Lieferanten prüfen ohne Excel-Chaos. Und TISAX: wo anfangen?

Warum die Lieferkette jetzt Thema ist

NIS2 verlangt Lieferkettensicherheit, ISO 27001 hat dafür vier eigene Maßnahmen, und der Versicherer fragt nach Dienstleistern mit Zugriff auf Ihre Systeme. In der Praxis liegt die Lieferantenliste in Excel, die Auftragsverarbeitungsverträge in Ordnern und niemand weiß, welcher Dienstleister im Ernstfall kritisch ist.

Acht Fragen je Lieferant

1. Hat der Lieferant Zugriff auf unsere Systeme oder Daten?
2. Verarbeitet er personenbezogene Daten für uns? Liegt ein Auftragsverarbeitungsvertrag vor?
3. Was passiert, wenn er drei Tage ausfällt?
4. Hat er ein Zertifikat (ISO 27001, TISAX, C5) oder eine Selbstauskunft?
5. Wo werden die Daten verarbeitet, in der EU oder außerhalb?
6. Gibt es einen Ansprechpartner für Sicherheitsvorfälle?
7. Wann wurde der Vertrag zuletzt geprüft?
8. Gibt es eine Alternative?

Aus den Antworten ergibt sich die Kritikalität. Kritische Lieferanten bekommen jährlich eine Nachfrage, alle anderen alle drei Jahre. ITSB-OS führt das Register, erinnert an Fristen und verknüpft den Lieferanten mit den Prozessen, die von ihm abhängen.

TISAX: der Weg zum Label

Wer für Automobilhersteller oder deren Zulieferer arbeitet, bekommt die Frage nach TISAX. Der Weg hat vier Schritte: Registrierung im ENX-Portal mit Prüfziel und Standorten, Selbsteinschätzung nach VDA ISA mit Reifegraden je Kontrollfrage, Prüfung durch einen akkreditierten Prüfdienstleister, Austausch des Labels mit dem Kunden. Die Selbsteinschätzung ist der Teil, der Zeit kostet: 45 Kontrollfragen, Zielreifegrad 3, jede Antwort mit Nachweis.

ITSB-OS enthält den ISA-Katalog, belegt die Reifegrade aus dem Compliance-Mapping vor, rechnet das Ergebnis mit Kürzung auf den Zielreifegrad und exportiert den Bericht für den Prüfdienstleister. Nach der ENX-Analyse vom April 2025 deckt ein TISAX-konformer Standort auch die NIS2-Anforderungen ab.