Lieferanten-IT-Sicherheitsfragebogen
Bewerten Sie die Informationssicherheit von Lieferanten mit diesem nDSG-konformen Fragebogen. Deckt ISO 27001, SOC 2, Unterauftragsverarbeiter, Sicherheitsvorfälle, Penetrationstests und Zugriffskontrollen ab.
Über diese Vorlage
Der Lieferanten-IT-Sicherheitsfragebogen ermöglicht Schweizer Organisationen, die Informationssicherheitslage von Anbietern und Dienstleistern systematisch zu bewerten. Er deckt die wichtigsten Bereiche nach nDSG Art. 8 (technische und organisatorische Massnahmen), DSGVO Art. 28, ISO/IEC 27001 und SOC 2 Type II ab. Verwenden Sie ihn als Teil Ihres Third-Party-Risk-Management-Programms.
- Informationssicherheitszertifizierungen: ISO 27001, SOC 2, BSI C5
- Datenverarbeitungs- und Speicherorte (Schweiz / EU / Drittländer)
- Liste der Unterauftragsverarbeiter und Meldepflichten
- Geschichte von Sicherheitsvorfällen und Incident Response
- Häufigkeit und Umfang von Penetrationstests
- Zugangskontroll- und Identitätsmanagement-Praktiken
- Verschlüsselungsstandards für Daten im Transit und im Ruhezustand
- Sicherheitskontakt des Lieferanten und Responsible-Disclosure-Richtlinie
Drittanbieter-Risiko nach nDSG Art. 8
Das Schweizer nDSG verpflichtet Verantwortliche, Auftragsbearbeiter zu wählen, die hinreichende Garantien für technische und organisatorische Sicherheitsmassnahmen bieten. Vor der Beauftragung eines Anbieters, der Personendaten verarbeitet, müssen Sie eine Sorgfaltsprüfung durchführen und das Ergebnis dokumentieren.
So verwenden Sie diese Vorlage
Vorlage öffnen
Klicken Sie auf 'Vorlage verwenden', um eine Kopie in Ihrem Dashboard zu erstellen.
Risikoumfang anpassen
Fügen Sie Fragen hinzu oder entfernen Sie sie, um die spezifischen Datenkategorien und Verarbeitungstätigkeiten des jeweiligen Anbieters abzubilden.
An den Anbieter senden
Generieren Sie einen sicheren Link und senden Sie ihn an den Sicherheits- oder Compliance-Kontakt des Anbieters.
Antworten prüfen
Vergleichen Sie die Anbieterantworten mit Ihrer Mindestsicherheitsbasis und markieren Sie Lücken zur Behebung vor Vertragsabschluss.
Mit dem Vertrag archivieren
Speichern Sie den ausgefüllten Fragebogen zusammen mit dem Anbietervertrag und AVV in Ihrem Lieferantenrisikoregister.
Neubewertung einplanen
Planen Sie eine Erinnerung ein, den Fragebogen jährlich oder bei wesentlichen Änderungen der Anbieterleistungen erneut auszugeben.
Lieferantensicherheitsbewertung im Schweizer Regulierungskontext
Da Schweizer Unternehmen zunehmend auf Cloud-Anbieter, SaaS-Plattformen und Managed-Service-Provider setzen, ist das Informationssicherheitsrisiko durch Dritte zu einer der bedeutendsten Compliance-Herausforderungen des Jahrzehnts geworden. Das nDSG, das FINMA-Rundschreiben 2023/1 zu operationellen Risiken und die BACS-Leitlinien verpflichten Organisationen, die Sicherheitslage ihrer Anbieter zu bewerten und zu steuern.
ISO 27001 und SOC 2: Was sagen Zertifizierungen aus?
ISO/IEC 27001 zeigt, dass ein Anbieter ein dokumentiertes Informationssicherheitsmanagementsystem (ISMS) implementiert hat, das unabhängig geprüft wurde. SOC 2 Type II belegt die betriebliche Wirksamkeit von Kontrollen über Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz über einen definierten Prüfzeitraum. Zertifizierungen sind kein Garant: Sie decken nur den bei der Prüfung definierten Umfang ab. Fordern Sie stets das eigentliche Zertifikat und prüfen Sie die Scope-Beschreibung.
Unterauftragsverarbeiter-Ketten und Meldepflichten
Viele SaaS-Anbieter verlassen sich auf Unterauftragsverarbeiter wie AWS, Azure, Google Cloud oder spezialisierte KI-Verarbeitungsplattformen. Nach nDSG Art. 10a und DSGVO Art. 28(2) muss ein Auftragsbearbeiter vor der Einschaltung eines Unterauftragsverarbeiters die vorherige schriftliche Genehmigung des Verantwortlichen einholen und den Verantwortlichen über Änderungen informieren. Ihr Fragebogen sollte eine vollständige Unterauftragsverarbeiterliste und eine Verpflichtung zur vorherigen Benachrichtigung bei Änderungen verlangen.
Datenlokalisierung und grenzüberschreitende Datenübermittlungen
Das nDSG schränkt die grenzüberschreitende Übermittlung von Personendaten in Länder ein, die kein angemessenes Datenschutzniveau gewährleisten (nDSG Art. 16). Anbieter, die Daten ausserhalb der Schweiz oder der EU/EEA verarbeiten, müssen eine adäquate Rechtsgrundlage nachweisen, beispielsweise Schweizer Standardvertragsklauseln (nDSG SCC) oder verbindliche interne Datenschutzvorschriften.
Häufig gestellte Fragen
Wie oft sollte der Sicherheitsfragebogen neu ausgestellt werden?
Best Practice ist eine jährliche Neubewertung für alle Anbieter mit Zugang zu personenbezogenen oder sensiblen Daten sowie bei wesentlichen Änderungen des Leistungsumfangs, des Eigentümers oder nach gemeldeten Sicherheitsvorfällen. Hochrisikoanbieter sollten häufiger bewertet werden, möglicherweise vierteljährlich.
Was ist eine Mindestsicherheitsbasis für die Anbieterfreigabe?
Eine typische Mindestbasis umfasst: Verschlüsselung von Daten im Transit (TLS 1.2+) und im Ruhezustand (AES-256); Multi-Faktor-Authentifizierung für Admin-Zugang; ISO 27001 oder SOC 2 Type II Zertifizierung; jährliche Penetrationstests; dokumentierter Incident-Response-Plan und eine Meldepflicht für Vorfälle von 72 Stunden oder weniger.