Blatt Deckblatt
Zweck, Geltungsbereich, drei Rollen und fünf Regeln zum Ausfüllen, von der Punktvergabe über die Prüfabstände bis zum Umgang mit beendeten Verträgen.
Vorlage aus dem NIS2-Paket
Lieferantenbewertung für die Sicherheit der Lieferkette
Die Tabelle führt alle Dienstleister mit Zugriff auf Systeme oder Daten, bewertet sie nach fünf festen Kriterien und rechnet Eignung und nächsten Prüftermin. Sie ist im NIS2-Paket enthalten.
- NIS-RG-10 Excel, 5 Blätter
- Voll bearbeitbar, ohne Kopierschutz
Das Dokument
Was Lieferantenbewertung in Excel regelt
Die Lieferantenbewertung (NIS-RG-10) ist eine Excel-Arbeitsmappe mit den Blättern Deckblatt, Dienstleister, Kriterien, Nachweise und Listen. Im Blatt Dienstleister erfassen Sie je Dienstleister die Leistung, die Kritikalität (Kritisch, Wichtig, Normal), den Zugriff auf Kundendaten, den Ort der Verarbeitung, die Punkte für die Kriterien K1 bis K5, die letzte Prüfung, Mängel und Auflagen, die intern zuständige Rolle und den Status. Vorbereitet sind 50 Zeilen, eine Beispielzeile zeigt einen kritischen IT-Dienstleister.
Die fünf Kriterien werden je mit 0, 1 oder 2 Punkten bewertet: Nachweis der Sicherheitsmaßnahmen, Meldung von Sicherheitsvorfällen, Zugänge und Authentisierung, Unterauftragnehmer und Ort der Verarbeitung sowie Beendigung und Rückgabe. Die Tabelle summiert die Punkte und rechnet die Eignung: ab 8 Punkten geeignet, 5 bis 7 Punkte mit Auflagen, darunter nicht geeignet. Die Beschreibung jeder Punktstufe steht im Blatt Kriterien, damit die Bewertung über alle Dienstleister vergleichbar bleibt.
Auch den nächsten Prüftermin rechnet die Tabelle: kritische Dienstleister nach zwölf Monaten, wichtige nach 24 Monaten, für die Stufe Normal wird kein Termin gerechnet. Über der Tabelle zählt die Auswertung die Dienstleister insgesamt, die kritischen, die mit Zugriff auf Kundendaten, die nicht geeigneten und die noch nicht bewerteten.
Vorschau
So sieht die Vorlage aus
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
NIS-RG-10: Blatt Dienstleister in Excel
Gliederung
Inhalt der Datei
Die Gliederung stammt aus der ausgelieferten Datei. Jede Excel-Mappe hat zusätzlich ein Deckblatt mit Dokumentenlenkung und Änderungshistorie.
ExcelNIS-RG-10 Lieferantenbewertung
- Blatt Deckblatt
- Blatt DienstleisterSpalten: Nr., Dienstleister, Leistung, Kritikalität, Zugriff auf Kundendaten, Ort der Verarbeitung, K1, K2, K3, K4, K5, Punkte, Eignung, Letzte Prüfung, Nächste Prüfung, Mängel und Auflagen, Intern zuständig, Status, Bemerkung
- Blatt KriterienSpalten: Kriterium, Punkte 2, 1 und 0
- Blatt Nachweise
- Blatt Listen
Blatt Dienstleister
19 Spalten je Dienstleister mit Auswahlfeldern für Kritikalität, Zugriff auf Kundendaten und Status. Punkte, Eignung und nächste Prüfung rechnet die Tabelle.
Blatt Kriterien
Die Beschreibung der Punkte 2, 1 und 0 für K1 bis K5, zum Beispiel bei K3: personenbezogene Konten mit Mehr-Faktor-Anmeldung, personenbezogene Konten ohne MFA oder gemeinsame Konten.
Blatt Nachweise
Die Dokumentliste des NIS2-Pakets mit Nummer, Datei, Version, Freigabe, nächstem Prüftermin und Ablageort je Dokument.
Auszug
Wörtlich aus der Vorlage
Die Bewertung ersetzt nicht die Entscheidung.
Ein Dienstleister mit Auflagen darf beauftragt werden, wenn die Auflagen in der Spalte Mängel und Auflagen stehen und eine Frist gesetzt ist.
Nach jedem Sicherheitsvorfall beim Dienstleister wird neu bewertet, unabhängig vom Termin.
Was Sie anpassen
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[Name des IT-Dienstleisters] | Ihre Dienstleister, beginnend mit dem Beispiel des IT-Dienstleisters. | NIS-RG-10 |
[Betreuung der Server und Arbeitsplätze] | Welche Leistung der Dienstleister für Sie erbringt. | NIS-RG-10 |
[Deutschland] | Wo der Dienstleister Ihre Daten verarbeitet. | NIS-RG-10 |
[Mängel oder: keine] | Festgestellte Mängel und Auflagen, jeweils mit Frist. | NIS-RG-10 |
[jährlich] | Prüfrhythmus für kritische Dienstleister. Ändern Sie ihn, passen Sie Richtlinie und Tabelle gemeinsam an. | NIS-RG-10 |
Einsatz
Wofür Sie die Lieferantenbewertung brauchen
Das Deckblatt ordnet die Tabelle dem Bereich Sicherheit der Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG zu und bezeichnet sie als Nachweis zur Richtlinie Lieferanten und Dienstleister des Pakets. Sie belegt, welche Dienstleister Zugriff auf Systeme oder Daten haben, wie sie eingestuft sind, wie sie abgeschnitten haben und wann sie zuletzt geprüft wurden.
Erfasst werden alle externen Unternehmen und Personen, die IT-Leistungen erbringen, Daten verarbeiten oder Zugang zu Systemen oder nicht öffentlichen Räumen haben. Einkauf und beauftragende Führungskräfte melden neue Dienstleister vor Vertragsschluss, die oder der ISB bewertet vor der Beauftragung, und über die Beauftragung kritischer Dienstleister entscheidet die Geschäftsleitung, ebenso über das Vorgehen bei nicht behobenen Mängeln.
Nach jedem Sicherheitsvorfall beim Dienstleister wird neu bewertet, unabhängig vom Termin. Beendete Verträge bleiben mit Status "Beendet" und Enddatum in der Liste, damit auch später nachvollziehbar bleibt, wer wann Zugriff hatte. Das ist die Grundlage, wenn ein Prüfer oder ein Kunde nach Ihren Unterauftragnehmern fragt.
Im NIS2-Paket enthalten
1.490 €netto, zzgl. USt. Einmalig, 25 Dokumente in Word und Excel
Häufige Fragen
Fragen zur Vorlage
Wie rechnet die Tabelle die Eignung?
Sie summiert die Punkte der fünf Kriterien, also höchstens 10. Ab 8 Punkten gilt ein Dienstleister als geeignet, mit 5 bis 7 Punkten als geeignet mit Auflagen, darunter als nicht geeignet. Die Entscheidung über die Beauftragung trifft trotzdem das Unternehmen, die Bewertung ersetzt sie nicht.
Kann ich andere Prüfabstände wählen?
Ja. Die Tabelle rechnet den nächsten Termin nach zwölf beziehungsweise 24 Monaten, passend zum Rhythmus aus der Richtlinie Lieferanten und Dienstleister. Wählen Sie andere Abstände, passen Sie die Richtlinie und die Formel in der Spalte Nächste Prüfung an: Die Monate stehen dort als feste Zahl.
Welche Dienstleister gehören in die Liste?
Alle externen Unternehmen und Personen, die IT-Leistungen erbringen, Daten verarbeiten oder Zugang zu Systemen oder nicht öffentlichen Räumen haben. Ein Cloud-Dienst, der Ihre Daten verarbeitet, gehört ebenso dazu wie der IT-Dienstleister mit Fernzugang.
Gibt es die Lieferantenbewertung einzeln?
Nein, sie ist im NIS2-Paket enthalten, zusammen mit der Richtlinie Lieferanten und Dienstleister, zu der sie der Nachweis ist. Das Lieferantenaudit-Paket enthält keine eigene Excel-Bewertung, dort führt die Richtlinie Lieferanten und Dienstleister eine Dienstleisterliste in ihrem Anhang A.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Passende Seiten
Frist im Nacken?
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.