Files

T

msolarczekandClaude Opus 4.8 522508aaf3 GAP WP2.1: Inline-VA-Verweise + Verify-Fix (F17)

Umsetzung aus dem GAP-Report Runde 2 (Umsetzungsanleitung), Etappe 1.

- WP2.1 (F3–F9, F19, N4, N7, N9): In 14 IMPL-Blöcken den zuständigen VA-Verweis
  inline ergänzt ({{LINK:VA-xx}}) — R02 1.3.1/1.3.2→VA-08, R03 1.4.1→VA-09,
  R04 1.6.1/1.6.2→VA-01 & 1.6.3→VA-02, R05 2.1.3→VA-12, R08 4.1.1/4.1.3/4.2.1→VA-03,
  R09 5.1.2→VA-07, R10 5.2.1→VA-04 & 5.2.6→VA-06, R13 6.1.2/6.1.3→VA-10.
  Damit verweisen alle 23 Controls mit zuständiger VA inline (zuvor 8).
- WP2.3/F17: _verify.py lief nicht (KeyError 'implementation' — Feld existiert nicht
  in mapping.json). Gefixt via .get(): Umsetzungstext wird zur Laufzeit über
  impl_anchor aus der .md aufgelöst (Variante 2 der Anleitung).

Verifiziert: _verify.py Render-Probleme 0, Mapping beidseitig sauber, keine neuen
Befunde (einzig vorbestehendes IMPL 3.1.3 = WP1.3/E2, ISB-Scope). Nicht-destruktiver
Re-Import in den Demo-Mandanten (8 Dokumente aktualisiert, Status/Anforderungen
erhalten); Browser: R02 rendert „(siehe VA-08)" als klickbaren Deep-Link.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-07-22 20:19:05 +02:00

10 KiB

Raw Blame History

Richtlinie Lieferanten- und Dienstleistersteuerung

Dokumenteninformation	Wert
Dokumententyp	Richtlinie
Geltungsbereich	{{ISMS_SCOPE}}
Organisation	{{ORG_NAME}}
Verantwortlich	{{ROLE_ISB}}
Freigabe durch	{{ROLE_MANAGEMENT}}
Version	{{DOC_VERSION}}
Datum	{{DOC_DATE}}
Status	{{DOC_STATUS}}

1. Zweck

Diese Richtlinie regelt Sicherstellung der Informationssicherheit bei Lieferanten, Vertraulichkeitsvereinbarungen und Abgrenzung der Verantwortlichkeiten. Sie konkretisiert die Informationssicherheitsleitlinie ({{LINK:L00}}) und dient der Erfüllung der Anforderungen des VDA ISA 2027.

2. Geltungsbereich

Diese Richtlinie gilt innerhalb des definierten ISMS-Geltungsbereichs ({{ISMS_SCOPE_DESCRIPTION}}).

3. Anforderungen und Umsetzung

Aufbau je Abschnitt: Anforderung (1:1 aus VDA ISA; [MUSS]/[SOLL] und – bei entsprechendem Schutzbedarf – [HOCH]/[SEHR HOCH]) und Umsetzung bei {{ORG_NAME}} (gebündelt, anzupassen wo erforderlich).

3.1 Informationssicherheit bei Lieferanten (ISA 6.1.1)

Anforderung

[MUSS] Auftragnehmer und Partner werden einer Sicherheitsrisikobewertung unterzogen.

[MUSS] Ein angemessenes Informationssicherheitsniveau wird durch vertragliche Vereinbarungen mit Auftragnehmern und Partnern sichergestellt.

[MUSS] Sofern zutreffend, werden vertragliche Vereinbarungen mit Auftraggebern/Kunden an Auftragnehmer und Partner weitergegeben. {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Auftragnehmer und Partner sind vertraglich verpflichtet, Anforderungen an ein angemessenes Informationssicherheitsniveau an ihre Unterauftragnehmer weiterzugeben. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Leistungsberichte und Dokumente von Auftragnehmern und Partnern werden geprüft. {{/if}} {{#if FLAG_HIGH_PROTECTION}}

[HOCH] Es wird nachgewiesen, dass das Informationssicherheitsniveau des Lieferanten dem Schutzbedarf angemessen ist (z. B. geprüfter Fragebogen/Selbstauskunft, Attestierung, Zertifikat, Lieferantenaudit). (C, I, A) {{/if}} {{#if FLAG_HIGH_PROTECTION}}

[HOCH] Der Grad der Erfüllung geforderter Nachweise durch den Lieferanten wird dokumentiert, regelmäßig und bei Änderungen überprüft und überwacht. (C, I, A) {{/if}} {{#if FLAG_HIGH_PROTECTION}}

[HOCH] Die Einhaltung vertraglicher Vereinbarungen durch den Lieferanten wird geprüft, dokumentiert, regelmäßig und bei Änderungen überprüft und überwacht. (C, I, A) {{/if}} {{#if FLAG_VERY_HIGH_PROTECTION}}

[SEHR HOCH] Das angemessene Informationssicherheitsniveau sollte durch ein Drittparteien-Audit (angemessenes TISAX-Label o. Ä.) oder ein angemessenes Lieferantenaudit nachgewiesen werden. Ohne Audit muss die Leitung eine risikobasierte Entscheidung zur Fortführung treffen; ein Nachweis dieser Entscheidung existiert. (C, I, A) {{/if}} {{#if FLAG_VERY_HIGH_PROTECTION}}

[SEHR HOCH] Vertragliche Verpflichtungen gegenüber Kunden zur Transparenz von Lieferkettenrisiken werden erfüllt. (C, I, A) {{/if}}

Umsetzung bei {{ORG_NAME}}

Auftragnehmer/Partner werden einer Sicherheitsrisikobewertung (BL-SUP-01) unterzogen und vertraglich auf ein angemessenes Informationssicherheitsniveau (inkl. Weitergabe an Unterauftragnehmer und Kundenanforderungen) verpflichtet; das Lieferantenverzeichnis wird im ISMS-Tool ({{TOOL_NAME}}) geführt, Leistungsberichte werden geprüft (siehe {{LINK:VA-10}}).

Bei hohem Schutzbedarf wird das Sicherheitsniveau des Lieferanten nachgewiesen (Selbstauskunft/Attest/Zertifikat/Audit) und die Einhaltung dokumentiert, regelmäßig und bei Änderungen überwacht. Bei sehr hohem Schutzbedarf erfolgt der Nachweis über ein Drittparteien-Audit (TISAX o. Ä.) oder eine dokumentierte risikobasierte Leitungsentscheidung; Transparenzpflichten zu Lieferkettenrisiken werden erfüllt. {{/if}}

3.2 Vertraulichkeitsvereinbarungen (ISA 6.1.2)

Anforderung

[MUSS] Die Vertraulichkeitsanforderungen sind bestimmt und erfüllt.

[MUSS] Anforderungen und Verfahren zur Anwendung von Vertraulichkeitsvereinbarungen sind allen Personen bekannt, die schutzbedürftige Informationen weitergeben.

[MUSS] Gültige Vertraulichkeitsvereinbarungen werden vor der Weitergabe schutzbedürftiger Informationen abgeschlossen.

[MUSS] Die Anforderungen und Verfahren zur Nutzung von Vertraulichkeitsvereinbarungen und zum Umgang mit schutzbedürftigen Informationen werden regelmäßig überprüft. {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Vorlagen für Vertraulichkeitsvereinbarungen sind vorhanden und auf rechtliche Anwendbarkeit geprüft. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Vertraulichkeitsvereinbarungen umfassen beteiligte Personen/Organisationen, Art der Informationen, Gegenstand, Gültigkeitsdauer und Verantwortlichkeiten der verpflichteten Partei. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Vertraulichkeitsvereinbarungen enthalten Regelungen zum Umgang mit schutzbedürftigen Informationen über die Vertragsbeziehung hinaus. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Möglichkeiten zum Nachweis der Einhaltung (z. B. Prüfung durch unabhängige Dritte oder Auditrechte) sind definiert. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Ein Prozess zur Überwachung der Gültigkeitsdauer temporärer Vertraulichkeitsvereinbarungen und zur rechtzeitigen Verlängerung ist definiert und umgesetzt. {{/if}}

Umsetzung bei {{ORG_NAME}}

Vertraulichkeitsanforderungen sind bestimmt und bekannt; vor Weitergabe schutzbedürftiger Informationen werden gültige NDAs auf Basis geprüfter Standardvorlagen (Ablauf siehe {{LINK:VA-10}}) (mit Parteien, Informationsart, Gegenstand, Gültigkeit, Verantwortlichkeiten und nachvertraglichen Regelungen) abgeschlossen und im ISMS-Tool hinterlegt. Anforderungen/Verfahren und Gültigkeitsdauern werden regelmäßig überwacht, Nachweismöglichkeiten sind definiert.

3.3 Abgrenzung der Verantwortlichkeiten (ISA 6.1.3)

Anforderung

[MUSS] Die betroffenen IT-Dienste sind identifiziert.

[MUSS] Die für den IT-Dienst relevanten Sicherheitsanforderungen sind bestimmt.

[MUSS] Die für die Umsetzung der Anforderung verantwortliche Organisation ist definiert und sich ihrer Verantwortung bewusst.

[MUSS] Mechanismen für geteilte Verantwortlichkeiten sind spezifiziert und umgesetzt.

[MUSS] Die verantwortliche Organisation erfüllt ihre jeweiligen Verantwortlichkeiten. {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Bei IT-Diensten ist die Konfiguration auf Basis der notwendigen Sicherheitsanforderungen konzipiert, umgesetzt und dokumentiert. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Das verantwortliche Personal ist angemessen geschult. {{/if}} {{#if FLAG_HIGH_PROTECTION}}

[HOCH] Eine Liste der betroffenen IT-Dienste und der jeweils verantwortlichen IT-Dienstleister existiert. (C, I, A) {{/if}} {{#if FLAG_HIGH_PROTECTION}}

[HOCH] Die Anwendbarkeit der ISA-Controls wurde bewertet und dokumentiert. (C, I, A) {{/if}} {{#if FLAG_HIGH_PROTECTION}}

[HOCH] Die Dienstkonfiguration ist in die regelmäßigen Sicherheitsbewertungen einbezogen. (C, I, A) {{/if}} {{#if FLAG_HIGH_PROTECTION}}

[HOCH] Es wird nachgewiesen, dass die IT-Dienstleister ihre Verantwortung erfüllen. (C, I, A) {{/if}} {{#if FLAG_HIGH_PROTECTION}}

[HOCH] Die Integration in lokale Schutzmaßnahmen (z. B. sichere Authentifizierungsmechanismen) ist etabliert und dokumentiert. (C, I, A) {{/if}}

Umsetzung bei {{ORG_NAME}}

Betroffene IT-Dienste und ihre Sicherheitsanforderungen sind identifiziert; Verantwortlichkeiten zwischen der Organisation und externen IT-Dienstleistern (inkl. Mechanismen für geteilte Verantwortung) sind definiert, bekannt und werden erfüllt (siehe {{LINK:VA-10}}). Die Konfiguration ist anforderungsbasiert umgesetzt und dokumentiert, das Personal geschult.

Bei hohem Schutzbedarf existiert eine Liste der IT-Dienste und verantwortlichen Dienstleister, die Anwendbarkeit der ISA-Controls ist bewertet/dokumentiert, die Dienstkonfiguration ist Teil regelmäßiger Sicherheitsbewertungen, die Verantwortungserfüllung wird nachgewiesen und die Integration in lokale Schutzmaßnahmen ist dokumentiert. {{/if}}

4. Verbindlichkeit

Diese Richtlinie ist für alle betroffenen Rollen im Geltungsbereich verbindlich. Die Einhaltung wird durch {{ROLE_ISB}} überwacht.

5. Rollen und Verantwortlichkeiten

Rolle	Verantwortung in dieser Richtlinie
{{ROLE_ISB}}	Lieferantensteuerung
Einkauf	Vertragliche Einbindung

6. Überprüfung und Aktualisierung

Diese Richtlinie wird mindestens {{REVIEW_CYCLE}} sowie anlassbezogen durch {{ROLE_ISB}} überprüft und durch {{ROLE_MANAGEMENT}} freigegeben.

7. Nachweise

Die Nachweise werden nicht in diesem Dokument geführt, sondern zentral im Nachweisregister ({{LINK:NACHWEISREGISTER}}) sowie in den zugehörigen Einträgen des ISMS-Tools ({{TOOL_NAME}}).

8. Verwandte Dokumente

Zugehörige Verfahren: {{LINK:VA-10}}
Technische Sicherheits-Baseline: {{LINK:BASELINE}}
ISA-Mapping-Matrix: {{LINK:ISA_MAPPING}}
Nachweisregister: {{LINK:NACHWEISREGISTER}}
Weitere: {{LINK:R01}}, {{LINK:R12}}

10 KiB Raw Blame History Unescape Escape

Richtlinie Lieferanten- und Dienstleistersteuerung

1. Zweck

2. Geltungsbereich

3. Anforderungen und Umsetzung

3.1 Informationssicherheit bei Lieferanten (ISA 6.1.1)

3.2 Vertraulichkeitsvereinbarungen (ISA 6.1.2)

3.3 Abgrenzung der Verantwortlichkeiten (ISA 6.1.3)

4. Verbindlichkeit

5. Rollen und Verantwortlichkeiten

6. Überprüfung und Aktualisierung

7. Nachweise

8. Verwandte Dokumente

10 KiB

Raw Blame History