🏠[[Startseite ISMS]]  
📘 Kapitel:[[02. Risikoanalyse und Maßnahmen]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.2  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[Geschäftsführung]]

---

## 1. Zweck des Dokuments
Dieses Dokument beschreibt die Anforderungen, Maßnahmen und Überprüfungen zur Sicherstellung der Informationssicherheit in Zusammenarbeit mit externen Dienstleistern und Lieferanten.

---

## 2. Anforderungen an Lieferanten

### 2.1 Vertragliche Anforderungen
- Alle Lieferanten müssen eine [[01.70 Standard-NDA für Drittanbieter]] unterzeichnen, bevor sie Zugang zu sensiblen Informationen oder Systemen erhalten.
- Wenn personenbezogene Daten verarbeitet werden, ist eine [[01.71 Auftragsdatenverarbeitungsvereinbarung (ADV)]] erforderlich.
- Sicherheitsanforderungen werden im Rahmen der [[01.58 Sicherheitsrichtlinie für Drittanbieter]] klar definiert.

### 2.2 Sicherheitsüberprüfung
- Alle neuen Lieferanten durchlaufen eine Sicherheitsbewertung, die folgende Kriterien umfasst:
  - ISO 27001-Zertifizierung oder vergleichbare Sicherheitsstandards.
  - Klare interne Richtlinien für Informationssicherheit und Datenschutz.
  - Nachweis regelmäßiger Schulungen für alle Mitarbeitenden.
- Bestehende Lieferanten werden mindestens einmal jährlich überprüft.

### 2.3 Zugangsbeschränkungen
- Lieferanten erhalten nur den Zugriff, der für ihre Aufgaben unbedingt erforderlich ist (Prinzip der geringstmöglichen Rechte).
- Der Zugriff auf Systeme und Daten wird regelmäßig überprüft und bei Projektende oder Vertragsbeendigung widerrufen.

### 2.4 Schulung und Sensibilisierung
- Lieferanten verpflichten sich, ihr Personal regelmäßig über Informationssicherheit zu schulen.
- Die [[IT-Verantwortliche(r)]] überprüft stichprobenartig die Schulungsnachweise der Lieferanten.

---

## 3. Verantwortlichkeiten

- **Geschäftsführung**:
  - Genehmigung von Lieferantenverträgen und Überwachung der Einhaltung von Sicherheitsstandards.
- **[[IT-Verantwortliche(r)]]**:
  - Durchführung von Sicherheitsüberprüfungen und regelmäßigen Audits.
  - Dokumentation aller relevanten Überprüfungen und Berichte.
- **Fachabteilungen**:
  - Melden von sicherheitsrelevanten Vorfällen im Zusammenhang mit Lieferanten an die [[Informationssicherheitsbeauftragte(r)]].

---

## 4. Checkliste zur Bewertung von Lieferanten

| **Kriterium**                     | **Ja/Nein** | **Bemerkungen**            |
|-----------------------------------|-------------|----------------------------|
| Sicherheitszertifikate            |             |                            |
| Vertragsregelungen (NDA/ADV)      |             |                            |
| Durchführung regelmäßiger Audits  |             |                            |
| Schulungen der Mitarbeitenden     |             |                            |
| Umgang mit sicherheitskritischen Vorfällen |      |                            |

---

## 5. Überprüfung und Dokumentation

### 5.1 Bewertung neuer Lieferanten
- Vor Vertragsbeginn wird die Checkliste vollständig ausgefüllt und vom [[IT-Verantwortliche(r)]] genehmigt.

### 5.2 Regelmäßige Audits
- Alle bestehenden Lieferanten werden jährlich überprüft, und die Ergebnisse werden in einem Bericht dokumentiert.

### 5.3 Dokumentenspeicherung
- Alle relevanten Dokumente (NDA, ADV, Berichte) werden zentral im ISMS gespeichert.

---

## 6. Verknüpfte Dokumente
- [[01.58 Sicherheitsrichtlinie für Drittanbieter]]
- [[01.70 Standard-NDA für Drittanbieter]]
- [[01.71 Auftragsdatenverarbeitungsvereinbarung (ADV)]]

---

🏷️ **Tags:**  
- #ISO_Kontrolle_15_1  #Lieferanten_Informationssicherheit  
- #ISO_Kontrolle_15_2  #Sicherheitsanforderungen_Drittanbieter  
