Drittparteien- und Lieferantensicherheitsrichtlinie

Die Drittparteien- und Lieferantensicherheitsrichtlinie (P26) bietet ein umfassendes Governance-Modell zur Etablierung, Steuerung und kontinuierlichen Überwachung sicherer Beziehungen zu Drittparteien-Lieferanten, Auftragnehmern, Cloud-Anbietern und Dienstorganisationen. Diese Richtlinie richtet sich an Organisationen, die bei der Auslagerung oder Beschaffung von Diensten, die auf geschäftskritische Systeme, kritische Systeme, Informations-Assets oder Systeme zugreifen, diese verarbeiten oder sich damit integrieren, strenge Standards der Informationssicherheit aufrechterhalten. Die Richtlinie gilt für alle Lieferantenbeziehungen, die sensible Daten, Produktionsumgebungen oder die Unterstützung zentraler Geschäftsfunktionen betreffen, und umfasst sowohl direkte Lieferanten als auch deren Unterauftragnehmer. Sie beschreibt detaillierte Rollen und Verantwortlichkeiten für den Chief Information Security Officer (CISO), Beschaffung und Lieferantenmanagement, Informationssicherheits- und Risikobeauftragte, Business Relationship Owners sowie die Funktionen Recht und Compliance. Jede Rolle trägt zum sicheren Lebenszyklusmanagement von Lieferanten bei – von der initialen Risikobeurteilung und Vertragsverhandlung bis zur fortlaufenden Überwachung und sicheren Beendigung. Zentral ist die Anforderung an ein formales Modell zur Drittparteienklassifizierung und Risikoklassifizierung, das Lieferanten anhand von Datenzugriff, Service-Kritikalität, regulatorischen Verpflichtungen, externer Angriffsfläche und Abhängigkeiten von Drittparteien gruppiert. Alle Drittparteienbeziehungen müssen einem definierten Lebenszyklusansatz folgen: Lieferanten durchlaufen vor Vertragsabschluss Lieferantensorgfaltsprüfung, Risikobeurteilung und eine vertragliche Sicherheitsprüfung; Verträge müssen mit durchsetzbaren Sicherheitskontrollen ausgestattet sein, einschließlich Meldefristen bei Verletzung des Schutzes personenbezogener Daten, Auditrechtsklauseln, Datenverarbeitung sowie spezifischen Anforderungen an den Einsatz von Unterauftragnehmern. Anschließend werden Lieferanten kontinuierlich über Sicherheitszertifizierungen, Service-Level-Agreement-(SLA)-Leistung, Sicherheitsvorfallmeldung und Änderungen an ihren Diensten oder ihrem Personal überwacht. Kann ein Lieferant Sicherheitsanforderungen nicht vollständig erfüllen, schreibt die Richtlinie einen formalen Ausnahmeantragsprozess vor – mit Dokumentation, kompensierenden Kontrollen und Genehmigung durch die oberste Leitung. Der Ausnahmestatus löst häufige Überprüfungen aus und kann zu neu verhandelten Bedingungen oder ergänzenden Sicherheitsprüfungen führen. Lieferanten, die als nicht konform eingestuft werden, müssen mit vertraglichen Sanktionen, Aussetzung oder Beendigung von Diensten und Zugriff rechnen. Eine strikte Durchsetzung wird durch geplante Compliance-Audits, Lieferantenleistungsüberprüfungen und Disziplinarmaßnahmen bei internen Umgehungen der Richtlinieneinhaltung sichergestellt. Die Richtlinie wird mindestens jährlich oder bei wesentlichen Änderungen der Beschaffungsstrategie, der regulatorischen Landschaft oder nach größeren Sicherheitsvorfällen bei Lieferanten überprüft. Alle Änderungen und Auditergebnisse werden dokumentiert und organisationsweit kommuniziert, um ein vollständig nachvollziehbares und konformes Programm zur Drittparteien-Governance aufrechtzuerhalten.