Ihre Dienstleister haben mehr Zugriff als Ihre eigenen Admins.
Externe betreiben Firewall, ERP und Backup – mit Fernzugriffen, die selten jemand prüft, und Verträgen, die verstreut in Postfächern liegen. Kommt die Auditfrage nach der Lieferkette oder kündigt ein wichtiger Anbieter, beginnt jedes Mal dieselbe Sammelaktion, und Bewertungen von vor drei Jahren gelten als aktuell. Wir geben Ihnen einen Prozess für Ihre IT-Dienstleister: ein Register mit Kritikalität, abgestufte Prüfungen und für jeden Anbieter einen vorbereiteten Ausstieg – dokumentiert, mit automatischen Wiedervorlagen und Kontrollen, die einem Audit standhalten.
Die Lieferkette im Blick, den Ausstieg vorbereitet: Externe Treiber.
„Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ – § 30 Abs. 2 Nr. 4 BSIG (EU: Art. 21 Abs. 2 lit. d). Dienstleister-Register, Kritikalität und abgestufte Prüfungen zahlen auf diese Anforderung ein.
Ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, Risikobewertung vor Vertragsschluss und Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen (Art. 28 Abs. 3, 4 und 8) – Register, Prüfprozess und Exit-Plan zahlen genau auf diese Bausteine ein.
Auftragsverarbeitung nur mit Dienstleistern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28): Das Register hält Verträge und Nachweise je Anbieter zusammen und macht Auswahl und Kontrolle prüfbar.
VDA ISA 6 verlangt Sicherheit in den Lieferantenbeziehungen: Anforderungen an Dienstleister vereinbaren und ihre Einhaltung regelmäßig überprüfen – ein geführtes Register mit Bewertungszyklen zahlt darauf ein.
Risikofragebögen fragen nach ausgelagerten IT-Leistungen, Fernzugriffen von Dienstleistern und deren Absicherung – die Antworten beeinflussen Prämie, Selbstbehalt und Deckung. Ein aktuelles Register mit Zugängen und Nachweisen je Anbieter liefert sie.
Unsere technische Basis.
Angepasst an Ihre Umgebung und Lizenzen.
01 · Zielsysteme
Das Dienstleister-Register in Jira Service Management Assets: Anbieter, Leistungen, Verträge, Zugänge und betroffene Systeme als verbundenes Modell – dort gilt die Bewertung, auf die sich Einkauf, IT und Prüfer beziehen.
02 · Durchführung & Self-Service
Neue Dienstleister kommen über Anträge ins Register; Prüfungen und Wiedervorlagen laufen automatisiert, Vertragsfristen stehen mit Vorlauf im Fristenkalender. LocateRisk liefert die technische Außensicht auf kritische Anbieter – fortlaufend und ohne deren Mitwirkung.
03 · Prozess-Dokumentation & Ablauf
Aufnahme, Neubewertung und Ausstieg sind beschriebene Abläufe: Jeder Prüfschritt wird ein Vorgang, jede Entscheidung dokumentiert mit Spur – festgehalten in Jira Service Management.
Jeder Dienstleister bekommt eine Stufe, einen Verantwortlichen und einen vorbereiteten Ausstieg.
Der Zuschnitt folgt Ihrer Ausgangslage und Lizenzsituation – der Kern ist in jedem Projekt derselbe. Sie nutzen andere Tools? Wir prüfen, wie sich unser Konzept am besten bei Ihnen abbilden lässt.
Dienstleister-Landkarte
Wer liefert was: Anbieter, Leistungen, Verträge, Zugänge und Abhängigkeiten zusammengeführt – priorisiert nach Datenzugriff und danach, wie schwer ein Anbieter zu ersetzen wäre.
Kritikalität & Anforderungen
Ein Stufenmodell legt fest, wie tief ein Anbieter geprüft wird und wie weit sein Ausstieg vorbereitet ist – nach Geschäftsauswirkung, Datenzugriff und Ersetzbarkeit. Je Stufe definierte Mindestanforderungen und Nachweise; der Ausstieg reicht vom hinterlegten Kündigungsweg mit Datenexport bis zum Exit-Plan, der Datenrückgabe, Rechteentzug und Übergangsbetrieb regelt, bevor es ernst wird.
Prüf- und Review-Prozess
Aufnahme neuer Anbieter mit Freigabe; Neubewertung im festen Zyklus, die auch den vorbereiteten Ausstieg aktuell hält; Befunde mit Verantwortlichen und Fristen – als Abläufe in Jira Service Management, kritische Anbieter zusätzlich mit laufender Außenbeobachtung.
Pilot & Umsetzung
Ein kritischer Anbieter durchläuft den neuen Prozess von der Bewertung bis zum fertigen Exit-Plan: Datenrückgabe, Rechteentzug und Übergabe stehen fest, bevor sie gebraucht werden; das Register geht produktiv und wächst Anbieter für Anbieter.
Fragen vor dem Start.
Ersetzt ein Sicherheits-Rating die Prüfung eines Dienstleisters?
Nein. Ratings wie die von LocateRisk zeigen die von außen sichtbare Sicherheitslage und deren Veränderung über die Zeit. Verträge, Nachweise, Datenschutz und Leistungsqualität kommen aus dem Prüfprozess – erst zusammen ergibt beides die Bewertung im Register.
Müssen alle Dienstleister gleich intensiv geprüft werden?
Nein. Das Stufenmodell konzentriert den Aufwand auf Anbieter mit Datenzugriff, weitreichenden Berechtigungen oder schwerer Ersetzbarkeit. Das kleine Tool ohne Datenzugriff bekommt den kurzen Weg – so bleibt der Prozess im Alltag tragbar.
Prüft Loptr auch die Verträge?
Wir gestalten die technischen und organisatorischen Anforderungen, Nachweise und Abläufe. Die rechtliche Prüfung von Klauseln und Auftragsverarbeitungsverträgen liegt bei Ihren Juristen und Ihrem Datenschutzbeauftragten – das Register gibt ihnen dafür alle Unterlagen an einem Ort.
Welche drei Dienstleister könnten Ihren Betrieb zum Stillstand bringen – und wie schnell kämen Sie von ihnen los?
30 Minuten Ausgangslage besprechen: Sie schildern Stand und Schmerzpunkte – etwa Anbieter mit Fernzugriff und wie aktuell die Nachweise sind –, Loptr ordnet ein.
Der passende Einstieg ist manchmal ein anderer.
Manche Dienstleisterfrage ist im Kern eine andere – vier typische Ausgangslagen:
Oder der Überblick: alle Lösungen im Bereich IT Governance & Cloud Operations →