{"id":99027,"date":"2026-10-08T09:00:00","date_gmt":"2026-10-08T07:00:00","guid":{"rendered":"http:\/\/locaterisk.com\/de\/?post_type=wissen&#038;p=99027"},"modified":"2026-08-06T16:22:12","modified_gmt":"2026-08-06T14:22:12","slug":"iso-27001-lieferantenbeziehungen","status":"publish","type":"wissen","link":"https:\/\/locaterisk.com\/de\/wissen\/iso-27001-lieferantenbeziehungen\/","title":{"rendered":"ISO 27001 und Lieferantenbeziehungen: Anforderungen, Nachweise und Monitoring"},"content":{"rendered":"<h1 class=\"wp-block-heading\">ISO 27001 und Lieferantenbeziehungen: Anforderungen, Nachweise und Monitoring<\/h1>\n\n<span class=\"lr-ai-disclosure\" style=\"display:block;max-width:843px;margin:8px auto 28px;font-size:14px;line-height:1.4;color:#8b93a7;font-family:inherit;font-style:italic;\">Dieser Text wurde mit k\u00fcnstlicher Intelligenz (KI) erstellt.<\/span>\n\n<p class=\"wp-block-paragraph\">Lieferanten verarbeiten Informationen, betreiben Plattformen, entwickeln Software und erhalten Zug\u00e4nge zu Systemen. Ein Informationssicherheits-Managementsystem muss die daraus entstehenden Risiken in seinen Geltungsbereich und seine Risikobehandlung einordnen. ISO\/IEC 27001:2022 definiert Anforderungen an ein ISMS. ISO\/IEC 27002:2022 bietet dazu Umsetzungshinweise f\u00fcr Informationssicherheitskontrollen.<\/p>\n<p class=\"wp-block-paragraph\">Die Normen schreiben nicht f\u00fcr jede Organisation denselben Lieferantenprozess vor. Auswahl und Ausgestaltung der Kontrollen folgen dem eigenen Kontext und den bewerteten Risiken. Dieser Beitrag paraphrasiert \u00f6ffentlich belegbare Kontrollthemen. Er gibt weder Normtext wieder noch ersetzt er eine lizenzierte Normausgabe, Zertifizierungsberatung oder Rechtsberatung.<\/p>\n<h2 class=\"wp-block-heading\">Das Wichtigste in K\u00fcrze<\/h2>\n<ul class=\"wp-block-list\"><li>ISO\/IEC 27001 behandelt Lieferantenrisiken im Rahmen des risikobasierten ISMS; ISO\/IEC 27002 gibt praktische Orientierung zu den zugeh\u00f6rigen Kontrollen.<\/li><li>Die Controls 5.19 bis 5.23 betreffen Lieferantenbeziehungen, Vereinbarungen, ICT-Lieferketten, \u00dcberwachung und \u00c4nderungen sowie Cloud-Nutzung.<\/li><li>Ein belastbarer Prozess begleitet Auswahl, Vertrag, Betrieb, wesentliche \u00c4nderungen und Beendigung der Beziehung.<\/li><li>Zertifikate und Frageb\u00f6gen sind m\u00f6gliche Nachweise, aber kein automatischer Beleg f\u00fcr jede ben\u00f6tigte Kontrolle im konkreten Scope.<\/li><li>Technisches Monitoring erg\u00e4nzt organisatorische Evidenz. Eine externe Bewertung kann interne Prozesse und vertragliche Pflichten nicht abschlie\u00dfend beurteilen.<\/li><\/ul>\n<h2 class=\"wp-block-heading\">ISO\/IEC 27001, 27002 und 27036 richtig einordnen<\/h2>\n<p class=\"wp-block-paragraph\">ISO\/IEC 27001 ist der zertifizierbare Anforderungsstandard f\u00fcr Informationssicherheits-Managementsysteme. Nach Angaben der ISO soll ein konformes ISMS Risiken f\u00fcr Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit mit einem an Gr\u00f6\u00dfe und Bedarf angepassten Risikomanagementprozess behandeln. Die Zertifizierung bezieht sich auf den festgelegten ISMS-Scope einer Organisation, nicht automatisch auf jedes Produkt, jeden Standort oder jeden Lieferanten.<\/p>\n<p class=\"wp-block-paragraph\">ISO\/IEC 27002 ist kein eigenst\u00e4ndig zertifizierbarer Standard. ISO beschreibt ihn als Leitfaden mit bew\u00e4hrten Vorgehensweisen und Kontrollzielen f\u00fcr Informationssicherheit. Die Controls 5.19 bis 5.23 bilden in der Ausgabe 2022 einen zusammenh\u00e4ngenden Bereich f\u00fcr Lieferanten und Cloud-Nutzung. Ein Unternehmen muss ihre Relevanz im eigenen Risikokontext bewerten und die gew\u00e4hlte Behandlung nachvollziehbar dokumentieren.<\/p>\n<p class=\"wp-block-paragraph\">Die Reihe ISO\/IEC 27036 vertieft Lieferantenbeziehungen. Teil 1 erl\u00e4utert \u00dcberblick und Konzepte aus Sicht von Beschaffer und Lieferant. Teil 2 enth\u00e4lt grundlegende Anforderungen f\u00fcr Definition, Betrieb, \u00dcberwachung, \u00dcberpr\u00fcfung, Pflege und Verbesserung solcher Beziehungen. Teil 3 gibt Leitlinien f\u00fcr mehrstufige Lieferketten von Hardware, Software und Services. Teil 4 behandelt Risiken bei Beschaffung und Bereitstellung von Cloud-Diensten.<\/p>\n<p class=\"wp-block-paragraph\">ISO\/IEC 27036 ersetzt ISO\/IEC 27001 nicht. Die Reihe kann Verantwortlichen helfen, Lieferantenprozesse und ICT-Lieferketten detaillierter zu gestalten. Welche Teile angewendet werden, h\u00e4ngt von Produkten, Diensten, Vertragsrollen und Risiken ab.<\/p>\n<h2 class=\"wp-block-heading\">Die Controls 5.19 bis 5.23 als Prozesskette<\/h2>\n<p class=\"wp-block-paragraph\">Die Kontrollnummern allein sind keine Checkliste f\u00fcr pauschale Konformit\u00e4t. Sie markieren Themen, die in der Risikobehandlung miteinander verbunden werden sollten. Die folgende Tabelle verwendet sinngem\u00e4\u00dfe Kurzbeschreibungen und enth\u00e4lt keinen Normtext.<\/p>\n<figure class=\"wp-block-table\"><table><thead><tr><th>Control<\/th><th>Thema in sinngem\u00e4\u00dfer Kurzform<\/th><th>Praktische Leitfrage<\/th><th>M\u00f6gliche Evidenz<\/th><\/tr><\/thead><tbody><tr><td>5.19<\/td><td>Sicherheitsrahmen f\u00fcr die Zusammenarbeit mit Lieferanten<\/td><td>Wie werden Risiken, Rollen und Regeln f\u00fcr unterschiedliche Lieferantentypen festgelegt?<\/td><td>Richtlinie, Inventar, Kritikalit\u00e4t und Risikobewertung<\/td><\/tr><tr><td>5.20<\/td><td>Verbindliche Sicherheitsregeln f\u00fcr den Leistungsbezug<\/td><td>Welche Anforderungen und Verantwortungen sind verbindlich vereinbart?<\/td><td>Vertrag, Sicherheitsanlage, Leistungs- und Meldepflichten<\/td><\/tr><tr><td>5.21<\/td><td>Risikosteuerung \u00fcber mehrere ICT-Lieferstufen<\/td><td>Wie werden Risiken aus Komponenten, Unterauftragnehmern und mehreren Lieferstufen behandelt?<\/td><td>Lieferkettenangaben, Entwicklungs- und \u00c4nderungsnachweise<\/td><\/tr><tr><td>5.22<\/td><td>Laufende Kontrolle und Umgang mit Leistungs\u00e4nderungen<\/td><td>Wie werden Leistung, Sicherheit, Abweichungen und wesentliche \u00c4nderungen verfolgt?<\/td><td>Reviews, Kennzahlen, Vorf\u00e4lle, Ma\u00dfnahmen und \u00c4nderungsfreigaben<\/td><\/tr><tr><td>5.23<\/td><td>Sichere Auswahl und Nutzung von Cloud-Diensten<\/td><td>Wie werden Auswahl, Nutzung, Betrieb und Beendigung eines Cloud-Dienstes sicher gesteuert?<\/td><td>Cloud-Risikobewertung, Rollenmodell, Konfiguration und Exit-Plan<\/td><\/tr><\/tbody><\/table><\/figure>\n<p class=\"wp-block-paragraph\">Control 5.19 schafft den organisatorischen Rahmen. Daraus folgen risikogerechte Anforderungen f\u00fcr 5.20. Bei ICT-Produkten und -Diensten erweitert 5.21 den Blick \u00fcber den direkten Vertragspartner hinaus. 5.22 h\u00e4lt die Bewertung w\u00e4hrend des Betriebs aktuell. 5.23 erg\u00e4nzt cloud-spezifische Fragen, etwa geteilte Verantwortungen, Administration, Datenorte, \u00c4nderungen und Beendigung.<\/p>\n<p class=\"wp-block-paragraph\">Die Evidenzspalte zeigt m\u00f6gliche Nachweise, keine verbindliche Mindestliste. Auditoren beurteilen, ob die gew\u00e4hlten Kontrollen zum Risiko passen, umgesetzt sind und im festgelegten Scope wirken. Ein vorhandener Vertrag ohne gelebte \u00dcberwachung reicht daf\u00fcr ebenso wenig wie ein technischer Messwert ohne verantwortlichen Prozess.<\/p>\n<h2 class=\"wp-block-heading\">Vom Lieferanteninventar zu Anforderungen und Vertrag<\/h2>\n<p class=\"wp-block-paragraph\">Der Lebenszyklus beginnt mit einem gepflegten Inventar. Es ordnet Vertragspartner, bezogene Leistung, internen Eigent\u00fcmer, Laufzeit, Datenarten, Systemzugriffe, Unterauftragnehmer und unterst\u00fctzte Gesch\u00e4ftsprozesse zu. Die Kritikalit\u00e4t entscheidet \u00fcber Pr\u00fcftiefe und Freigabe. Kriterien k\u00f6nnen Auswirkung eines Ausfalls, Zugriff auf sensible Informationen, Austauschbarkeit, Konzentration und technische Abh\u00e4ngigkeit sein.<\/p>\n<p class=\"wp-block-paragraph\">Vor Vertragsabschluss pr\u00fcft das Unternehmen, ob ein Anbieter die risikobezogenen Anforderungen erf\u00fcllen kann. Selbstausk\u00fcnfte, Zertifikate, Auditberichte, technische Informationen, Referenzen und Gespr\u00e4che liefern unterschiedliche Evidenz. Ein ISO\/IEC-27001-Zertifikat ist nur im dokumentierten Geltungsbereich und Zeitraum aussagekr\u00e4ftig. Pr\u00fcfen Sie deshalb zertifizierte Organisation, Scope, Standorte, Ausschl\u00fcsse und G\u00fcltigkeit.<\/p>\n<p class=\"wp-block-paragraph\">Die Vereinbarung \u00fcbersetzt relevante Anforderungen in Verantwortungen und nachpr\u00fcfbare Regeln. Typische Themen sind zul\u00e4ssige Nutzung und Schutz von Informationen, Zugriffskontrolle, Sicherheitsvorf\u00e4lle, Schwachstellen, Unterauftragnehmer, Pr\u00fcf- und Informationsrechte, R\u00fcckgabe oder L\u00f6schung von Daten sowie Unterst\u00fctzung beim Exit. Die konkrete Vertragsgestaltung geh\u00f6rt in die H\u00e4nde der zust\u00e4ndigen Rechts- und Fachfunktionen.<\/p>\n<p class=\"wp-block-paragraph\">Ein Standardkatalog erleichtert die Beschaffung, darf aber Kritikalit\u00e4t und Leistungsart nicht verdecken. F\u00fcr einen Cloud-Betreiber mit administrativem Zugriff sind andere Evidenzen und Eskalationen angemessen als f\u00fcr einen Lieferanten ohne System- oder Datenzugriff. Abweichungen vom Standard ben\u00f6tigen eine dokumentierte Risikobewertung, Entscheidung und gegebenenfalls kompensierende Ma\u00dfnahmen.<\/p>\n<p class=\"wp-block-paragraph\">Ein strukturierter <a href=\"https:\/\/locaterisk.com\/de\/landing\/third-party-risk-management\/\">Third-Party-Risk-Management-Prozess<\/a> kann Inventar, Kritikalit\u00e4t, Due Diligence, Ma\u00dfnahmen und Freigaben verbinden. Er muss mit dem ISMS-Risikoprozess abgestimmt sein, damit Lieferantenrisiken nicht in einer getrennten Datenbank ohne Risikoeigent\u00fcmer verbleiben.<\/p>\n<h2 class=\"wp-block-heading\">ICT-Lieferkette und Cloud-Dienste vertiefen<\/h2>\n<p class=\"wp-block-paragraph\">ICT-Lieferketten sind mehrstufig. Der direkte Anbieter kann Softwarekomponenten, Plattformdienste, Rechenzentren oder Supportleistungen weiterer Parteien nutzen. ISO\/IEC 27036-3:2023 adressiert ausdr\u00fccklich Risiken aus r\u00e4umlich verteilten und mehrstufigen Lieferketten f\u00fcr Hardware, Software und Services. Ziel ist bessere Sicht auf Abh\u00e4ngigkeiten und ein angemessener Umgang mit Risiken, nicht die Behauptung einer jederzeit bekannten Lieferkette.<\/p>\n<p class=\"wp-block-paragraph\">Praktisch sollte der Beschaffer kl\u00e4ren, welche Unterauftragnehmer oder Komponenten f\u00fcr die bezogene Leistung relevant sind, wie \u00c4nderungen mitgeteilt werden und wer Schwachstellen behandelt. Bei Software k\u00f6nnen Entwicklungs- und Updateprozesse, Herkunft von Komponenten, Supportzeitr\u00e4ume und Sicherheitsmeldungen relevant sein. Welche Detailtiefe erreichbar und angemessen ist, h\u00e4ngt von Marktposition, Kritikalit\u00e4t und Vertragsmodell ab.<\/p>\n<p class=\"wp-block-paragraph\">Cloud-Dienste erfordern eine klare Aufteilung der Verantwortungen. Der Provider sichert die von ihm kontrollierten Ebenen; der Kunde bleibt je nach Dienstmodell unter anderem f\u00fcr Identit\u00e4ten, Berechtigungen, Konfigurationen, Daten und eigene Anwendungen verantwortlich. ISO\/IEC 27036-4 gibt Orientierung f\u00fcr Risiken bei Erwerb und Bereitstellung von Cloud-Services. ISO\/IEC 27017 erg\u00e4nzt Kontrollhinweise f\u00fcr Cloud-Kunden und Cloud-Anbieter.<\/p>\n<p class=\"wp-block-paragraph\">F\u00fcr die Auswahl sind Datenverarbeitung, administrative Zug\u00e4nge, Protokollierung, Verschl\u00fcsselung, Backup, Wiederherstellung, Portabilit\u00e4t und Exit zu pr\u00fcfen. Auch schnelle Funktions- und Vertrags\u00e4nderungen brauchen einen Prozess. Eine Freigabe zu Beginn sagt wenig \u00fcber einen sp\u00e4ter wesentlich erweiterten Dienst aus.<\/p>\n<p class=\"wp-block-paragraph\">Eine externe technische Bewertung kann \u00f6ffentlich erreichbare Ressourcen und beobachtbare Sicherheitsmerkmale eines Anbieters erg\u00e4nzen. Ein <a href=\"https:\/\/locaterisk.com\/de\/wissen\/was-ist-ein-security-rating\/\">Security Rating<\/a> macht ausgew\u00e4hlte Signale und Trends vergleichbar. Es erkennt weder jeden Unterauftragnehmer noch zwangsl\u00e4ufig die konkret verwundbare Softwareversion und best\u00e4tigt keine internen Cloud-Kontrollen.<\/p>\n<h2 class=\"wp-block-heading\">Nachweise, Monitoring und \u00c4nderungen im Betrieb<\/h2>\n<p class=\"wp-block-paragraph\">Nach dem Onboarding ver\u00e4ndert sich das Lieferantenrisiko. Leistungen werden erweitert, Unterauftragnehmer wechseln, Zertifikate laufen ab und neue technische Exponierungen entstehen. Monitoring verbindet deshalb organisatorische Ereignisse, Leistungsdaten, Sicherheitsmeldungen und technische Signale. Rhythmus und Tiefe richten sich nach Kritikalit\u00e4t und Ver\u00e4nderungsgeschwindigkeit.<\/p>\n<p class=\"wp-block-paragraph\">Geeignete Nachweise k\u00f6nnen aktuelle Zertifikate, Audit- oder Pr\u00fcfberichte, Service Reviews, Kennzahlen, Vorfallberichte, Ma\u00dfnahmenpl\u00e4ne und technische Bewertungen sein. Jeder Nachweis hat Grenzen. Ein Pr\u00fcfbericht bezieht sich auf einen definierten Zeitraum und Scope. Ein Fragebogen zeigt eine Selbstauskunft. Eine Au\u00dfensicht erfasst \u00f6ffentlich beobachtbare Merkmale. Eine belastbare Bewertung dokumentiert Quelle, Datum, Reichweite und offene Fragen.<\/p>\n<p class=\"wp-block-paragraph\">\u00c4nderungsmanagement ben\u00f6tigt Ausl\u00f6ser. Dazu z\u00e4hlen neue Datenarten, zus\u00e4tzliche Systemzugriffe, Standort- oder Kontrollwechsel, neue Unterauftragnehmer, erhebliche St\u00f6rungen, Sicherheitsvorf\u00e4lle und ge\u00e4nderte Leistungen. Der interne Eigent\u00fcmer bewertet gemeinsam mit Informationssicherheit, Einkauf, Datenschutz und Recht, ob eine neue Risikobewertung, Vertrags\u00e4nderung oder Freigabe erforderlich ist.<\/p>\n<p class=\"wp-block-paragraph\">Technisches Monitoring sollte keinen automatischen Schuldnachweis erzeugen. Ein neuer Befund wird zuerst attribuiert und validiert. Danach folgen R\u00fcckfrage, Ma\u00dfnahme, Frist und Nachpr\u00fcfung. Der Ansatz von <a href=\"https:\/\/locaterisk.com\/de\/landing\/vendor-risk-management-leicht-gemacht\/\">Vendor Risk Management mit LocateRisk<\/a> kann die externe Beobachtung skalieren. Organisatorische Nachweise, Vertragsentscheidungen und interne Freigaben bleiben separate Aufgaben.<\/p>\n<p class=\"wp-block-paragraph\">Steuerungskennzahlen unterscheiden Prozess und Risiko. Prozesskennzahlen zeigen \u00fcberf\u00e4llige Reviews, fehlende Eigent\u00fcmer oder abgelaufene Nachweise. Risikokennzahlen betrachten offene hohe Befunde, wiederkehrende Abweichungen oder Konzentrationen. Ein Durchschnittswert darf kritische Einzelbeziehungen nicht verdecken.<\/p>\n<h2 class=\"wp-block-heading\">Exit sowie Abgrenzung zu NIS2 und DORA<\/h2>\n<p class=\"wp-block-paragraph\">Eine Lieferantenbeziehung endet nicht mit der K\u00fcndigung. Zug\u00e4nge, Schl\u00fcssel, Zertifikate, Schnittstellen, Datenkopien und Weiterleitungen m\u00fcssen kontrolliert behandelt werden. Der Vertrag und der Exit-Plan kl\u00e4ren Datenr\u00fcckgabe, L\u00f6schung, \u00dcbergabe, Restpflichten und Unterst\u00fctzung bei einem Anbieterwechsel. Bei kritischen Diensten sollte die Umsetzbarkeit des Exits vor einer St\u00f6rung gepr\u00fcft werden.<\/p>\n<p class=\"wp-block-paragraph\">ISO\/IEC 27001 ist ein freiwillig nutzbarer Managementsystemstandard und kein Ersatz f\u00fcr anwendbares Recht. Die NIS2-Richtlinie verlangt f\u00fcr betroffene wesentliche und wichtige Einrichtungen unter anderem Sicherheit der Lieferkette einschlie\u00dflich der Beziehungen zu direkten Lieferanten und Dienstleistern. Welche deutschen Pflichten f\u00fcr eine konkrete Organisation gelten, muss anhand des jeweils aktuellen Rechts und der Betroffenheit gepr\u00fcft werden. Der Beitrag zur <a href=\"https:\/\/locaterisk.com\/de\/wissen\/nis2-lieferkettensicherheit\/\">NIS2-Lieferkettensicherheit<\/a> erl\u00e4utert den regulatorischen Kontext.<\/p>\n<p class=\"wp-block-paragraph\">DORA gilt f\u00fcr die in ihrem Artikel 2 erfassten Finanzunternehmen und behandelt das IKT-Drittparteirisiko mit detaillierten Anforderungen an Governance, Vertragslebenszyklus, Register, \u00dcberwachung und Exit. Die Delegierte Verordnung (EU) 2024\/1773 konkretisiert die Policy f\u00fcr IKT-Dienste, die kritische oder wichtige Funktionen unterst\u00fctzen. Ein ISO-basiertes Lieferantenprogramm kann Evidenz und Prozesse beitragen, belegt aber nicht automatisch DORA-Konformit\u00e4t. Weitere Einzelheiten bietet der Artikel zum <a href=\"https:\/\/locaterisk.com\/de\/wissen\/dora-ikt-drittparteirisiko\/\">IKT-Drittparteirisiko unter DORA<\/a>.<\/p>\n<p class=\"wp-block-paragraph\">F\u00fcr die Praxis empfiehlt sich eine gemeinsame Prozessbasis mit regulatorischen Erweiterungen. Inventar, Kritikalit\u00e4t, Risikobewertung, Vertrag, Monitoring und Exit werden zentral gesteuert. Zus\u00e4tzliche Rechts- oder Branchenanforderungen erg\u00e4nzen Felder, Freigaben, Fristen und Nachweise. So bleiben Verantwortungen konsistent, ohne ISO-Zertifizierung und Rechtskonformit\u00e4t gleichzusetzen.<\/p>\n<p class=\"wp-block-paragraph\">Ein wirksamer Lieferantenprozess zeigt im Audit nicht nur Dokumente. Er kann erkl\u00e4ren, warum eine Drittpartei kritisch ist, welche Anforderungen vereinbart wurden, wie Ver\u00e4nderungen erkannt werden und wie offene Risiken behandelt sind. Genau diese Verbindung von Entscheidung, Evidenz und Betrieb macht die Kontrollen belastbar.<\/p>\n\n<div class=\"wp-block-lr-faq-module\"><div class=\"content\"><h3>H\u00e4ufige Fragen<\/h3><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Welche ISO-27001-Controls betreffen Lieferantenbeziehungen?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">In der Ausgabe 2022 behandeln die Controls 5.19 bis 5.23 Lieferantenbeziehungen, Sicherheitsanforderungen in Vereinbarungen, die ICT-Lieferkette, \u00dcberwachung und \u00c4nderungen von Lieferantenleistungen sowie die sichere Nutzung von Cloud-Diensten.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Reicht ein ISO-27001-Zertifikat des Lieferanten als Nachweis?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Nicht allein. Pr\u00fcfen Sie Organisation, Scope, Standorte, G\u00fcltigkeit und Bezug zur bezogenen Leistung. Je nach Risiko sind weitere Evidenzen wie Auditberichte, technische Informationen, Vertr\u00e4ge, Service Reviews oder Ma\u00dfnahmenpl\u00e4ne erforderlich.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Welche Rolle spielt ISO\/IEC 27036?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Die Normenreihe vertieft Informationssicherheit in Lieferantenbeziehungen. Sie behandelt Grundlagen, Anforderungen an Beziehungen zwischen Beschaffer und Lieferant, mehrstufige Lieferketten f\u00fcr Hardware, Software und Services sowie Cloud-Dienste.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Wie oft sollten Lieferanten \u00fcberpr\u00fcft werden?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Die Frequenz sollte sich nach Kritikalit\u00e4t, Risiko und Ver\u00e4nderung richten. Zus\u00e4tzlich zu geplanten Reviews eignen sich Ausl\u00f6ser wie neue Leistungen oder Zugriffe, Sicherheitsvorf\u00e4lle, Unterauftragnehmerwechsel, ablaufende Nachweise und auff\u00e4llige technische Ver\u00e4nderungen.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Belegt eine ISO-27001-Zertifizierung automatisch NIS2- oder DORA-Konformit\u00e4t?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Nein. Ein ISMS kann relevante Prozesse und Evidenzen unterst\u00fctzen. NIS2 und DORA haben jedoch eigene Anwendungsbereiche und rechtliche Anforderungen. Betroffenheit und Umsetzung m\u00fcssen gesondert gepr\u00fcft werden.<\/p><\/div><\/div><\/div><\/div>\n\n<p class=\"wp-block-paragraph\">Sie m\u00f6chten die externe Sicherheitslage Ihrer Lieferanten wiederkehrend beobachten und als Evidenz in Ihr ISMS einbinden? Erfahren Sie mehr \u00fcber <a href=\"https:\/\/locaterisk.com\/de\/landing\/vendor-risk-management-leicht-gemacht\/\">Vendor Risk Management mit LocateRisk<\/a>.<\/p>","protected":false},"excerpt":{"rendered":"<p>Wie ISO 27001 Lieferantenbeziehungen strukturiert: Risikobewertung, Vereinbarungen, ICT-Lieferkette, Cloud, Nachweise, Monitoring und Exit.<\/p>\n","protected":false},"author":6,"featured_media":0,"template":"","wissen_thema":[819],"class_list":["post-99027","wissen","type-wissen","status-publish","hentry","wissen_thema-regulatorik-compliance"],"yoast_head":"<title>ISO 27001 und Lieferantenbeziehungen \u2013 LocateRisk<\/title>\n<meta name=\"description\" content=\"ISO 27001 bei Lieferanten: Controls 5.19 bis 5.23, Vertr\u00e4ge, ICT-Lieferkette, Cloud, Nachweise, Monitoring, \u00c4nderungen und Exit erkl\u00e4rt.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/locaterisk.com\/de\/wissen\/iso-27001-lieferantenbeziehungen\/\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"ISO 27001 und Lieferantenbeziehungen \u2013 LocateRisk\" \/>\n<meta property=\"og:description\" content=\"ISO 27001 bei Lieferanten: Controls 5.19 bis 5.23, Vertr\u00e4ge, ICT-Lieferkette, Cloud, Nachweise, Monitoring, \u00c4nderungen und Exit erkl\u00e4rt.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/locaterisk.com\/de\/wissen\/iso-27001-lieferantenbeziehungen\/\" \/>\n<meta property=\"og:site_name\" content=\"LocateRisk\" \/>\n<meta property=\"og:image\" content=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_Generisch_03-1.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1080\" \/>\n\t<meta property=\"og:image:height\" content=\"1080\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Gesch\u00e4tzte Lesezeit\" \/>\n\t<meta name=\"twitter:data1\" content=\"9\u00a0Minuten\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/iso-27001-lieferantenbeziehungen\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/iso-27001-lieferantenbeziehungen\\\/\",\"name\":\"ISO 27001 und Lieferantenbeziehungen \u2013 LocateRisk\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\"},\"datePublished\":\"2026-10-08T07:00:00+00:00\",\"description\":\"ISO 27001 bei Lieferanten: Controls 5.19 bis 5.23, Vertr\u00e4ge, ICT-Lieferkette, Cloud, Nachweise, Monitoring, \u00c4nderungen und Exit erkl\u00e4rt.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/iso-27001-lieferantenbeziehungen\\\/#breadcrumb\"},\"inLanguage\":\"de\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/iso-27001-lieferantenbeziehungen\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/iso-27001-lieferantenbeziehungen\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/locaterisk.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Wissen\",\"item\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/wissen\\\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"ISO 27001 und Lieferantenbeziehungen: Anforderungen, Nachweise und Monitoring\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"name\":\"LocateRisk\",\"description\":\"IT-Sicherheit messen und vergleichen\",\"publisher\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"de\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\",\"name\":\"LocateRisk\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"contentUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"width\":1920,\"height\":1080,\"caption\":\"LocateRisk\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.linkedin.com\\\/company\\\/locaterisk\\\/\"]}]}<\/script>","yoast_head_json":{"title":"ISO 27001 und Lieferantenbeziehungen \u2013 LocateRisk","description":"ISO 27001 bei Lieferanten: Controls 5.19 bis 5.23, Vertr\u00e4ge, ICT-Lieferkette, Cloud, Nachweise, Monitoring, \u00c4nderungen und Exit erkl\u00e4rt.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/locaterisk.com\/de\/wissen\/iso-27001-lieferantenbeziehungen\/","og_locale":"de_DE","og_type":"article","og_title":"ISO 27001 und Lieferantenbeziehungen \u2013 LocateRisk","og_description":"ISO 27001 bei Lieferanten: Controls 5.19 bis 5.23, Vertr\u00e4ge, ICT-Lieferkette, Cloud, Nachweise, Monitoring, \u00c4nderungen und Exit erkl\u00e4rt.","og_url":"https:\/\/locaterisk.com\/de\/wissen\/iso-27001-lieferantenbeziehungen\/","og_site_name":"LocateRisk","og_image":[{"width":1080,"height":1080,"url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_Generisch_03-1.jpg","type":"image\/jpeg"}],"twitter_card":"summary_large_image","twitter_misc":{"Gesch\u00e4tzte Lesezeit":"9\u00a0Minuten"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/locaterisk.com\/wissen\/iso-27001-lieferantenbeziehungen\/","url":"https:\/\/locaterisk.com\/wissen\/iso-27001-lieferantenbeziehungen\/","name":"ISO 27001 und Lieferantenbeziehungen \u2013 LocateRisk","isPartOf":{"@id":"https:\/\/locaterisk.com\/de\/#website"},"datePublished":"2026-10-08T07:00:00+00:00","description":"ISO 27001 bei Lieferanten: Controls 5.19 bis 5.23, Vertr\u00e4ge, ICT-Lieferkette, Cloud, Nachweise, Monitoring, \u00c4nderungen und Exit erkl\u00e4rt.","breadcrumb":{"@id":"https:\/\/locaterisk.com\/wissen\/iso-27001-lieferantenbeziehungen\/#breadcrumb"},"inLanguage":"de","potentialAction":[{"@type":"ReadAction","target":["https:\/\/locaterisk.com\/wissen\/iso-27001-lieferantenbeziehungen\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/locaterisk.com\/wissen\/iso-27001-lieferantenbeziehungen\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/locaterisk.com\/"},{"@type":"ListItem","position":2,"name":"Wissen","item":"https:\/\/locaterisk.com\/de\/wissen\/"},{"@type":"ListItem","position":3,"name":"ISO 27001 und Lieferantenbeziehungen: Anforderungen, Nachweise und Monitoring"}]},{"@type":"WebSite","@id":"https:\/\/locaterisk.com\/de\/#website","url":"https:\/\/locaterisk.com\/de\/","name":"LocateRisk","description":"IT-Sicherheit messen und vergleichen","publisher":{"@id":"https:\/\/locaterisk.com\/de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/locaterisk.com\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de"},{"@type":"Organization","@id":"https:\/\/locaterisk.com\/de\/#organization","name":"LocateRisk","url":"https:\/\/locaterisk.com\/de\/","logo":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/","url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","contentUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","width":1920,"height":1080,"caption":"LocateRisk"},"image":{"@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.linkedin.com\/company\/locaterisk\/"]}]}},"_links":{"self":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen\/99027","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen"}],"about":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/types\/wissen"}],"author":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/users\/6"}],"version-history":[{"count":1,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen\/99027\/revisions"}],"predecessor-version":[{"id":99035,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen\/99027\/revisions\/99035"}],"wp:attachment":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/media?parent=99027"}],"wp:term":[{"taxonomy":"wissen_thema","embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen_thema?post=99027"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}