Lieferkettensicherheit klingt nach großer Konzernaufgabe – Hunderte Zulieferer, ein eigenes Team, das nichts anderes tut als Fragebögen zu verschicken. Für ein Unternehmen mit 15 bis 20 Kernzulieferern ist das eine völlig andere Größenordnung. Trotzdem scheitert die Umsetzung in der Praxis oft an genau dem gleichen Muster wie bei Konzernen: Eine Tabelle wird einmal angelegt, mit gutem Willen befüllt – und ein Jahr später weiß niemand mehr, ob die Einträge noch stimmen.
Der Fehler, der die meiste Zeit kostet: alle gleich behandeln
Der naheliegende, aber ineffiziente Ansatz ist, allen Zulieferern denselben 40-Fragen-Katalog zu schicken – dem Reinigungsdienstleister genauso wie dem Cloud-Anbieter, der Ihre Kundendatenbank hostet. Das Ergebnis: Der Reinigungsdienstleister ist genervt und antwortet unvollständig, während beim Cloud-Anbieter die eigentlich kritischen Fragen (Verschlüsselung, Zugriffskontrolle, Notfallwiederherstellung) im selben pauschalen Fragenkatalog untergehen wie alles andere.
Der pragmatischere Weg: nach Kritikalität kategorisieren
Sinnvoller ist eine grobe Vier-Stufen-Einteilung nach Kritikalität: Hat der Zulieferer Zugriff auf sensible Daten oder kritische Systeme (kritisch)? Ist er zentral für den Geschäftsbetrieb, aber ohne direkten Datenzugriff (hoch)? Ersetzbar innerhalb weniger Wochen, moderater Einfluss (mittel)? Austauschbar ohne nennenswerte Betriebsstörung (niedrig)? Aus dieser Einstufung ergibt sich automatisch, wie tief die Prüfung sein muss: ein kurzer 10-Fragen-Check für "niedrig" und "mittel", ein ausführlicherer 24-Fragen-Katalog nur für "kritisch" und "hoch" – und nur dort auch ein regelmäßiges Re-Audit (z. B. alle 12 Monate statt alle 36).
Warum "einmal ausfüllen" nicht reicht
Ein Zulieferer, der heute alle Fragen zufriedenstellend beantwortet, kann in 18 Monaten einen neuen IT-Dienstleister eingesetzt oder eine Sicherheitslücke übersehen haben. Deshalb braucht ein brauchbares System zwei Dinge, die eine statische Tabelle nicht liefert: eine automatische Erinnerung, wenn ein Re-Audit fällig wird, und eine dokumentierte Nachbesserungsschleife, wenn eine Antwort auf ein Risiko hindeutet – statt das Ergebnis stillschweigend zu ignorieren, weil "wir schon zu weit sind, um jetzt noch nachzuhaken".
Was ein 20-Personen-Unternehmen realistisch leisten kann
Nicht jedes Unternehmen braucht ein dediziertes Vendor-Risk-Management-Team. Realistisch ist: ein einmaliger Nachmittag, um die Kernzulieferer nach Kritikalität einzustufen, ein automatisierter Versand der passenden Fragebögen mit Frist und Erinnerung, und eine kurze jährliche Durchsicht der Ergebnisse statt eines eigenen Prozesses von Grund auf. Der Unterschied zwischen "Compliance-Theater" und echtem Sicherheitsgewinn liegt selten am Umfang der Fragen – sondern daran, ob überhaupt jemand die Antworten liest.
Zulieferer nach Kritikalität einstufen statt raten
Sehen Sie sich an, wie eine automatisierte Kategorisierung und ein Fragenkatalog nach Risikostufe in der Praxis aussehen.