Vorlagen und Aufzeichnungen · ISO 27001 · Abschnitt A.5.19 a A.5.22

Vorlage für die Sicherheitsbewertung von Lieferanten nach ISO 27001

Das Datenblatt jedes Lieferanten, der mit Information oder Systemen des Unternehmens in Berührung kommt: welchen Zugang er hat, was vertraglich verlangt wird und wie die Einhaltung geprüft wird.

In einem Satz

Die Sicherheitsbewertung von Lieferanten stuft jeden Lieferanten nach seinem Zugang zur Information ein, legt die vertraglichen Sicherheitsanforderungen fest und dokumentiert die Überwachung; sie entspricht den Maßnahmen 5.19 bis 5.22 von ISO/IEC 27001:2022, die verlangen, Lieferantenrisiken zu steuern, Anforderungen zu vereinbaren, die IKT-Lieferkette abzusichern und die Dienstleistungen zu überwachen.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27001 · Abschnitt A.5.19 a A.5.22 Die Abschnitte folgen ISO/IEC 27001:2022; die mit „A.“ beginnenden sind Maßnahmen aus Anhang A, verbindlich in dem Umfang, in dem die Erklärung zur Anwendbarkeit sie aufnimmt.
Art der Information: Bewährte Praxis Nachweis der Maßnahmen 5.19 bis 5.22 aus Anhang A
Wer sie ausfüllt: Einkauf mit dem Informationssicherheitsbeauftragten Der Eigentümer des beauftragten Dienstes wirkt bei der Überprüfung mit
Wann: Vor der Beauftragung und regelmäßig Überprüfung je nach Kritikalität sowie bei Änderungen der Leistung oder Vorfällen beim Lieferanten
Wie lange sie aufbewahrt wird: Legt die Organisation fest ISO/IEC 27001 nennt keine Fristen, verlangt aber eine Entscheidung über Aufbewahrung und Vernichtung der dokumentierten Information (7.5.3). Wer den dreijährigen Zertifizierungszyklus abdeckt, kann bei der Rezertifizierung die Historie vorlegen.

Was die Norm verlangt

Was ISO 27001 fordert und was Ihrem Ermessen überlassen bleibt

Die Maßnahmen 5.19 bis 5.22 decken den gesamten Zyklus ab: festlegen, wie Lieferantenrisiken gesteuert werden, mit jedem Lieferanten Sicherheitsanforderungen vereinbaren, diese auf die IKT-Lieferkette ausdehnen und seine Praktiken einschließlich Änderungen überwachen, überprüfen und bewerten. Maßnahme 5.23 ergänzt die Cloud-Dienste.

Das ist nicht die Lieferantenbewertung nach ISO 9001, die Qualität, Termintreue und Preis betrachtet: Hier lautet die Frage, welchen Schaden der Lieferant der Information zufügen könnte und welche Garantien er bietet.

Der Aufwand richtet sich nach dem Risiko: Ein Hosting-Anbieter mit Kundendaten erfordert Fragebogen, Klauseln und jährliche Überprüfung; der Lieferant für Büromaterial nichts davon.

Im Zusammenhang lesen: Betrieb, in der Akademie zu ISO 27001

Aufbau

Felder, die die Vorlage enthalten sollte

Lieferant und erbrachte Leistung
Art des Zugangs: Daten, Systeme, Räumlichkeiten
Kritikalität für die Sicherheit
Geforderte Anforderungen und unterzeichnete Klauseln (Vertraulichkeit, Vorfallmeldung, Unterbeauftragung, Audit)
Vorgelegte Nachweise: Zertifikate, Berichte, Fragebogen
Datum und Ergebnis der Bewertung
Vorfälle beim Lieferanten und Änderungen seiner Leistung
Nächste Überprüfung

Beispiel

Beispiel: Cloud-Hosting-Anbieter

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Lieferant	Cloud-Anbieter (fiktiv) · Hosting der SaaS-Plattform
Zugang	Infrastruktur, auf der die Kundendaten liegen
Kritikalität	Hoch
Klauseln	Vertraulichkeit, Daten in der EU, Vorfallmeldung binnen 24 h, Liste der Unterauftragsverarbeiter
Nachweise	Gültiges ISO/IEC-27001-Zertifikat, dessen Geltungsbereich geprüft wurde
Bewertung	3. März 2026 · geeignet
Überwachung	Verfügbarkeitsvorfall von 2 h am 12. August: Bericht erhalten und geprüft
Nächste Überprüfung	März 2027

Im Audit

Fehler, die Auditoren häufig feststellen

Das Zertifikat des Lieferanten wird angefordert, ohne zu prüfen, ob sein Geltungsbereich die beauftragte Leistung abdeckt.
Verträge ohne Klausel zur Vorfallmeldung.
Nach der Beauftragung überprüft niemand die Lieferanten.
Cloud-Dienste, die eine Abteilung beauftragt, ohne die Informationssicherheit einzubeziehen.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Jeder Lieferant wird im Lieferantenportal mit seinen Sicherheitsklauseln angelegt.
2Die Nachweise des Lieferanten liegen in seinem Datenblatt, mit Ablaufdatum und Erinnerung.
3Die laufende Lieferantenbewertung ist mit seiner Dokumentation verbunden: Läuft ein Zertifikat ab, verliert er die Freigabe, bevor eine Bestellung an ihn geht.

Häufige Fragen

Was man uns vor dem Start fragt

Reicht es, wenn der Lieferant nach ISO 27001 zertifiziert ist?

Es hilft sehr, doch man muss den Geltungsbereich des Zertifikats lesen: Umfasst er die beauftragte Leistung nicht, deckt er sie nicht ab. Und das Zertifikat ersetzt nicht die Vertragsklauseln.

Kann man dasselbe Datenblatt wie für ISO 9001 verwenden?

Dasselbe Lieferantendatenblatt ja, dieselbe Bewertung nicht. Es empfiehlt sich, das allgemeine Datenblatt um einen Sicherheitsblock mit eigenem Kriterium und eigener Häufigkeit zu ergänzen.

Führen Sie die Aufzeichnungen zu ISO 27001 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme. Anforderungen ISO/IEC · 25. Oktober 2022
ISO/IEC 27002:2022 — Informationssicherheitsmaßnahmen ISO/IEC · Februar 2022