ISO 27001 A.5.19 bis A.5.23: was der Auditor bei Lieferanten prüft

Die Controls A.5.19 bis A.5.23 der ISO/IEC 27001:2022 betreffen Sicherheitsaspekte von Lieferantenbeziehungen, Vereinbarungen, IKT-Lieferketten, laufenden Dienstleistungen und Cloud-Nutzung. Im Audit kommt es auf ihre begründete Anwendbarkeit und die tatsächliche Umsetzung an. Dazu finden Sie hier eigene Prüffragen und mögliche Nachweise. Sie geben weder den geschützten Normtext noch feste Prüfabläufe vor.

Ein Mittelständler mit 190 Beschäftigten und einer kleinen ISMS-Koordination sollte dafür eine konkrete kritische Leistung vollständig nachvollziehen können. Fünf unterschiedlich benannte Richtlinien helfen wenig, wenn weder der interne Leistungsowner noch die letzte Prüfung des Dienstes auffindbar ist.

Normanforderung, Umsetzungshinweis und Auditfrage unterscheiden

ISO/IEC 27001 ist die Anforderungsnorm für das ISMS. ISO/IEC 27002 enthält Hinweise zur Umsetzung von Informationssicherheitskontrollen. Die Entscheidung über erforderliche Controls und ihre Behandlung muss zum eigenen Geltungsbereich passen; eine pauschale Lieferantencheckliste ersetzt diese Begründung nicht. Quelle: ISO/IEC 27002.

Prüfen Sie Ihre Anwendbarkeitsentscheidung und verknüpfen Sie sie mit Risiken, gesetzlichen oder vertraglichen Anforderungen und der tatsächlich bezogenen Leistung. Wie Sie diese Entscheidung dokumentieren, lesen Sie unter Statement of Applicability. Einen Überblick über das ISMS finden Sie im ISO-27001-Framework-Hub.

Die fünf Themen in eigenen Worten

Bei A.5.19 geht es um die Organisation der Sicherheit in Lieferantenbeziehungen, bei A.5.20 um Sicherheitsanforderungen in Vereinbarungen. Unter A.5.21 behandeln Sie Risiken innerhalb der IKT-Lieferkette. Bei A.5.22 prüfen Sie Leistungen und reagieren auf Veränderungen. Diese thematische Einordnung stützt sich auf das offizielle SC-27-Journal. Quelle: SC-27-Journal 2025, Seiten 39 bis 41.

A.5.23 betrifft die Sicherheit bei der Nutzung von Cloud-Diensten. Das offizielle Journal zur Ausgabe 2022 erläutert hierzu insbesondere die geteilte Verantwortung zwischen Nutzer und Anbieter. Quelle: SC-27-Journal 2022, Beitrag zu Control 5.23.

Eigene Arbeitsvorlage: Nachweise entlang einer Leistung

Thema	Eigene Prüffrage	Möglicher betrieblicher Nachweis
A.5.19: Lieferantenbeziehung	Warum erhält diese Leistung ihre Prüftiefe, und wer verantwortet das Risiko?	Leistungsinventar, begründete Kritikalität, zugeordneter Owner und bewertete offene Punkte.
A.5.20: Vereinbarungen	Welche Sicherheitsanforderungen sind konkret vereinbart und intern zugeordnet?	Vertragsauszug mit Leistungsbezug, abgestimmte Meldewege und dokumentierte Abweichungsentscheidung.
A.5.21: IKT-Lieferkette	Welche weiteren Abhängigkeiten gefährden die bezogene Leistung?	Erfasste relevante Unterauftragnehmer, bewertete Konzentration und Anforderungen für Änderungen.
A.5.22: Überwachung	Was wurde zuletzt geprüft, was wurde festgestellt und was folgte daraus?	Datierter Review, bewertete Leistungsabweichungen, nachverfolgte Maßnahmen und Änderungsentscheidungen.
A.5.23: Cloud-Nutzung	Welche Sicherheitsaufgaben erfüllen Anbieter und eigener Betrieb jeweils?	Verantwortungsmatrix, eigene Konfigurationsprüfung, Freigabe und praktisch überprüfte Exit-Voraussetzungen.

Diese Matrix ist eine eigene Auditvorbereitung. Passen Sie die möglichen Nachweise an Ihren Geltungsbereich und das Risiko an. Ein Auditor kann andere oder zusätzliche Stichproben wählen. Erklären Sie für jedes Dokument, welche konkrete Aussage es belegt und in welchem Zeitraum es galt.

Vom Vertrag zur tatsächlichen Ausführung gehen

Nehmen Sie eine vertraglich vereinbarte Vorfallmeldung. Für die Auditvorbereitung sollten Sie den externen Kontakt, den internen Empfänger und die anschließende Bewertung zeigen können. Prüfen Sie anhand einer Übung oder eines geeigneten Vorgangs, ob diese Übergabe funktioniert. Klären Sie konkret, wer am Freitagabend handlungsfähig ist.

Dasselbe gilt für Updates und Wiederherstellung. Ein vereinbartes Ziel wird erst durch geeignete Betriebsdaten und Prüfungen nachvollziehbar. Nutzen Sie die Wissensseite zu Sicherheitsanforderungen im Lieferantenvertrag, um unklare Formulierungen vor der nächsten Verlängerung zu identifizieren.

Cloud-Verantwortung ausdrücklich aufteilen

Erstellen Sie für jeden wesentlichen Cloud-Dienst eine kurze Aufgabenliste: Identitäten, Berechtigungen, sichere Einstellungen, Protokollierung, Datensicherung, Wiederherstellung, Vorfälle und Export. Markieren Sie je Aufgabe die ausführende und die intern prüfende Rolle. Lassen Sie offene Felder sichtbar, bis die tatsächliche Leistungsbeschreibung geklärt ist.

Unterstellen Sie keine Aufgabe allein aufgrund des Wortes „Cloud“ als erledigt. Je Leistungsmodell können Zuständigkeiten unterschiedlich verteilt sein. Prüfen Sie besonders, welche Einstellungen der eigene Betrieb selbst setzen muss und welche Nachweise der Anbieter für seine Leistungen bereitstellt.

Für einen Vergleich mit KaitoSec für den Mittelstand halten Sie fest, welche Anforderungen, Zuständigkeiten und Betriebsnachweise zusammengehören. Berücksichtigen Sie die Angaben in Verträgen, IT-Listen und einzelnen Postfächern.

Fiktives Beispiel: ein Zertifikat deckt die eigene Konfiguration nicht ab

Ein Betrieb mit 190 Beschäftigten nutzt einen externen Cloud-Dienst für Projektunterlagen. Ein vorgelegtes Zertifikat passt zum Dienst und ist aktuell. Bei der internen Stichprobe zeigt sich dennoch, dass zwei nicht mehr benötigte Gastzugänge aktiv sind. Der Betrieb korrigiert die Rechte und prüft seinen eigenen Ablauf.

Die Feststellung betrifft die interne Konfiguration und Kontrolle; sie erlaubt keine Aussage über das gesamte Sicherheitsniveau des Anbieters. Der Betrieb präzisiert die Verantwortungsmatrix, benennt einen Owner für den nächsten Rechtecheck und bestätigt die Korrektur anhand der tatsächlichen Zugänge.

In 45 Minuten eine sinnvolle Stichprobe vorbereiten

Wählen Sie eine kritische Leistung und legen Sie Inventareintrag, Bewertung, Vertrag und letzten Review nebeneinander. Prüfen Sie eine offene Maßnahme bis zu ihrer Entscheidung oder Abnahme. Lassen Sie eine zweite Person anschließend den Verlauf ohne zusätzliche Erklärung nachzeichnen. Erfassen Sie unklare Übergänge als Verbesserungsaufgaben.

Zur laufenden Prüfung lesen Sie den Artikel zum Monitoring von Lieferanten. Wiederholen Sie die Stichprobe bei wesentlichen Veränderungen.

Häufige Fragen

Müssen alle fünf Controls immer angewendet werden?

Ihre Anwendbarkeit und die erforderliche Umsetzung werden im Kontext des ISMS begründet. Tatsächlich vorhandene Lieferanten- und Cloud-Abhängigkeiten dürfen dabei nicht durch einen pauschalen Ausschluss unsichtbar werden.

Braucht jedes Control eine eigene Richtlinie?

Nein. Eine verständliche gemeinsame Regelung kann mehrere Themen abdecken. Wichtig sind eindeutige Zuständigkeiten, passende betriebliche Abläufe und geeignete Nachweise.

Garantiert die Matrix ein bestandenes Audit?

Nein. Sie ist eine Arbeitshilfe. Das Ergebnis hängt von den anwendbaren Anforderungen, der Umsetzung im Prüfungsumfang und den Feststellungen der tatsächlichen Prüfung ab.

Quellen und Einordnung

Stand: 5. September 2026; Bezug auf ISO/IEC 27001:2022 und ISO/IEC 27002:2022. Die vollständigen Normanforderungen sind in der jeweils maßgeblichen Normausgabe zu prüfen.

• ISO/IEC 27002:2022
• ISO/IEC JTC 1/SC 27: Journal 2025 zu Lieferkettenrisiken
• ISO/IEC JTC 1/SC 27: Journal 2022 zu den Controls der Neuausgabe