Ein kritischer IT-Dienstleister bestätigt den Einsatz von MFA, kann aber weder aktuelle Nachweise noch einen getesteten Notfallprozess vorlegen. Ein pauschales «erfüllt» im Lieferantenstamm verdeckt in diesem Fall ein relevantes Risiko. Wer Lieferantenrisiken mit Fragebogen bewerten will, braucht deshalb mehr als eine Sammlung allgemeiner Ja-Nein-Fragen: Entscheidend sind nachvollziehbare Anforderungen, belastbare Belege und ein klarer Prozess für Massnahmen.

Für Schweizer KMU und Organisationen ist das besonders relevant, wenn Lieferanten Zugriff auf Personendaten, Fachanwendungen, Netzwerke oder geschäftskritische Prozesse erhalten. Auch ohne direkten Systemzugriff können Abhängigkeiten bei Cloud-Diensten, Wartungsverträgen oder ausgelagerten Geschäftsprozessen die Informationssicherheit beeinflussen. Ein strukturierter Fragebogen schafft Transparenz, ersetzt aber keine Risikobeurteilung. Er liefert die Informationen, auf deren Basis eine Organisation fundiert entscheiden kann.

Warum ein Lieferantenfragebogen allein nicht genügt

Ein Fragebogen standardisiert die Erhebung. Das spart Zeit, macht Antworten vergleichbar und schafft eine dokumentierte Grundlage für Beschaffungsentscheide oder periodische Überprüfungen. Seine Aussagekraft hängt jedoch davon ab, ob Fragen zum tatsächlichen Risiko des jeweiligen Lieferanten passen.

Ein Lieferant für Büromaterial braucht keine detaillierte Prüfung seines Sicherheitsbetriebs. Bei einem Anbieter, der Kundendaten verarbeitet oder Fernzugriff auf produktive Systeme erhält, sieht die Lage anders aus. Hier sind unter anderem Zugriffsschutz, Datenstandort, Umgang mit Sicherheitsvorfällen, Verschlüsselung, Subunternehmer und Wiederherstellungsfähigkeit relevant.

Der richtige Ansatz beginnt daher mit einer einfachen Einordnung: Welche Leistung bezieht die Organisation, welche Informationen fliessen dabei, welche Systeme sind betroffen und wie schwer wären Ausfall, Datenverlust oder unbefugter Zugriff? Daraus ergibt sich die notwendige Prüftiefe. So bleibt der Aufwand verhältnismässig und die Beurteilung konzentriert sich auf die wirklich relevanten Risiken.

Lieferantenrisiken mit Fragebogen bewerten: vier Schritte

1. Lieferanten nach Kritikalität klassifizieren

Bevor ein Fragebogen versendet wird, sollte jeder Lieferant einer Risikoklasse zugeordnet werden. Geeignete Kriterien sind der Zugriff auf vertrauliche Daten, die Bedeutung für den Betrieb, die technische Integration, regulatorische Vorgaben und die Möglichkeit, kurzfristig auf einen anderen Anbieter auszuweichen.

Eine praxisnahe Einteilung kennt beispielsweise drei Stufen: gering, erhöht und kritisch. Für Lieferanten mit geringem Risiko genügt eine schlanke Selbstauskunft. Bei erhöhtem Risiko wird der Fragenkatalog um konkrete Sicherheits- und Datenschutzthemen ergänzt. Kritische Lieferanten erfordern zusätzlich Nachweise, eine fachliche Prüfung und unter Umständen vertragliche Auflagen oder einen Vor-Ort-Termin.

Diese Klassifizierung sollte dokumentiert sein. Sie zeigt bei einer Revision, weshalb eine Prüfung in bestimmter Tiefe erfolgte und verhindert, dass einzelne Fälle nach Bauchgefühl unterschiedlich behandelt werden.

2. Fragen aus dem tatsächlichen Risiko ableiten

Gute Fragen sind präzise, überprüfbar und eindeutig einer Anforderung zugeordnet. Die Frage «Sind Ihre Systeme sicher?» führt fast immer zu einer unverbindlichen Selbsteinschätzung. Aussagekräftiger ist: «Ist für administrative und Fernzugriffe eine Mehrfaktor-Authentisierung eingerichtet? Bitte beschreiben Sie den Geltungsbereich und legen Sie einen geeigneten Nachweis vor.»

Der Fragebogen sollte sich an den Themen orientieren, die für die Zusammenarbeit tatsächlich zählen. Dazu gehören typischerweise Governance und Verantwortlichkeiten, Identitäts- und Berechtigungsmanagement, Schutz von Daten, Schwachstellen- und Patch-Management, Protokollierung, Incident Management, Notfallvorsorge sowie der Einsatz von Unterauftragnehmern.

Bei Cloud- und Datenverarbeitungsleistungen kommen weitere Punkte hinzu: Wo werden Daten gespeichert und verarbeitet? Welche Daten verlassen die Schweiz oder den Europäischen Wirtschaftsraum? Wie wird eine Mandantentrennung umgesetzt? Wie schnell wird die Organisation über Sicherheitsvorfälle informiert? Und wie erhält sie ihre Daten nach Vertragsende zurück?

Nicht jede Antwort muss mit einem Zertifikat belegt werden. Für manche Kontrollen genügen Richtlinien, Auszüge aus Prozessen, Testprotokolle oder technische Konfigurationsnachweise. Wichtig ist, vorab festzulegen, welche Evidenz akzeptiert wird. Sonst entstehen Diskussionen erst dann, wenn ein Lieferant bereits ausgewählt ist.

3. Antworten bewerten statt nur abhaken

Eine Beantwortung mit «Ja» ist kein Risikonachweis. Sie wird erst aussagekräftig, wenn klar ist, ob die Kontrolle vollständig umgesetzt, teilweise umgesetzt oder nicht belegt ist. Eine einfache Bewertungsskala kann dabei helfen: erfüllt, teilweise erfüllt, nicht erfüllt und nicht anwendbar. Ergänzend wird erfasst, ob ein Nachweis vorhanden und geprüft wurde.

Für kritische Themen ist eine Gewichtung sinnvoll. Ein fehlender Prozess zur Meldung schwerer Sicherheitsvorfälle wiegt anders als eine noch nicht vollständig dokumentierte Schulung. Die Gewichtung sollte jedoch nachvollziehbar bleiben. Zu komplexe Punktesysteme erzeugen eine scheinbare Genauigkeit, die operativ kaum Nutzen bringt.

Neben der einzelnen Frage braucht es eine Gesamtbewertung. Diese verbindet die Kontrolllücken mit der Kritikalität des Lieferanten. Ein kleiner Mangel kann bei einem wenig kritischen Anbieter akzeptabel sein. Dieselbe Lücke kann bei einem zentralen Hosting-Partner ein hohes Restrisiko darstellen. Genau hier liegt der Unterschied zwischen Fragebogenverwaltung und wirksamem Lieferantenrisikomanagement.

Aus Befunden konkrete Massnahmen machen

Ein Fragebogen erfüllt seinen Zweck erst, wenn aus Abweichungen klare nächste Schritte entstehen. Jede relevante Feststellung sollte daher mindestens einen Verantwortlichen, eine Frist, einen Status und eine Entscheidung zum Restrisiko erhalten. Bei einem Lieferanten kann die Massnahme in einer vertraglichen Ergänzung bestehen, bei einem anderen in der Nachlieferung eines Nachweises oder in einer technischen Einschränkung der Zugriffsrechte.

Nicht jede Lücke muss sofort zum Ausschluss führen. Entscheidend ist, ob das Risiko angemessen reduziert werden kann und ob die Geschäftsleitung oder die zuständige Risikoverantwortung ein verbleibendes Risiko bewusst akzeptiert. Eine dokumentierte Akzeptanz ist wesentlich besser als ein stillschweigendes Übersehen.

Dabei sollten Beschaffung, Fachbereich, IT, Informationssicherheit und Datenschutz mit klaren Rollen zusammenarbeiten. Der Fachbereich beurteilt den geschäftlichen Bedarf. IT und Informationssicherheit bewerten technische und organisatorische Kontrollen. Datenschutz klärt Anforderungen an die Datenbearbeitung. Die verantwortliche Stelle entscheidet, ob die Zusammenarbeit unter den festgelegten Bedingungen zulässig ist.

Revisionssichere Dokumentation schafft Handlungsfähigkeit

Lieferantenbewertungen verlieren rasch an Wert, wenn Fragebögen in E-Mail-Postfächern liegen, Nachweise in verschiedenen Ordnern abgelegt werden und offene Punkte nur in Sitzungsnotizen stehen. Im Ernstfall oder bei einer Revision ist dann kaum nachweisbar, was geprüft, entschieden und umgesetzt wurde.

Eine zentrale Plattform verbindet Assessment, Auswertung, Massnahmen und Risiken in einem durchgängigen Prozess. Sie hält Fragebogenstände, Belege, Bewertungen und Freigaben revisionssicher fest. Rollenbasierte Zugriffe stellen sicher, dass Fachpersonen mitarbeiten können, ohne dass Verantwortung oder Übersicht verloren gehen. Management-Reports übersetzen die Ergebnisse in verständliche Aussagen: Welche kritischen Lieferanten bestehen? Wo liegen offene Risiken? Welche Massnahmen sind überfällig?

Für Organisationen, die verschiedene Sicherheitsanforderungen abbilden müssen, ist zudem die Zuordnung zu Kontrollkatalogen entscheidend. Ein Befund beim Lieferanten sollte nicht isoliert bleiben, sondern bei Bedarf auch in das eigene Risikoregister und die Umsetzungsplanung einfliessen. Mit SCMC lassen sich diese Schritte digital steuern, ohne Medienbrüche und mit Datenspeicherung in der Schweiz.

Häufige Fehler bei der Lieferantenbewertung

Ein häufiger Fehler ist der Einheitsfragebogen für alle Anbieter. Er überfordert einfache Lieferanten und bleibt bei kritischen Dienstleistern zu oberflächlich. Ebenso problematisch ist die ausschliessliche Selbstauskunft: Sie kann ein sinnvoller Startpunkt sein, muss bei hohen Risiken aber durch Nachweise, Rückfragen oder vertragliche Regelungen ergänzt werden.

Auch die zeitliche Perspektive wird oft unterschätzt. Die Prüfung bei Vertragsabschluss ist nur eine Momentaufnahme. Bei kritischen Lieferanten sollten Antworten und Nachweise periodisch erneuert werden, etwa jährlich oder bei wesentlichen Änderungen wie einem Sicherheitsvorfall, einem Wechsel von Subunternehmern oder einer neuen Datenbearbeitung.

Schliesslich darf ein hoher Punktwert nicht darüber hinwegtäuschen, dass einzelne Ausschlusskriterien entscheidend sein können. Fehlt beispielsweise eine tragfähige Regelung zur Meldung von Sicherheitsvorfällen, ist eine gute Gesamtbewertung kein Ersatz für eine klare Nachbesserung.

Wer Lieferanten strukturiert beurteilt, schafft keine zusätzliche Bürokratie, sondern eine belastbare Entscheidungsgrundlage. Der wirksamste Fragebogen ist derjenige, der zum Risiko passt, Belege einfordert und offene Punkte konsequent in überprüfbare Massnahmen überführt.