Vorlage Richtlinie Lieferanten und Dienstleister: auswählen, verpflichten, prüfen

Das Dokument

Was Richtlinie Lieferanten und Dienstleister regelt

Jeder Dienstleister wird vor der Beauftragung in eine von drei Stufen eingeordnet: Kritisch, Wichtig oder Normal. Kritisch ist, wer Zugriff auf Kundendaten oder administrative Rechte hat oder dessen Ausfall geschäftskritische Prozesse unterbricht. Die Stufe bestimmt, wie gründlich geprüft wird. Für Dienstleister der Stufe Normal gelten die Abschnitte zu Auswahl, Vertrag, Überprüfung, Zugängen und Beendigung nicht.

Vor der Beauftragung holt die beauftragende Stelle eine Auskunft zur Informationssicherheit ein, die oder der ISB bewertet sie, bei Stufe Kritisch entscheidet die Geschäftsleitung. Abschnitt 6 listet die Vertragspunkte: Vertraulichkeit, Meldung von Sicherheitsvorfällen innerhalb einer Frist, Mindestmaßnahmen wie personenbezogene Konten und Mehr-Faktor-Anmeldung für Fernzugriffe, Unterauftragnehmer, Ort der Datenverarbeitung, Nachweis- und Prüfrecht und Vertragsende. Bei nicht verhandelbaren Standardverträgen großer Anbieter wird dokumentiert, ob sie diese Punkte abdecken.

Weitere Abschnitte regeln die regelmäßige Überprüfung, Zugänge und Fernwartung von Dienstleistern sowie die Beendigung mit Sperre aller Zugänge und Bestätigung der Datenlöschung in Textform. Anhang A ist die Dienstleisterliste mit Leistung, Stufe, Zugriff auf Kundendaten, Vertragsstand, letzter Prüfung und interner Zuständigkeit.

Einsatz

Wofür Sie eine Richtlinie für Lieferanten und Dienstleister brauchen

Wer selbst einen Lieferantenfragebogen beantwortet, wird nach den eigenen Unterauftragnehmern gefragt: Wer hat Zugriff auf die Daten des Kunden, und wie werden diese Firmen geprüft? Die Dienstleisterliste in Anhang A ist nach dem Wortlaut der Lieferantenaudit-Fassung der Nachweis zu genau dieser Frage; die NIS2-Fassung führt die Dienstleister in der Lieferantenbewertung und nutzt Anhang A als Kurzfassung. Verlangt ein Kunde die Zustimmung zu Unterauftragnehmern oder deren Anzeige, wird sie vor der Beauftragung eingeholt und seine Anforderungen werden an den Dienstleister weitergegeben.

Im NIS2-Paket ist die Richtlinie dem Bereich Nr. 4 des § 30 Abs. 2 BSIG zugeordnet, Sicherheit der Lieferkette. Dort arbeitet sie mit der Lieferantenbewertung in Excel zusammen, in der Einstufung, Bewertung und Prüftermine mit Auswertung geführt werden. Die Tabelle in Anhang A ist dann die Kurzfassung für Betriebe, die ohne eigene Datei arbeiten wollen.

Werden personenbezogene Daten im Auftrag verarbeitet, verlangt die Vorlage vor Beginn einen Vertrag zur Auftragsverarbeitung unter Beteiligung der oder des Datenschutzbeauftragten. Die Richtlinie ersetzt keinen Vertrag und keine rechtliche Prüfung. Sie legt fest, welche Punkte ein Vertrag mit kritischen und wichtigen Dienstleistern mindestens enthalten soll.

Die Fassungen in beiden Paketen

Beide Fassungen haben dieselben elf Abschnitte und Anhang A. In der NIS2-Fassung (NIS-RL-09) richtet sich die Frist für Sicherheitsaktualisierungen beim Dienstleister nach dem Verfahren Schwachstellen und Patches, in der Lieferantenaudit-Fassung (IS-RL-06) steht dort ein eigener Wert in Tagen. Mängel aus der Überprüfung kommen im NIS2-Paket in das Risikoregister statt in die Maßnahmenübersicht, und die Dienstleister werden in der Lieferantenbewertung in Excel geführt. Unter den mitgeltenden Dokumenten nennt die Lieferantenaudit-Fassung zusätzlich die Antworthilfe für Lieferantenfragebögen.