Vorlage für die Lieferantenrisikobewertung (kostenloses Excel, 2026)

Diese Vorlage für die Lieferantenrisikobewertung ist eine kostenlose Excel-Arbeitsmappe zur Bewertung jedes Lieferanten, der mit Ihren Daten in Berührung kommt - vor der Unterschrift und danach jedes Jahr aufs Neue. Wenn Sie als Compliance-Verantwortlicher, CISO oder Sicherheitsmanager die Sorgfaltsprüfung Ihrer Lieferanten nachweisen müssen, gibt Ihnen diese Vorlage für die Lieferantenrisikobewertung einen strukturierten Fragebogen und ein Bewertungsmodell an die Hand, mit dem Sie noch heute arbeiten können. Sie deckt die Fragen ab, die wirklich zählen: welche Daten ein Anbieter wo verarbeitet, wer seine Unterauftragsverarbeiter sind, welche Zertifizierungen er hält, wie er Zugriffe kontrolliert und Daten verschlüsselt, wie er mit Schwachstellen und Sicherheitsverletzungen umgeht und was mit Ihren Daten geschieht, wenn die Geschäftsbeziehung endet. Laden Sie die Datei unten herunter, passen Sie die Kritikalitätsstufen an Ihr Unternehmen an und beginnen Sie noch diese Woche mit der Bewertung Ihrer Lieferanten.

Was die Vorlage für die Lieferantenrisikobewertung abdeckt

Die Arbeitsmappe ist ein Sicherheitsfragebogen für Drittparteien, so aufgebaut, dass Sie ihn an einen Lieferanten senden und die Antworten bewerten können. Jede Zeile ist eine Frage, jede Antwort wird bewertet, und jeder Anbieter läuft in einer Kritikalitätsstufe zusammen. Die Vorlage für die Lieferantenrisikobewertung deckt die Bereiche ab, die darüber entscheiden, ob einem Lieferanten Ihre Daten anvertraut werden können. Wenn Sie überhaupt nur auf drei Fragen klare Antworten bekommen, dann auf diese: Unterauftragsverarbeiter, Meldung von Sicherheitsverletzungen und Exit. Zertifizierungen sagen Ihnen, dass ein Anbieter am Stichtag eines Berichts in ordentlicher Verfassung war, Unterauftragsverarbeiter sagen Ihnen, wohin Ihre Daten heute tatsächlich fließen, und Exit-Klauseln sind das einzige Druckmittel, das Sie an dem Tag halten, an dem Sie sich zum Ausstieg entscheiden. Die vollständige Liste:

• Verarbeitete Daten und Standort. Welche personenbezogenen oder sensiblen Daten der Anbieter in Ihrem Auftrag verarbeitet und in welchen Ländern oder Regionen sie gespeichert und verarbeitet werden.
• Unterauftragsverarbeiter. Die vierten Parteien, auf die sich der Anbieter stützt, damit Ihre Lieferkette eine Ebene tiefer keine blinden Flecken hat.
• Zertifizierungen. Ob der Anbieter ISO/IEC 27001, SOC 2 Type 2 oder eine gleichwertige unabhängige Bestätigung hält und wann sie zuletzt erneuert wurde.
• Zugriffskontrolle und MFA. Wie der Anbieter den Zugriff auf Ihre Daten einschränkt und ob Multi-Faktor-Authentifizierung für privilegierte Konten erzwungen wird.
• Verschlüsselung. Ob Daten bei der Übertragung und im Ruhezustand verschlüsselt sind.
• Schwachstellen- und Patch-Management. Wie schnell der Anbieter Korrekturen für bekannte Schwächen findet, testet und einspielt.
• Meldung von Sicherheitsverletzungen und Vorfälle. Die Zusage des Anbieters, wie schnell er Sie über eine Verletzung informiert, plus etwaige jüngere Sicherheitsvorfälle.
• Business Continuity und Disaster Recovery. Ob der Anbieter weiterlaufen und sich erholen kann, wenn etwas schiefgeht.
• Verträge. Ob ein Auftragsverarbeitungsvertrag besteht und, wo geschützte Gesundheitsdaten betroffen sind, ein Business Associate Agreement.
• Exit. Wie Ihre Daten bei Vertragsende zurückgegeben oder vernichtet werden.

Drittparteirisiko ehrlich betrachtet: worauf es wirklich ankommt

Eine Sicherheits-Risikobewertung von Lieferanten existiert, um die Sorgfaltsprüfung über die Anbieter zu belegen, die mit Ihren Daten in Berührung kommen. Das ist der ganze Zweck. Bleiben Sie nüchtern in Bezug darauf, was ein Fragebogen beweist: die Selbstauskunft eines Anbieters. Auch die ist wertvoll, denn die Antworten sind datiert, zuordenbar und vergleichbar, und schon das Fragen verändert, wie ein Lieferant Sie behandelt. Bei der Handvoll Anbieter, die Ihnen wirklich schaden könnten, sollten Sie die Antworten mit etwas Unabhängigem absichern. Wird ein Anbieter kompromittiert und die Daten Ihrer Kunden offengelegt, müssen Sie zeigen, dass Sie vor der Unterschrift und danach in festen Abständen geprüft haben, ob der Anbieter die Daten schützen kann. Ein bewerteter, aktuell gehaltener Fragebogen ist genau dieser Nachweis; ein unterschriebenes Bestellformular belegt lediglich den Einkauf.

Drittparteirisiko zieht sich durch NIS2, ISO 27001, DORA und die DSGVO gleichermaßen. Unter der DSGVO brauchen Sie mit jedem Auftragsverarbeiter einen Auftragsverarbeitungsvertrag und bleiben verantwortlich für das, was Ihre Auftragsverarbeiter und deren Unterauftragsverarbeiter tun. NIS2 erhebt die Sicherheit der Lieferkette für wesentliche und wichtige Einrichtungen zur Leitungsverantwortung. DORA nimmt Finanzunternehmen für die IKT-Drittparteien in die Pflicht, von denen sie abhängen. ISO 27001 erwartet, dass Lieferantenbeziehungen gesteuert und überwacht werden. Unterschiedliche Worte, dieselbe Pflicht: Kennen Sie Ihre Lieferanten, und belegen Sie es.

Zwei Details unterscheiden eine echte Bewertung von einem Häkchen. Erstens: das Scoring. Eine unbewertete Antwort lässt sich weder vergleichen noch nachverfolgen. Bewerten Sie also jede Antwort, damit eine schwache Kontrolle auffällt und Sie beobachten können, ob sie sich verbessert oder verfällt. Zweitens: die Kritikalitätsstufen. Ein Anbieter, der Ihre gesamte Kundendatenbank speichert, trägt ein völlig anderes Risiko als einer, der Ihre Büro-Schlüsselbänder druckt. Stufen Sie Anbieter danach ein, wie viel Schaden sie anrichten könnten, konzentrieren Sie Ihren Aufwand auf die kritischen und bewerten Sie kritische Anbieter mindestens jährlich neu, damit eine drei Jahre alte Bewertung heute nicht als Wahrheit durchgeht.

Ein drittes Detail beißt später, im Vertrag. Sicherheitsfragen werden höflich genug beantwortet. Dann bitten Sie um Auditrechte, eine schriftliche Frist für die Meldung von Sicherheitsverletzungen oder das Widerspruchsrecht bei neuen Unterauftragsverarbeitern, und das Gespräch wird spürbar zäher. Fordern Sie diese Klauseln ein, solange Sie noch Druckmittel haben, also vor der Unterschrift, und entscheiden Sie vorab, bei welchen Sie tatsächlich vom Tisch aufstehen würden. Bei der Unterverarbeitung wird es am schwierigsten: Ihr Einfluss endet eine Ebene tiefer, und den Vertrag des Anbieters mit dessen eigenen Lieferanten gestalten selten Sie.

So verwenden Sie die Vorlage für die Lieferantenrisikobewertung

1. Inventarisieren Sie Ihre Lieferanten. Listen Sie jeden Anbieter auf, der Ihre Daten verarbeitet, speichert oder darauf zugreifen kann. Was nirgends aufgeschrieben steht, lässt sich auch nicht bewerten.
2. Stufen Sie nach Kritikalität ein. Ordnen Sie jeden Anbieter nach den Daten, die er berührt, und dem Schaden, den ein Ausfall verursachen würde. Kritisch, wichtig und niedrig reicht für den Anfang. Tun Sie das, bevor Sie irgendetwas verschicken. Eine ganze Lieferantenliste einzustufen kostet einen Nachmittag und ist die Arbeit mit der höchsten Rendite im ganzen Prozess, weil sie Ihnen sagt, welche wenigen Anbieter ein echtes Gespräch verdienen und bei welchen ein Vermerk genügt, dass Sie hingesehen haben.
3. Versenden Sie den Fragebogen. Teilen Sie das passende Tabellenblatt mit dem Sicherheitskontakt des Anbieters oder füllen Sie es selbst anhand seiner Trust-Seite und vorhandener Berichte aus. Rechnen Sie mit zweigeteilten Reaktionen. Große Anbieter schicken Ihnen einen Link zu ihrem Trust-Portal und lehnen Ihr Formular rundheraus ab; bei den meisten sollten Sie das akzeptieren und das Mapping selbst vornehmen. Kleinere Anbieter antworten, langsam, und ihre Antworten brauchen eine Rückfrage. Das Nachfassen macht den Großteil der Arbeit aus und wird in Wochen gemessen, beginnen Sie also deutlich vor der Beschaffungsfrist damit.
4. Bewerten Sie die Antworten. Nutzen Sie die Scoring-Spalte, um jede Antwort einzustufen, und markieren Sie jede Lücke bei Verschlüsselung, MFA, Offenlegung der Unterauftragsverarbeiter oder Meldezusagen zur Nachverfolgung.
5. Entscheiden und dokumentieren Sie. Freigeben, unter Auflagen freigeben oder ablehnen - und bewahren Sie das ausgefüllte Blatt als Nachweis Ihrer Sorgfaltsprüfung auf.
6. Bewerten Sie nach Plan neu. Terminieren Sie für kritische Anbieter mindestens eine jährliche Überprüfung und wiederholen Sie sie früher, wenn der Anbieter einen Vorfall hat oder Unterauftragsverarbeiter wechselt.

Automatisieren Sie das in Venvera

Die Vorlage ist ein solider Ausgangspunkt, und für eine Handvoll Anbieter ist ein Spreadsheet völlig in Ordnung. Es hört in dem Moment auf zu skalieren, in dem Sie Dutzende Lieferanten, Verlängerungstermine und Nachweise haben, die zwischen den Überprüfungen veralten. Venvera hält dieselbe Arbeit aktuell: Anbieter, Fragebögen, Bewertungen und Termine für die Neubewertung leben an einem Ort, und einmal gesammelte Nachweise werden über Ihre Pflichten aus NIS2, ISO 27001, DORA und der DSGVO hinweg wiederverwendet. Wenn Sie Tools abwägen, zeigt unser Vergleich zu TPRM und Lieferantenrisiko, worauf Sie achten sollten. Venvera beginnt bei 399 EUR/Monat.

Häufig gestellte Fragen

Was ist eine Vorlage für die Lieferantenrisikobewertung?

Ein strukturierter Fragebogen, meist ein Spreadsheet, mit dem Sie die Sicherheits- und Datenpraktiken eines Lieferanten bewerten, bevor Sie ihn beauftragen, und danach in regelmäßigen Abständen. Eine gute Vorlage für die Lieferantenrisikobewertung deckt Daten, Unterauftragsverarbeiter, Zertifizierungen, Zugriff, Verschlüsselung, Vorfälle, Kontinuität, Verträge und Exit ab und bewertet jede Antwort, damit Sie Anbieter vergleichen und Risiken über die Zeit verfolgen können.

Was sollte eine Lieferantenrisikobewertung enthalten?

Mindestens: welche Daten der Anbieter wo verarbeitet, seine Unterauftragsverarbeiter, seine Zertifizierungen wie ISO/IEC 27001 und SOC 2 Type 2, Zugriffskontrolle und MFA, Verschlüsselung bei der Übertragung und im Ruhezustand, Schwachstellen- und Patch-Management, seine Meldezusage bei Sicherheitsverletzungen und jüngere Vorfälle, Business Continuity und Disaster Recovery, ob ein Auftragsverarbeitungsvertrag und, wo Gesundheitsdaten betroffen sind, ein Business Associate Agreement besteht, sowie wie Daten beim Exit zurückgegeben oder vernichtet werden.

Wie oft sollten Lieferanten neu bewertet werden?

Bewerten Sie kritische Anbieter mindestens einmal jährlich neu. Stufen Sie Ihre Lieferanten zuerst nach Kritikalität ein und richten Sie die häufigeren, tieferen Überprüfungen auf die Anbieter, die die sensibelsten Daten halten oder bei einem Ausfall den größten Schaden anrichten würden. Lösen Sie eine außerplanmäßige Überprüfung aus, wann immer ein Anbieter einen Sicherheitsvorfall hat oder seine Unterauftragsverarbeiter wechselt.

Ist die Vorlage wirklich kostenlos?

Ja. Laden Sie die Excel-Datei oben kostenlos herunter und passen Sie sie an Ihre eigenen Kritikalitätsstufen und Ihr Scoring an. Wenn derselbe Prozess später über viele Anbieter und Frameworks hinweg ohne manuelle Pflege aktuell bleiben soll, ist das genau das, was Venvera automatisiert.