LIEFERKETTEN-

Third Party Risk Management für Schweizer KMU

Klassifizierung · Vertragsrealität · Fragebogen-Toolkit · Vorfallmanagement

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: Warum Lieferkettensicherheit das blinde Fleck der KMU-Compliance ist

63% der Security-Incidents beginnen bei Drittanbietern. Das ist keine Statistik aus dem Lehrbuch – es ist die Realität der letzten Jahre: SolarWinds, Kaseya, MOVEit. Jedes dieser Ereignisse hat Tausende von Unternehmen getroffen, die selbst nichts falsch gemacht hatten. Ihr Anbieter hatte ein Problem – und sie trugen die Konsequenzen.

NIS2, DORA und der AI Act haben diese Realität in Regulierungsanforderungen übersetzt: Lieferkettensicherheit ist keine optionale Best Practice mehr, sondern eine gesetzliche Pflicht für regulierte Unternehmen – und damit indirekt eine Marktanforderung für alle ihre Lieferanten.

1. Die regulatorischen Anforderungen im Überblick

2. Die Lieferanten-Klassifizierung – Fundament des TPRM

Nicht alle Lieferanten sind gleich riskant. Das ist der wichtigste Grundsatz des Third Party Risk Managements. Wer alle Lieferanten gleich behandelt, verschwendet Ressourcen bei unkritischen Anbietern und unterschätzt kritische.

2.1 Die drei Kritikalitätsstufen

2.2 Die Lieferanten-Matrix – Ihr Arbeitsinstrument

Die Lieferanten-Matrix ist das zentrale Dokument Ihres TPRM. Sie existiert einmal, wird kontinuierlich aktualisiert, und ist die Grundlage für Kunden-Audits und regulatorische Prüfungen.

3. Der Lieferanten-Fragebogen – vollständig und einsatzbereit

Dies ist kein 'Auszug' – dies ist ein vollständiger, sofort verwendbarer Fragebogen für kritische Lieferanten. Er deckt die Anforderungen aus NIS2, DORA, ISO 27001 und AI Act ab.

3.1 Fragebogen für KRITISCHE Lieferanten

A. Informationssicherheits-Management

B. Technische Sicherheit

C. Incident Response

D. Business Continuity

E. Lieferkette des Lieferanten (Sub-Tier)

F. Software-Lieferkette (relevant wenn Softwarelieferant)

3.2 Fragebogen für WICHTIGE Lieferanten (Kurzversion)

Für wichtige (nicht kritische) Lieferanten genügt ein kürzerer Fragebogen. Diese fünf Fragen decken die Kernrisiken ab:

4. Vertragsklauseln für Lieferkettensicherheit

4.1 Pflichtklauseln für kritische Lieferanten

Sicherheitsanforderungen

Incident-Meldepflicht

Auditrechte

Sub-Lieferkette

Exit und Datenrückgabe

5. Monitoring: Lieferanten nach Onboarding steuern

Lieferantenbewertung ist kein einmaliger Prozess. Die gefährlichsten Vorfälle entstehen bei Lieferanten, die lange als sicher galten und deren Situation sich unbemerkt verändert hat.

5.1 Der Monitoring-Kalender

5.2 Red Flags: Wann Sie sofort handeln müssen

Öffentlich bekannt gewordene Datenpanne beim Lieferanten: Sofort kontaktieren, Exposition prüfen, bei Bedarf Contingency-Plan aktivieren.

Lieferant wird übernommen oder fusioniert: Vertragliche Konditionen prüfen; Daten exportieren, bevor neue Eigentümer Zugang haben.

Lieferant ändert Datenspeicherort: Compliance-Auswirkung prüfen (GDPR, FINMA, revDSG). Schriftliche Bestätigung verlangen.

Lieferant kündigt Dienst an oder geht in Insolvenz: Exit-Plan sofort aktivieren. Datensicherung hat Priorität.

Lieferant verweigert Audit oder Fragebogen: Eskalation; bei kritischen Lieferanten: Vertragskündigung prüfen.

6. Incident-Management mit Drittanbieter-Bezug

Wenn ein Sicherheitsvorfall bei einem Lieferanten entsteht oder dort seinen Ursprung hat, brauchen Sie einen klaren Prozess. Ohne Vorbereitung verlieren Sie wertvolle Zeit.

6.1 Der Drittanbieter-Incident-Prozess

7. Typische Fehler

Fehler 1: Kritische Lieferanten nicht kennen

Die häufigste Antwort auf 'Welche Lieferanten haben Zugang zu Ihren Kundendaten?' ist Schweigen oder Unsicherheit. Das ist ein Grundlagenproblem: Ohne Inventar ist kein TPRM möglich.

Fehler 2: Sicherheitsklauseln nur in Rahmenverträgen

Der Rahmenvertrag enthält Sicherheitsklauseln. Aber die Arbeitspakete, Einzelaufträge und Erweiterungen werden ohne diese Klauseln beauftragt. Im Schadensfall gilt der Einzelauftrag.

Fehler 3: SBOM als reine Compliance-Übung

Eine SBOM wird für einen Kunden erstellt, dann nie aktualisiert. Beim nächsten Release ist sie veraltet. Eine veraltete SBOM ist irreführend und kann Sicherheitslücken verbergen, die sie eigentlich aufdecken sollte.

Fehler 4: Keine Sub-Tier-Transparenz

Sie haben Ihren Cloud-Provider bewertet und ein Zertifikat erhalten. Aber dieser Cloud-Provider hostet Ihre Daten auf einer Drittinfrastruktur, die Sie nicht kennen. In einem Incident stellt sich heraus: das eigentliche Problem war beim Sub-Tier-Anbieter.

8. Was Sie jetzt tun – priorisiert

Kontakt & weitere Informationen