TPRM · Vorfälle
Lieferantenvorfälle: Meldewege und Entscheidungen vor dem Incident klären
Wenn ein Anbieter erst nach Stunden den richtigen Kontakt sucht, ist die vertragliche Meldepflicht operativ wertlos.
8 Minuten Lesezeit · Fachlicher Stand 21.07.2026
Ein gemeinsames Lagebild braucht feste Mindestinformationen
Betroffener Service, Beginn, Auswirkung, Datenbezug, Eindämmung, nächste Schritte und erwartete Updates sollten strukturiert übermittelt werden. Kontakte und Ausweichkanäle müssen regelmäßig getestet sein.
Interne Pflichten laufen parallel
Die Organisation bewertet eigene Melde-, Informations- und Kontinuitätspflichten unabhängig davon, ob der Anbieter seine Untersuchung abgeschlossen hat. Verträge sollten Zwischenmeldungen und fortlaufende Updates ermöglichen.
- 24/7-Kontakte und Authentisierung
- Erstmeldefrist und Updatefrequenz
- Beweissicherung und Zusammenarbeit
- Post-Incident-Bericht und Korrekturmaßnahmen
Verwendete Quellen
- Richtlinie (EU) 2022/2555 – NIS2 · EU · 2022
- Best-Practice-Empfehlungen für Anforderungen an Lieferanten · UP KRITIS / BSI · Version 4.0, 2023
- Lieferanten-, Due-Diligence- und Exitmuster · KaitoSec
