch nicht.

Ordnen Sie zunächst ein. Drei Fragen genügen:

  1. Welche Daten verarbeitet der Dienstleister – öffentlich, intern, personenbezogen, besondere Kategorien nach Art. 9?
  2. Welchen Zugang hat er – abgegrenzte Übergabe, laufender Zugriff, administrative Rechte auf Ihre Systeme?
  3. Welche Folge hätte sein Ausfall – überbrückbar, spürbar, existenziell?

Daraus ergeben sich drei Klassen:

Hoch. Laufender Zugriff auf sensible Daten oder Systeme, Ausfall trifft den Kernbetrieb. Hier ist ein echtes Audit angebracht: Fragebogen, Nachweise, Rückfragen, gegebenenfalls Vor-Ort-Termin, jährliche Wiederholung.

Mittel. Personenbezogene Daten ohne besondere Kategorien, überbrückbarer Ausfall. Fragebogen und Nachweise genügen, Wiedervorlage alle zwei bis drei Jahre.

Gering. Kein oder nur beiläufiger Zugang. Vertrag, Selbstauskunft, keine turnusmäßige Prüfung.

Diese Einstufung ist selbst ein Prüfungsergebnis – schreiben Sie sie auf, samt Begründung. Beim nächsten Audit ist die Frage, warum ein Dienstleister nicht geprüft wurde, dann bereits beantwortet.

Was Sie verlangen können – und was realistisch ist

Bei kleineren Dienstleistern: ausgefüllter Fragebogen, Beschreibung der technischen und organisatorischen Maßnahmen, Nachweis über die Verpflichtung der Beschäftigten auf Vertraulichkeit, Angaben zu Unterauftragnehmern und Speicherorten.

Bei großen Anbietern werden Sie kein individuelles Audit durchsetzen. Dort treten Nachweise an die Stelle der eigenen Prüfung: ein ISO-27001-Zertifikat mit passendem Geltungsbereich, ein C5-Testat oder ein vergleichbarer Prüfungsbericht.

Zwei Punkte, die dabei fast immer zu kurz kommen:

Der Geltungsbereich des Zertifikats. Er deckt oft nicht das ab, was Sie tatsächlich nutzen. Lesen Sie ihn, statt das Zertifikat abzuheften.

Die Unterauftragnehmerkette. Ihr Dienstleister ist geprüft – aber wen setzt er ein? Die Liste gehört angefordert und bei Änderungen mitgeteilt. Hier zeigt sich auch, ob Daten in Drittländer fließen; siehe Datenübermittlung in die USA.

Der Fragebogen, den Sie selbst bekommen

Die Rolle dreht sich um, sobald Sie an größere Kunden liefern. Dann sitzen Sie auf der anderen Seite und sollen Auskunft geben – oft in einem Umfang, der für Ihre Größe unverhältnismäßig wirkt.

Was hilft, ist eine vorbereitete Mappe: Beschreibung der Maßnahmen, Nachweis der Datenschutzorganisation, Schulungsnachweise, Notfallregelung, gegebenenfalls ein Bericht nach DIN SPEC 27076. Einmal erstellt, beantwortet sie den überwiegenden Teil jedes Fragebogens – und verkürzt die Beschaffungsprozesse, in denen Sie sonst hängen bleiben.

Es endet nicht mit der Unterschrift

Ein Audit ist eine Momentaufnahme. Verträge laufen aus, Anbieter werden übernommen, Unterauftragnehmer wechseln, Zertifikate verfallen. Führen Sie deshalb eine Liste mit Ablaufdaten und Wiedervorlagen – im Datenschutzmanagementsystem oder in der ISMS-Software, aber jedenfalls nicht im Kopf.

Kontakt

Sie wissen nicht, welche Ihrer Dienstleister überhaupt geprüft werden müssten? Die Einstufung ist der erste Schritt – und in einem Termin zu schaffen.