Lieferantenmanagement · Drittparteienrisiken · Kundenanforderungen
Ich unterstütze Unternehmen, Organisationen und Behörden beim risikoorientierten Lieferantenmanagement. Wenn Sie regulierte Kunden beliefern, begleite ich Sie bei deren Anforderungen. Von Bestandsaufnahme und Bewertung über Umsetzung bis zu Nachweisen und Audits: Wir richten das Vorgehen an Ihren Leistungen, Risiken, verbindlichen Anforderungen und Ressourcen aus.
Drittparteienrisiken entstehen durch Leistungen und Abhängigkeiten von externen Anbietern – etwa wenn ein Dienstleister ausfällt oder Zugriff auf sensible Daten hat. Ein IT-Dienstleister kann zugleich Kunde eines Cloud-Anbieters und Lieferant regulierter Unternehmen sein. Wir klären beide Rollen und nutzen geeignete Prozesse und Nachweise gemeinsam.
Ihnen fehlt eine verlässliche Übersicht, Bewertungen sind uneinheitlich oder Nachweise liegen verteilt? Ich unterstütze Sie dabei, Auswahl, Freigabe und laufende Überprüfung miteinander zu verbinden.
Ein Kunde erwartet Sicherheitsnachweise, umfangreiche Vertragszusagen oder ein Audit? Ich unterstütze Sie dabei, Anforderungen einzuordnen, Lücken zu bearbeiten und Ihren tatsächlichen Umsetzungsstand verständlich zu belegen.
Ein Anbieter mit administrativem Zugriff benötigt eine andere Bewertung als ein Lieferant ohne System- oder Datenzugang. Wir betrachten die tatsächliche Leistung, die Ausfallfolgen und Ihre Anforderungen.
Lieferantenlisten, ISMS-Risikobewertungen, Datenschutzunterlagen und Notfallpläne bilden die Grundlage. Wir ergänzen fehlende Informationen und vermeiden doppelte Pflege, soweit die Anforderungen das zulassen.
Bewertung, Nachweis und Entscheidung gehören zusammen. Ihre Verantwortlichen sollen erkennen können, warum ein Anbieter freigegeben wurde, welche Bedingungen gelten und wann erneut geprüft wird.
Vom einzelnen Prüfauftrag bis zum laufenden Lieferantenmanagement
Jeder Bereich kann einzeln oder als Teil einer Begleitung beauftragt werden. Wir beginnen bei Ihrem aktuellen Bedarf und vereinbaren Aufgaben, Ergebnisse und Umfang vorab.
Leistungsbereiche
Wählen Sie einen Bereich. Die Aufgaben und Ergebnisse erscheinen darunter.
Sie möchten das Lieferantenmanagement aufbauen oder einen bestehenden Prozess verbessern? Ich gleiche Ihre Abläufe, Unterlagen und Nachweise mit den vereinbarten Anforderungen ab. Dabei betrachten wir Einkauf, IT, Informationssicherheit, Datenschutz und die zuständigen Fachbereiche gemeinsam.
Ergebnis: Ein dokumentierter Soll-Ist-Abgleich mit offenen Punkten und einem priorisierten Maßnahmenplan.
Entscheidend ist, welche Leistung ein Anbieter erbringt und wovon Ihre Organisation tatsächlich abhängig ist. Wir führen die relevanten Informationen zusammen und schaffen nachvollziehbare Kriterien für die Einordnung.
Ergebnis: Eine strukturierte Lieferantenübersicht mit begründeter Einstufung, offenen Prüfpunkten und klaren Zuständigkeiten für die weitere Pflege.
Ein Anbieter kann für mehrere Prozesse gleichzeitig wichtig sein. Ich unterstütze bei der Bewertung einzelner Leistungen und gemeinsamer Abhängigkeiten. Vorhandene Schutzmaßnahmen, verbleibende Risiken und Unsicherheiten werden getrennt sichtbar.
Ergebnis: Dokumentierte Risikobewertungen mit Maßnahmen und Entscheidungsbedarf. Die zuständigen Verantwortlichen entscheiden über die verbleibenden Risiken.
Sicherheitsanforderungen müssen zur bezogenen Leistung passen und im Betrieb umsetzbar sein. Ich unterstütze die fachliche Vorbereitung von Auswahl, Freigabe und vertraglichen Kontrollpunkten in Abstimmung mit Einkauf, IT, Datenschutz und gegebenenfalls Ihrer Rechtsberatung.
Ergebnis: Ein fachlicher Anforderungskatalog und dokumentierte Prüfpunkte für die Beauftragung. Offene rechtliche Fragen werden gesondert ausgewiesen.
Nach der Freigabe muss erkennbar bleiben, ob Anforderungen eingehalten werden und sich die Risikolage verändert. Wir entwickeln einen Ablauf, den Ihre Verantwortlichen mit den verfügbaren Mitteln pflegen können.
Ergebnis: Ein praktikabler Kontrollplan mit Nachweisablage, Maßnahmenübersicht und klaren Entscheidungswegen.
Ein regulierter Kunde verlangt umfangreiche Auskünfte oder Zusagen? Ich helfe Ihnen als Lieferant, die Anforderungen auf Ihre tatsächliche Leistung zu beziehen und mit belastbaren Angaben zu beantworten. Bestehende Nachweise werden wiederverwendet, soweit sie passen.
Ergebnis: Abgestimmte Antworten mit Nachweisbezug und eine Übersicht offener Zusagen, Zuständigkeiten und Termine.
Sie möchten einen Dienstleister prüfen lassen oder bereiten sich selbst auf ein Kundenaudit vor? Wir klären zuerst Auftrag, Rolle, Kriterien und Prüfrechte. Eine unabhängige Prüfung und die beratende Vorbereitung werden getrennt abgegrenzt; mögliche Interessenkonflikte werden vor Annahme des Auftrags geprüft.
Ergebnis je nach Auftrag: Ein Auditbericht mit Feststellungen und Folgemaßnahmen oder eine strukturierte Vorbereitung auf die Kundenprüfung.
Was geschieht, wenn ein zentraler Dienstleister ausfällt, seine Leistung verändert oder ersetzt werden muss? Ich verbinde die Lieferantenbewertung mit Ihrem Notfallmanagement und unterstütze bei einem realistischen Vorgehen für Störung und Ausstieg.
Ergebnis: Abgestimmte Notfall- und Ausstiegsschritte mit Verantwortlichen, Voraussetzungen und einem angemessenen Prüf- oder Übungsbedarf.
Für eigenständige Prüfaufträge finden Sie weitere Informationen zu internen Audits, Lieferantenaudits und Prüfungsvorbereitung.
Ob kleiner Betrieb, komplexe Organisation oder Behörde: Abläufe müssen zu Ihren Aufgaben und Strukturen passen. Schon ein einzelner Dienstleister kann ein erhebliches Risiko darstellen. Prüftiefe, Nachweise und Überprüfungsintervalle richten sich nach der konkreten Leistung, den möglichen Folgen und den geltenden Anforderungen.
Die folgenden Beispiele zeigen mögliche Abstufungen. Sie ersetzen keine Bewertung Ihrer tatsächlichen Situation und sind keine festen gesetzlichen Kategorien.
Eine gut ersetzbare Leistung ohne Zugang zu sensiblen Daten oder kritischen Systemen kann mit einer schlanken Prüfung auskommen.
Mögliches Vorgehen: Leistung und Verantwortliche erfassen, grundlegende Anforderungen prüfen und begründen, wann eine erneute Bewertung nötig ist.
Ein Dienstleister verarbeitet personenbezogene Daten oder unterstützt wichtige Abläufe. Ein Ausfall oder eine Fehlkonfiguration hätte spürbare Folgen.
Mögliches Vorgehen: Datenschutz- und Sicherheitsnachweise, Zugriffe, Vorfallkommunikation und Wiederherstellung vertieft prüfen; offene Maßnahmen gezielt verfolgen.
Mehrere wesentliche Abläufe hängen von einem Anbieter ab. Ein Wechsel ist schwierig, und längere Ausfälle wären kaum tragbar.
Mögliches Vorgehen: Abhängigkeiten und Unterauftragnehmer vertieft bewerten, geeignete Prüfberichte oder Audits einbeziehen und belastbare Notfall- und Ausstiegsschritte vorbereiten.
Wo eine gepflegte Übersicht und wenige klare Kontrollpunkte ausreichen, bleibt der Prozess entsprechend schlank. Wo Risiken oder verbindliche Anforderungen mehr verlangen, benennen wir die notwendigen zusätzlichen Schritte. Ein neues Tool ist dafür keine Voraussetzung; zuerst klären wir den Prozess und die benötigten Informationen.
Eine Leistung kann gleichzeitig Anforderungen aus Informationssicherheit, Datenschutz und Kundenverträgen berühren. Wir erfassen deren Herkunft, prüfen die Anwendbarkeit und ordnen sie vorhandenen Maßnahmen und Nachweisen zu. Zusätzliche Pflichten bleiben dabei sichtbar.
Für erfasste Einrichtungen gehört die Sicherheit der Lieferkette zum Risikomanagement. Wir ordnen Anforderungen an unmittelbare Anbieter und Dienstleister ein und verbinden sie mit Bewertung, Maßnahmen und Nachweisen. Die eigene Betroffenheit und zusätzliche Kundenanforderungen werden getrennt betrachtet.
NIS-2-Beratung ansehenBei erfassten Finanzunternehmen stehen IKT-Dienstleistungen, deren Risiken und vertragliche Anforderungen im Mittelpunkt. Ich unterstütze die fachliche Erfassung und Bewertung sowie die Vorbereitung benötigter Angaben und Nachweise, etwa für das Informationsregister. Für IKT-Dienstleister grenzen wir Kundenanforderungen und eine mögliche eigene regulatorische Rolle ab.
Regulatorische Einordnung ansehenLieferantenbeziehungen werden mit Risikobewertung, Sicherheitsanforderungen und laufender Überprüfung im ISMS verbunden. Bestehende Prozesse nach ISO 27001 oder BSI IT-Grundschutz nutzen wir weiter und ergänzen, was für die konkreten Leistungen fehlt.
ISMS-Beratung ansehenBei personenbezogenen Daten klären wir die Rolle des Anbieters, erforderliche Vereinbarungen und geeignete technische und organisatorische Maßnahmen. Unterauftragnehmer und mögliche Drittlandbezüge werden berücksichtigt. Bei Cloud- oder KI-Diensten kommen die jeweiligen Nutzungs-, Daten- und Sicherheitsanforderungen hinzu.
Datenschutzberatung ansehenSie arbeiten direkt mit mir. Seit 2018 bin ich in Datenschutz, Informationssicherheit und Compliance tätig. Meine Erfahrung aus Beratung, Audits sowie Projekt- und Teamleitung hilft dabei, fachliche Anforderungen mit Zuständigkeiten, Abstimmung und praktischer Umsetzung zu verbinden.
Erfahrung und Qualifikationen kennenlernenWir besprechen den Anlass, Ihre Rolle, betroffene Leistungen und vorhandene Unterlagen. Gemeinsam legen wir Umfang, Ergebnisse, Ansprechpartner und Honorar fest.
Ich strukturiere Anforderungen, Risiken und Nachweise mit Ihren Verantwortlichen. Fehlende Angaben, Abweichungen und Entscheidungen werden sichtbar und priorisiert.
Wir entwickeln die vereinbarten Bewertungen, Anforderungen und Kontrollabläufe. Ihre Teams übernehmen operative Aufgaben; ich unterstütze bei Ausarbeitung, Abstimmung und Nachverfolgung.
Wir klären Pflege, regelmäßige Kontrollen und den Umgang mit Änderungen. Bei einem separaten Auditauftrag werden Prüfplan, Durchführung und Bericht eigenständig vereinbart.
Der Auftrag bestimmt, welche Ergebnisse Sie benötigen. Eine einzelne Lieferantenbewertung hat einen anderen Umfang als der Aufbau eines gesamten Prozesses. Je nach Vereinbarung entstehen beispielsweise:
Einordnung, angemessener Umfang und konkrete Zusammenarbeit.
Aus der Praxis erklärt
Ein kritischer Dienstleister, ein neuer Kundenfragebogen oder ein anstehendes Audit: Beschreiben Sie Ihre Ausgangslage. Gemeinsam klären wir, welche Unterstützung und welcher Umfang sinnvoll sind.