TPRM · Anforderungen
Sicherheitsanforderungen an Lieferanten konkret vereinbaren
Kontrollziele werden erst steuerbar, wenn Umfang, Frist, Evidenz, Meldeweg und Folgen einer Abweichung zum konkreten Service passen.
9 Minuten Lesezeit · Fachlicher Stand 21.07.2026
Anforderungen müssen prüfbar formuliert sein
Aussagen wie „angemessene Sicherheit“ brauchen eine operative Konkretisierung. Definieren Sie etwa Fristen für kritische Schwachstellen, Meldewege für Vorfälle, erforderliche Wiederanlaufziele und vorzulegende Nachweise.
Technik und Governance gehören zusammen
UP KRITIS strukturiert mögliche Anforderungen unter anderem über Schwachstellen- und Patchmanagement, Systemhärtung, Fernzugriff, sichere Entwicklung, Betrieb, Vorfallmeldung, Audits und nichttechnische Sicherheit.
- Rollen, Ansprechpartner und Eskalation
- Schwachstellen-, Patch- und Incident-Fristen
- Unterauftragnehmer und Änderungsanzeige
- Audit, Datenrückgabe, Löschung und Exit
Verwendete Quellen
- Best-Practice-Empfehlungen für Anforderungen an Lieferanten · UP KRITIS / BSI · Version 4.0, 2023
- ISO/IEC 27036-2:2022 – Requirements · ISO · 2022
- Lieferanten-, Due-Diligence- und Exitmuster · KaitoSec
