IT-Sicherheit als Einkaufskriterium

Checkliste: Security-Audit bei Lieferanten

Als Teil der Lieferantenbewertung sollten Unternehmen auch die IT-Sicherheit der Zulieferer und Dienstleister in den Blick nehmen. Um die Lieferantenbewertung einheitlich durchführen zu können, sollten insbesondere folgende Punkte als Lieferantenkriterien in der Lieferantenmanagement-Software aufgenommen werden:

• Lieferantenvertrag enthält Vorgaben zur IT-Sicherheit (IT-Sicherheitsrichtlinien) entsprechend dem Schutzbedarf der mit dem Lieferanten ausgetauschten Daten

• Lieferantenvertrag enthält Vorgaben passend zu den erforderlichen Security Service Levels (Vertraulichkeit, Verfügbarkeit, Integrität) der gemeinsamen Prozesse, insbesondere zur Verschlüsselung, Datensicherung und Ausfallsicherheit

• IT-Sicherheitsmanagement des Lieferanten basiert auf ISO 27001, IT-Grundschutz oder einem anderen anerkannten Standard

• Lieferant verpflichtet sich zur Einhaltung der relevanten Compliance-Vorgaben wie den Datenschutzgesetzen

• Lieferant verpflichtet Beschäftigte auf Datengeheimnis

• Lieferant verpflichtet sich zur Löschung der Daten des Auftraggebers nach Zweckerfüllung

• Lieferant trennt die Daten seiner verschiedenen Auftraggeber (mandantenfähige IT-Systeme)

• Lieferant kann eine unabhängige, externe Zertifizierung der IT-Sicherheit vorweisen