Prüfprogramm Dienstleistersteuerung.
Wie Sie prüfen, ob Dienstleister und Lieferanten nach Risiko ausgewählt, vertraglich verpflichtet, laufend überwacht und beim Ende der Beziehung sauber abgelöst werden.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation die Informationssicherheit in Beziehungen zu Dienstleistern und Lieferanten steuert: von der Erfassung und Einstufung über die Auswahl und die vertragliche Absicherung bis zur Überwachung der Leistung, zum Umgang mit Änderungen und zur Beendigung. Sie beurteilt außerdem, ob Lieferketten und Unterauftragnehmer berücksichtigt sind.
Geltungsbereich
- Dienstleister und Lieferanten mit Zugriff auf Informationen, Systeme oder Räume der Organisation sowie IT-Lieferanten für wesentliche Dienste
- Prozesse für Auswahl, Beauftragung, Überwachung, Änderung und Beendigung
- Verantwortliche Stellen in Einkauf, Fachbereichen, Informationssicherheit und Recht
- Nicht Gegenstand: Regelungen speziell für Finanzunternehmen nach DORA und die Cloud-Nutzung, die in eigenen Mustern behandelt werden
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Richtlinie zur Informationssicherheit in Lieferantenbeziehungen besteht, ist freigegeben und legt Anforderungen nach Einstufung des Dienstleisters fest. | ISO/IEC 27001:2022 Anhang A 5.19; NIS2-Richtlinie Art. 21 Abs. 2 lit. d | Richtlinie lesen und prüfen, ob Einstufung, Rollen und Mindestanforderungen festgelegt sind. | Richtlinie mit Freigabevermerk, Einstufungsschema |
| 2 | Ein vollständiges Verzeichnis der Dienstleister und Lieferanten mit Einstufung, Ansprechperson und Vertragsdaten wird gepflegt. | ISO/IEC 27001:2022 Anhang A 5.19; § 30 Abs. 2 Nr. 4 BSIG | Verzeichnis mit Kreditorenliste und Zugriffsberechtigungen von Externen abgleichen, um nicht erfasste Dienstleister zu finden. | Dienstleisterverzeichnis, Kreditorenauszug, Liste externer Benutzer |
| 3 | Vor der Beauftragung werden Risiken bewertet und Dienstleister auf ihre Eignung geprüft, auch hinsichtlich der Informationssicherheit. | ISO/IEC 27001:2022 Anhang A 5.19; NIS2-Richtlinie Art. 21 Abs. 3 | Für fünf neue Dienstleister der letzten zwölf Monate die Bewertung vor Vertragsschluss ansehen. | Risikobewertungen, Fragebögen, Zertifikate, Entscheidungsvermerke |
| 4 | Verträge enthalten Sicherheitsanforderungen, Regelungen zum Umgang mit Informationen, Meldepflichten bei Vorfällen, Prüfrechte und Folgen bei Verstößen. | ISO/IEC 27001:2022 Anhang A 5.20 | Verträge der Stichprobe anhand einer Checkliste durchsehen und fehlende Regelungen festhalten. | Verträge und Anlagen, ausgefüllte Checkliste |
| 5 | Die Lieferkette ist betrachtet: Unterauftragnehmer sind bekannt, werden genehmigt und unterliegen gleichwertigen Anforderungen. | ISO/IEC 27001:2022 Anhang A 5.21; NIS2-Richtlinie Art. 21 Abs. 2 lit. d | Für drei wesentliche Dienstleister die Unterauftragnehmer erfragen und Genehmigung sowie Weitergabe der Anforderungen prüfen. | Listen der Unterauftragnehmer, Genehmigungen, Vertragsklauseln |
| 6 | Zugriffe von Dienstleistern sind auf das Nötige beschränkt, einzeln freigegeben, befristet und werden protokolliert. | ISO/IEC 27001:2022 Anhang A 5.19 und 5.15 | Externe Konten auslesen und für eine Stichprobe Freigabe, Befristung und Nutzung der letzten Monate prüfen. | Auszug externer Konten, Freigaben, Protokolle |
| 7 | Leistung und Sicherheit der Dienstleister werden regelmäßig überwacht, etwa über Berichte, Zertifikate und Prüfungen vor Ort oder aus der Ferne. | ISO/IEC 27001:2022 Anhang A 5.22 | Überwachungsplan und Berichte der letzten zwölf Monate für wesentliche Dienstleister ansehen. | Überwachungsplan, Leistungsberichte, Prüfberichte, Zertifikate |
| 8 | Feststellungen aus der Überwachung werden verfolgt und mit dem Dienstleister bis zur Erledigung geklärt. | ISO/IEC 27001:2022 Anhang A 5.22 | Offene und abgeschlossene Feststellungen der letzten zwölf Monate ansehen und Fristen sowie Erledigung prüfen. | Maßnahmenliste, Schriftverkehr, Besprechungsprotokolle |
| 9 | Änderungen an den Leistungen und Verträgen werden bewertet, bevor sie wirksam werden, auch hinsichtlich der Informationssicherheit. | ISO/IEC 27001:2022 Anhang A 5.22 | Vertragsänderungen und angekündigte Änderungen der Dienstleister der Stichprobe auf eine Bewertung durchsehen. | Änderungsmitteilungen, Bewertungsvermerke |
| 10 | Sicherheitsvorfälle bei Dienstleistern werden gemeldet, erfasst und in das eigene Vorfallsmanagement übernommen. | ISO/IEC 27001:2022 Anhang A 5.20; BSI DER.2.1 | Prüfen, ob Vorfälle von Dienstleistern im Vorfallsregister vorkommen und die Meldewege vereinbart sind. | Vorfallsregister, Kontaktliste, Meldewege im Vertrag |
| 11 | Bei Beendigung einer Beziehung werden Zugänge entzogen, Informationen zurückgegeben oder gelöscht und die Löschung bestätigt. | ISO/IEC 27001:2022 Anhang A 5.19 und 5.18 | Zwei beendete Dienstleisterbeziehungen auswählen und Entzug der Zugänge sowie Rückgabe oder Löschung der Daten prüfen. | Beendigungsprotokoll, Löschbestätigung, Auszug der Zugänge |
| 12 | Die Leitung wird über die Risiken aus der Lieferkette und über wesentliche Feststellungen informiert. | NIS2-Richtlinie Art. 20 | Berichte und Protokolle der letzten zwölf Monate auf Themen zur Dienstleistersteuerung durchsehen. | Berichte an die Geschäftsleitung, Sitzungsprotokolle |
Unterlagen zur Anforderung
- Richtlinie zur Informationssicherheit in Lieferantenbeziehungen
- Dienstleisterverzeichnis mit Einstufung
- Risikobewertungen und Auswahlunterlagen der Stichprobe
- Verträge mit Anlagen zu Sicherheit und Datenverarbeitung
- Listen der Unterauftragnehmer
- Überwachungsplan, Leistungsberichte und Prüfberichte
- Auszug externer Konten und Zugriffe von Dienstleistern
- Beendigungsprotokolle und Löschbestätigungen
Typische Feststellungen
- Das Dienstleisterverzeichnis ist unvollständig, einzelne Dienstleister mit Systemzugriff fehlen.
- Die Auswahl erfolgt nach Preis und Fachlichkeit, eine Bewertung der Informationssicherheit findet nicht statt.
- Verträge enthalten keine Meldepflicht bei Sicherheitsvorfällen und keine Prüfrechte.
- Unterauftragnehmer sind nicht bekannt oder nicht genehmigt.
- Die Überwachung beschränkt sich auf die Entgegennahme von Berichten, Feststellungen werden nicht verfolgt.
- Zugänge von Dienstleistern bleiben nach Vertragsende bestehen.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen