Abhängigkeit brauchteine Haltung.
Ein Vertrag ersetzt keine Steuerung. Eine Drittbeziehung wird erst beherrschbar, wenn Leistung, Datenzugriff, technische Abhängigkeit, Nachweise und Austritt gemeinsam entschieden werden. Lieferantenmanagement hält diesen Entscheid über den ganzen Lebenszyklus aktuell.
Drittparteien bleiben
entscheidbar.
Die technische Leistung eines Lieferanten ist nur ein Teil der Beziehung. Entscheidend sind die Leistung selbst, ihr Geschäftswert, die Abhängigkeiten und der Weg zurück in einen kontrollierten Zustand, falls sich Voraussetzungen verändern.
Einordnen
Leistung, Kritikalität, Daten, technische Anbindung und mögliche Abhängigkeiten beschreiben.
begründeter Bedarf
Bewerten
Nachweise, Risiken, Unterauftragnehmer, Standorte und mögliche Lücken prüfen.
beurteilte Beziehung
Vereinbaren
Schutzanforderungen, Meldewege, Auditrecht, Verantwortungen und Ausnahmen verbindlich festlegen.
freigegebene Bedingungen
Überwachen
Leistung, Nachweise, relevante Änderungen und risikorelevante Ereignisse nachhalten.
aktueller Steuerungsstand
Neu bewerten
Neue Dienste, Datenflüsse, Standorte, Eigentümer oder Unterauftragnehmer erneut einordnen.
bestätigte Fortführung
Beenden
Übergabe, Rückgabe, Datenlöschung, Zugriffsende und Fortführung der Leistung kontrollieren.
belegter Exit
Ein Service.
Seine Folgen.
Ein Lieferantenregister ist kein Adressbuch. Der Prozess führt die Informationen, welche die Weiterführung oder die Beendigung der Drittbeziehung sachlich entscheiden lassen.
Wofür
Geschäftsleistung, Service Owner und kritische Betriebszeiten.
Wovon
Systeme, Daten, Schnittstellen, Standorte und Unterauftragnehmer.
Womit
Vereinbarte Kontrollen, Prüfberichte, Zertifikate und offene Befunde.
Wer
Fachlicher Owner, Vertragsverantwortung, technischer Kontakt und Eskalationsweg.
Was bleibt
Bewusste Einschränkungen, Ausnahmen, Fristen und dazugehörige Entscheidungen.
Wie zurück
Portabilität, Übergabe, Datenrückgabe, Löschung und Ersatzbetrieb.
Eine Beziehung wirkt
in andere Prozesse.
Die Entscheidung über eine Drittbeziehung bleibt nicht im Einkauf. Ihre Bedingungen werden als verbindlicher Kontext an die Stellen übergeben, die sie im Alltag benötigen.
| Empfänger | Lieferantenprozess liefert | Übergabe wird dort verwendet für |
|---|---|---|
| Risiko | Kritikalität, Abhängigkeiten, Restlücken und begründete Annahmen. | Bewertung, Behandlung und Akzeptanz eines Drittparteienrisikos. |
| Compliance | Vertragliche Pflichten, relevante Nachweise, Orte der Leistungserbringung und Ausnahmen. | Prüfung regulatorischer und vertraglicher Anforderungen. |
| Kontinuität und Wiederanlauf | Serviceziele, Kontaktpunkte, Ersatzoptionen und Exitvoraussetzungen. | Notbetrieb, Wiederherstellung und Lieferanteneinbindung bei Störungen. |
| Inventar und Änderungen | Dienst, technische Abhängigkeiten, Owner und relevante Änderungen. | Nachführung des Bestands und Bewertung geänderter Betriebsbedingungen. |
| Vorfälle | Meldewege, Eskalation, Informationspflichten und Mitwirkungspflichten. | Koordinierte Bearbeitung und Nachweisführung bei einem Ereignis. |
Eine Beziehung
muss tragfähig sein.
Der Service Owner braucht kein weiteres Lieferantenprofil, sondern eine klare Sicht auf die Punkte, die Fortführung, Aufsicht oder Exit entscheiden. Das Statusbild bündelt diese Entscheidung auf einer Seite.
| Entscheidungsfeld | Belastbare Aussage | Folge bei einer Lücke |
|---|---|---|
| Leistung | Geschäftsleistung, Service Owner, kritische Betriebszeit und erlaubter Ausfall sind bestimmt. | Die Drittbeziehung kann weder risikobasiert priorisiert noch in der Kontinuität sinnvoll eingeordnet werden. |
| Abhängigkeit | Daten, Schnittstellen, Standorte und Unterauftragnehmer sind für die Leistung sichtbar. | Änderungen oder Störungen treffen auf unbekannte Auswirkungen und unklare Eskalationswege. |
| Nachweis | Vereinbarte Kontrollen, Prüfberichte, offene Befunde und deren Gültigkeit sind dokumentiert. | Eine Compliance Aussage bleibt Behauptung, weil die vereinbarte Leistung nicht nachgewiesen werden kann. |
| Exit | Übergabe, Portabilität, Datenrückgabe, Löschung und Ersatzbetrieb sind realistisch beschrieben. | Eine Beendigung wird zum Betriebsrisiko, weil sie erst unter Zeitdruck konzipiert wird. |
Drittbeziehungen
bleiben geführt.
Der Prozess verbindet geschäftliche Abhängigkeit, Sicherheitsanforderungen und wiederkehrende Bewertung. Referenzen geben Anforderungen vor, angrenzende Prozesse liefern Kontext und Werkzeuge unterstützen die Erhebung und Nachverfolgung.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | Behandelt Informationssicherheit in Lieferantenbeziehungen, Vereinbarungen, IKT-Lieferkette und ausgelagerte Entwicklung. | Definiert weder ein universelles Rating noch eine pauschale Prüfintensität für alle Lieferanten. |
| DORA | Verlangt für erfasste Finanzunternehmen ein strukturiertes Management von IKT-Drittparteienrisiken. | Ist kein allgemeines Lieferantenregelwerk für Organisationen ausserhalb des Anwendungsbereichs. |
| NIS2 | Adressiert Supply-Chain-Sicherheit und Risiken aus direkten Lieferanten und Dienstleistern für erfasste Einrichtungen. | Die konkrete nationale Geltung ist über den Compliance-Prozess zu bestimmen. |
| Inhalt | Beitrag für Lieferanten | Weiter |
|---|---|---|
| 02 Risiko | Bewertet Konzentration, Kritikalität und verbleibende Risiken einer Drittbeziehung. | Prozess öffnen → |
| 05 Inventar | Macht Services, Abhängigkeiten, Owner und betroffene Leistungen sichtbar. | Prozess öffnen → |
| Architektur | Prüft technische Abhängigkeiten und Schutzprinzipien bei Cloud- und Plattformdiensten. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.