🏠[[Startseite ISMS]]  
📘 Kapitel:[[01. Kontext und Führung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[IT-Verantwortliche(r)]]

---

#### 1. Zweck der Richtlinie
Diese Richtlinie definiert die Sicherheitsanforderungen an Drittanbieter, um sicherzustellen, dass Unternehmensdaten und IT-Systeme vor unbefugtem Zugriff, Datenverlust und Missbrauch geschützt sind. Sie gewährleistet die Einhaltung der Datenschutzgesetze (z. B. DSG, DSGVO) und anderer relevanter Vorschriften.

#### 2. Geltungsbereich
Die Richtlinie gilt für:
- Alle externen Dienstleister, Lieferanten und Partner, die Zugriff auf Systeme, Daten oder Netzwerke der Beispiel-Unternehmen GmbH haben.
- Alle Dienstleistungen oder Projekte, die die Verarbeitung oder Speicherung von Unternehmensdaten durch Drittanbieter umfassen.

---

## 3. Anforderungen

### **3.1 Vertragsgestaltung und Geheimhaltung**
- Drittanbieterbeziehungen müssen durch schriftliche Verträge geregelt sein, die folgende Punkte beinhalten:
  - Klare Sicherheitsanforderungen,
  - Datenschutzverpflichtungen gemäß DSG und DSGVO,
  - Verpflichtung zur Einhaltung von unternehmensinternen Richtlinien.
- Vor der Aufnahme der Tätigkeit muss ein **[[01.70 Standard-NDA für Drittanbieter|Non-Disclosure Agreement (NDA)]]** unterzeichnet werden, um die Vertraulichkeit aller ausgetauschten Informationen zu gewährleisten.
- Für die Verarbeitung personenbezogener Daten ist eine **[[01.71 Auftragsdatenverarbeitungsvereinbarung (ADV)]]** erforderlich.
- Der Vertrag muss die Verantwortung des Drittanbieters für Sicherheits- und Datenschutzverstöße klar definieren.

### **3.2 Zugriffskontrollen**
- Drittanbieter dürfen nur auf die Systeme, Daten und Anwendungen zugreifen, die für ihre Aufgaben erforderlich sind (Prinzip der minimalen Rechte).
- Der Zugriff erfolgt ausschließlich über genehmigte Zugänge mit individuellen Zugangsdaten und nachweisbarer Authentifizierung (z. B. Multi-Faktor-Authentifizierung).
- Die [[IT-Verantwortliche(r)]] überprüft regelmäßig die Zugriffsrechte und deaktiviert sie bei Projektende oder Beendigung der Zusammenarbeit.

### **3.3 Sicherheitsmaßnahmen**
- Drittanbieter müssen geeignete technische und organisatorische Maßnahmen (TOMs) umsetzen, um die Vertraulichkeit, Integrität und Verfügbarkeit der Unternehmensdaten sicherzustellen:
  - Regelmäßige Sicherheitsupdates und -patches für genutzte Systeme,
  - Verschlüsselung sensibler Daten bei Speicherung und Übertragung,
  - Zugriffskontrollen auf Daten und Systeme.
- Verbindungen zu Unternehmenssystemen sind nur über genehmigte und gesicherte Kanäle (z. B. VPN) zulässig.
- Geräte oder Netzwerke von Drittanbietern dürfen nur mit ausdrücklicher Genehmigung der [[IT-Verantwortliche(r)]] genutzt werden.

### **3.4 Monitoring und Überprüfung**
- Alle Aktivitäten von Drittanbietern in Unternehmenssystemen werden protokolliert. Die [[IT-Verantwortliche(r)]] überprüft diese Protokolle regelmäßig auf Auffälligkeiten.
- Drittanbieter sind verpflichtet, auf Anfrage Sicherheitsberichte oder Ergebnisse interner Audits bereitzustellen.
- Geplante Sicherheitsprüfungen oder Penetrationstests durch Drittanbieter müssen im Voraus genehmigt werden.

### **3.5 Meldung von Sicherheitsvorfällen**
- Drittanbieter müssen Sicherheitsvorfälle, die Unternehmensdaten oder -systeme betreffen, unverzüglich der [[IT-Verantwortliche(r)]] melden.
- Der Drittanbieter ist verpflichtet:
  - Die Ursache des Vorfalls zu untersuchen,
  - Geeignete Maßnahmen zur Behebung zu ergreifen,
  - Präventive Maßnahmen zu dokumentieren, um ähnliche Vorfälle zu vermeiden.
- Die [[IT-Verantwortliche(r)]] informiert, falls erforderlich, die Geschäftsführung oder betroffene Kunden.

### **3.6 Schulung und Sensibilisierung**
- Drittanbieter müssen sicherstellen, dass ihre Mitarbeitenden regelmäßig über Datenschutz- und Sicherheitsanforderungen geschult werden.
- Der Nachweis über durchgeführte Schulungen kann von der [[IT-Verantwortliche(r)]] angefordert werden.
- Mitarbeitende von Drittanbietern müssen die relevanten Unternehmensrichtlinien kennen und einhalten.

### **3.7 Beendigung der Zusammenarbeit**
- Nach Beendigung der Zusammenarbeit muss der Drittanbieter:
  - Alle Unternehmensdaten und Zugangsdaten sicher löschen oder zurückgeben,
  - Der [[IT-Verantwortliche(r)]] einen Nachweis über die Datenlöschung vorlegen.
- Die [[IT-Verantwortliche(r)]] ist dafür verantwortlich, alle Zugriffsrechte des Drittanbieters auf Unternehmenssysteme zu deaktivieren.

---

## 4. Überprüfung und Aktualisierung
- Die Sicherheitsrichtlinie für Drittanbieter wird jährlich durch den/die [[IT-Verantwortliche(r)]] überprüft und bei Bedarf an neue gesetzliche oder technische Anforderungen angepasst.
- Regelmäßige Audits der Drittanbieterbeziehungen werden durchgeführt, um die Einhaltung dieser Richtlinie sicherzustellen.

---

🏷️ **Tags:**  
- #DrittanbieterSicherheit #PartnerSicherheit #ExterneDienstleister #ISO_Kontrolle_5_19 #ISO_Kontrolle_5_20
