Ihre Lieferanten haben einige Ihrer Schlüssel. Wissen Sie, welche.
Wir helfen Ihnen, Ihre Lieferanten zu erfassen, nach dem zu ordnen, was sie erreichen können, die richtigen Fragen zu stellen und die Antworten gegen Nachweise zu prüfen.
Überblick
Warum Lieferantenrisiken Ihre Risiken sind
Jeder Hosting-Anbieter, Softwarehersteller, Lohnabrechnungsdienst und Dienstleister mit Fernzugriff vergrößert Ihre Angriffsfläche. Wird einer davon kompromittiert, sind Ihre Daten und Ihre Kunden Teil der Geschichte, gleich was im Vertrag steht.
Die Regulierung hat das erkannt. Die NIS-2-Richtlinie zählt die Sicherheit der Lieferkette zu den geforderten Risikomanagementmaßnahmen im Bereich der Cybersicherheit. DORA, die Verordnung über die digitale operationale Resilienz im Finanzsektor, regelt das IKT-Drittparteienrisiko im Detail, einschließlich vertraglicher Anforderungen und eines Informationsregisters über die vertraglichen Vereinbarungen mit IKT-Drittdienstleistern. ISO/IEC 27001 enthält eigene Maßnahmen für Lieferantenbeziehungen.
Wir bauen einen Prozess, den Sie mit Ihren vorhandenen Leuten betreiben können: ein Inventar, Stufen, die bestimmen, wie genau jeder Lieferant geprüft wird, Fragebögen im passenden Umfang und eine Prüfung der Nachweise hinter den Antworten. Ein Fragebogen ist eine Behauptung. Wir fragen nach den Belegen.
Für wen es gedacht ist
Organisationen im Anwendungsbereich von NIS2 oder DORA, Unternehmen auf dem Weg zu ISO/IEC 27001 oder SOC 2, die einen Lieferantenprozess brauchen, und Teams, die auf der einen Seite einen wachsenden Stapel Lieferantenfragebögen erhalten und auf der anderen keinen verschicken.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Lieferanteninventar
Jeder Dritte, der Ihre Daten, Systeme oder kritischen Dienste berührt, mit Verantwortlichem, Zugriff und erbrachter Leistung.
Einstufung
Kriterien, die Lieferanten nach Kritikalität und Zugriff ordnen, damit der Aufwand dort landet, wo die Exposition ist.
Fragebögen
Sicherheitsfragebögen passend zur Stufe, mit anerkannten Strukturen, wo sie passen, und kurz genug, um ausgefüllt zurückzukommen.
Prüfung der Nachweise
Wir prüfen die Nachweise hinter den Antworten, etwa ISO/IEC 27001-Zertifikate und ihren Geltungsbereich, SOC 2-Berichte, Zusammenfassungen von Penetrationstests und Richtlinien.
Vertragsklauseln
Sicherheitsanforderungen, Meldepflichten, Auditrechte und Ausstiegsregelungen für Ihre Verträge, als Entwurf für Ihre Rechtsabteilung.
Laufende Überwachung
Ein Prüfzyklus je Stufe und Auslöser für eine Neubewertung, etwa ein Vorfall, eine Änderung der Leistung oder eine Vertragsverlängerung.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Geltungsbereich, anwendbare Vorschriften und Beteiligte und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Angebot
Ein Angebot mit Methode, Geltungsbereich und der Vertragsform, die zu Ihnen passt.
Inventar und Einstufung
Workshops mit Einkauf, IT und Fachbereichen, um die Lieferantenliste aufzubauen und die Stufen zuzuweisen.
Bewertung
Fragebögen an die Lieferanten im Umfang, danach Prüfung der Nachweise und Rückfragen.
Übergabe der Ergebnisse
Eine Risikobewertung je geprüftem Lieferanten, empfohlene Maßnahmen und ein Managementbericht für die Leitung.
Abschluss
Projektabschluss mit Feedback und auf Wunsch laufende Unterstützung beim Betrieb des Zyklus.
Was Sie erhalten
- Lieferanteninventar mit Verantwortlichen und Zugriffen
- Einstufungskriterien und zugewiesene Stufen
- Fragebögen je Stufe
- Bewertungsberichte für die Lieferanten im Umfang
- Muster-Vertragsklauseln zur Sicherheit
- Verfahren für das Lieferantenrisikomanagement mit Prüfzyklus
Fragen
Bewerten Sie unsere Lieferanten direkt?
Ja, mit Ihrer und deren Zustimmung. Meist über Fragebögen und die Prüfung von Nachweisen. Wo der Vertrag es erlaubt und das Risiko es rechtfertigt, können wir auch eine Prüfung vor Ort oder eine technische Prüfung durchführen, etwa einen Penetrationstest des Dienstes eines Lieferanten.
Reicht das ISO/IEC 27001-Zertifikat eines Lieferanten?
Es ist ein guter Nachweis, aber prüfen Sie den Geltungsbereich. Ein Zertifikat für ein Rechenzentrum sagt wenig über den Dienst, den Sie aus einem anderen beziehen. Wir lesen den Geltungsbereich und, wenn der Lieferant sie teilt, die Erklärung zur Anwendbarkeit.
Was ändert DORA?
Für Finanzunternehmen legt DORA eigene Regeln zum Management des IKT-Drittparteienrisikos fest, unter anderem zu Vertragsinhalten und zum Führen eines Informationsregisters über die Vereinbarungen mit IKT-Drittdienstleistern. Wir helfen beim Aufbau von Prozess und Register; die rechtliche Auslegung bleibt bei Ihrer Rechtsberatung.
Helfen Sie auch bei Fragebögen, die wir erhalten?
Ja. Ein Informationssicherheits-Audit gegen den Fragebogen des Kunden gehört zu unseren Leistungen.
Verwandte Leistungen
- Compliance und ZertifizierungNIS-2NIS-2 mit Black Fox Security: Betroffenheitsprüfung, Gap-Analyse gegen die Risikomanagementmaßnahmen, Meldeprozess, Lieferkette und Schulung der Leitung.
- Compliance und ZertifizierungDORADORA mit Black Fox Security: Gap-Analyse des IKT-Risikomanagements, Meldung von Vorfällen, Tests der digitalen operationalen Resilienz und Drittparteienrisiko.
- Governance und RisikoRisikobewertungRisikobewertung von Infrastruktur, Netzwerk und Anwendungen durch Black Fox Security: Wahrscheinlichkeit gegen Schadensausmaß, Risikoregister und Behandlungsoptionen.
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
Beginnen Sie mit der Liste
Sagen Sie uns, wie viele Lieferanten Sie zu haben glauben. Wir helfen Ihnen, den Rest zu finden.