Fragebogen
Was der Dienstleister über sich selbst sagt: Massnahmen, Zuständigkeiten, Unterauftragnehmer, Löschfristen.
Startseite › Ressourcen › Leitfäden
Welche Unterlagen ein Vendor-Assessment braucht
Vier Unterlagen tragen den größten Teil einer Prüfung: Fragebogen, Nachweise, Vertrag und Richtlinien. Alles andere ergänzt. Diese Liste zeigt, was jede Unterlage belegt und was zu tun ist, wenn eine fehlt.
Die vier Unterlagen
Zertifikate und Audit-Berichte
Was eine dritte Stelle bestätigt: Geltungsbereich, Prüfzeitraum, Gültigkeit.
Vertrag samt Auftragsverarbeitung
Was verbindlich zugesagt ist: Laufzeit, Kündigung, Unterauftragsverhältnisse, Löschung.
Richtlinien und Verfahren
Wie der Dienstleister arbeitet: Zugriffsregeln, Notfallkonzept, Meldewege.
Ergänzende Unterlagen
- Liste der Unterauftragnehmer, mit Rolle und Standort.
- Ergebnisse von Penetrationstests oder Schwachstellen-Scans.
- Notfall- und Wiederanlaufkonzept.
- Geltungsbereich von Zertifizierungen: ein Zertifikat ohne Scope sagt wenig.
- Ansprechpartner und Eskalationswege für den Ernstfall.
Wenn eine Unterlage fehlt
Eine fehlende Unterlage ist der Normalfall, nicht die Ausnahme. Entscheidend ist, wie damit umgegangen wird: Die Lücke wird ausgewiesen und nicht geschätzt. Wer eine fehlende Angabe mit einer Wahrscheinlichkeit füllt, hat im Audit ein Problem mehr, nicht weniger.
Danach folgt die Nachforderung mit Frist. Kommt die Unterlage nicht, bleibt der Punkt offen und wird zur Entscheidung vorgelegt: akzeptieren mit Begründung oder blockieren. Beide Wege sind in Ordnung, solange sie dokumentiert sind.
Die dritte Möglichkeit ist die häufigste: die Unterlage existiert, liegt aber woanders. Genau dafür lohnt sich ein Prüfbestand, in dem die Fundstelle bleibt.
Wie die Unterlagen aktuell bleiben
- Ablaufdaten erfassen, nicht nur Dokumente ablegen: ein Zertifikat ohne Datum hat keine Aussagekraft.
- Prüftermine aus den Nachweisen ableiten, statt sie frei zu setzen.
- Bei Änderungen nachfordern: neue Unterauftragnehmer, neuer Standort, neue Version eines Fragebogens.
Kurz-Checkliste
- Fragebogen des Dienstleisters vollständig und mit Datum.
- Nachweise mit Geltungsbereich und Gültigkeit.
- Vertrag und Auftragsverarbeitung in der aktuellen Fassung.
- Richtlinien, die zur Prüfung passen.
- Offene Punkte als Liste, nicht als Notiz.
Hinweis
Dieser Beitrag erklaert, wie wir arbeiten. Regulatorische Pflichten und ihre Auslegung klaert Ihre Compliance-Funktion.