Projektmanagement & ITIL

Supplier Management

Overview

Supplier Management stellt sicher, dass Lieferanten und Dienstleister die vereinbarten Leistungen erbringen und die Beziehung zu ihnen bewusst gesteuert wird. Es ist eine General Management Practice in ITIL 4 und ITIL (Version 5). Typische Lieferanten sind Systemhäuser, Managed Service Provider, Cloud-Anbieter, Softwarehersteller, Hardwarelieferanten und Telekommunikationsanbieter.

Seit NIS2 hat das Thema regulatorisches Gewicht: § 30 Abs. 2 Nr. 4 BSIG verlangt für betroffene Einrichtungen Maßnahmen zur Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Auch ISO/IEC 27001 enthält Anforderungen an Lieferantenbeziehungen.

Abgrenzung: Der Managed Service ist das Leistungsmodell eines Dienstleisters, Supplier Management die Steuerung aus Kundensicht. Service Level Management verhandelt die Service Levels, Supplier Management sorgt dafür, dass Lieferantenverträge diese stützen.

How it works

Typische Aufgaben im Ablauf:

  1. Lieferanten erfassen und nach Kritikalität einstufen, z. B. nach Auswirkung eines Ausfalls und Zugriff auf Daten oder Systeme.
  2. Anforderungen definieren: Leistungen, Service Levels, Sicherheitsanforderungen, Auftragsverarbeitung nach DSGVO, Exit-Regelungen.
  3. Verträge verwalten mit Laufzeiten, Kündigungsfristen und Verantwortlichen.
  4. Leistung überwachen anhand von Berichten und eigenen Messungen.
  5. Regelmäßige Reviews und Risikobewertungen, bei kritischen Lieferanten mindestens jährlich.
  6. Beendigung geordnet planen: Datenrückgabe, Löschnachweise, Entzug von Zugängen.

Benefits

  • Weniger Überraschungen durch ablaufende Verträge oder versäumte Kündigungsfristen.
  • Bessere Leistung, weil Abweichungen mit Daten belegt und in Reviews angesprochen werden.
  • Nachweise zur Lieferkettensicherheit für NIS2 und ISO/IEC 27001.
  • Kontrolle über Fernzugänge von Dienstleistern, ein häufiger Einfallsweg bei Angriffen.

Practical example

Ein Chemieunternehmen mit 280 Mitarbeitenden arbeitet mit 35 IT-Lieferanten, die Verträge liegen verteilt in Ordnern. Die IT erstellt eine Lieferantenliste mit Kritikalität, Vertragsdaten und Ansprechpartnern und stuft sieben Anbieter als kritisch ein, darunter den ERP-Hoster und den Dienstleister mit Fernwartungszugang. Für diese werden jährliche Reviews, Sicherheitsanforderungen und Exit-Pläne festgelegt. Bei der NIS2-Prüfung liegt die Dokumentation vollständig vor.

Things to keep in mind

  • Stufe Lieferanten nach Kritikalität ein und konzentriere den Aufwand auf die kritischen.
  • Verankere Sicherheitsanforderungen und Meldepflichten bei Vorfällen ausdrücklich im Vertrag.
  • Prüfe regelmäßig, welche Dienstleister noch Zugänge haben, und entziehe nicht mehr benötigte sofort.
  • Plane einen Exit vor Vertragsabschluss, besonders bei Cloud-Diensten mit Datenhaltung beim Anbieter.

Conclusion

Supplier Management ist durch NIS2 vom Einkaufsthema zum Sicherheitsthema geworden. Eine gepflegte Lieferantenliste mit Kritikalität und Reviews ist der praktikable Einstieg.

Further reading

Related articles