Dienstleisterbewertung

Bewertungsprozess

Erstbewertung (vor Beauftragung)

Schritt	Beschreibung	Verantwortlich
1. Anforderungsprofil	Sicherheitsanforderungen basierend auf Schutzbedarf definieren	Fachbereich + ISB
2. Informationssammlung	Sicherheitsdokumentation, Zertifizierungen, Referenzen einholen	Einkauf
3. Bewertung	Prüfung gegen Bewertungskriterien	ISB
4. Risikobewertung	Restrisiko bestimmen, Maßnahmen festlegen	ISB
5. Entscheidung	Freigabe oder Ablehnung	ISB + Geschäftsleitung (bei kritischen Dienstleistern)

Bewertungskriterien (Scoring)

Kriterium	Gewichtung	Bewertungsskala
Sicherheitszertifizierungen (ISO 27001, SOC 2, BSI C5)	25%	0–3 (keine / in Arbeit / vorhanden / aktuell)
Incident-Response-Fähigkeit	20%	0–3 (kein Prozess / basic / dokumentiert / getestet)
Standort / Rechtsraum	15%	0–3 (unsicher / Drittland mit Garantien / EU / DE)
Vertragsgestaltung	15%	0–3 (Standard / angepasst / Audit-Rechte / vollständig)
Subunternehmer-Transparenz	10%	0–3 (keine Info / Liste / Genehmigungspflicht / vertraglich)
Track Record	15%	0–3 (unbekannt / < 1 Jahr / 1–3 Jahre / > 3 Jahre)

Gesamtwert: Punktzahl je Kriterium × Gewichtung, aufsummiert – ergibt einen gewichteten Durchschnitt zwischen 0 und 3.

Mindestwert: 2,0 für Standarddienstleister, 2,5 für kritische Dienstleister (entspricht 12/18 bzw. 15/18 Punkten, wenn alle Kriterien gleich gewichtet wären).

BEWERTUNGSMETHODIK

Jedes Kriterium wird mit 0 bis 3 Punkten bewertet und mit seiner Gewichtung multipliziert; die Summe ergibt den gewichteten Gesamtwert (0 bis 3). Fehlende Zertifizierungen (25 %) wirken sich dadurch stärker aus als fehlende Transparenz über Subunternehmer (10 %). Dienstleister unterhalb des Mindestwerts müssen ihr Sicherheitsniveau verbessern oder werden abgelehnt. Ausnahmen erfordern die Freigabe durch ISB und Geschäftsleitung mit dokumentierter Risikoakzeptanz.

Wiederbewertung

Dienstleisterkategorie	Bewertungsintervall
Kritische Infrastrukturdienstleister	Jährlich
Cloud- und SaaS-Anbieter	Jährlich
Softwarelieferanten	Bei Vertragsverlängerung
Supportpartner	Alle 2 Jahre
Anlassbezogen	Bei Sicherheitsvorfall oder wesentlicher Änderung beim Anbieter

Kategorisierung

Kategorie	Definition	Beispiele	Anforderungen
Kritisch	Ausfall beeinträchtigt Kerngeschäft	Hosting, primäre Cloud-Dienste	Höchste Sicherheitsanforderungen, jährliches Audit-Recht
Wichtig	Ausfall beeinträchtigt einzelne Dienste	SaaS-Tools, DNS-Provider	Hohe Anforderungen, Incident-Meldepflicht
Standard	Ausfall hat geringe Auswirkung	Beratung, Wartung	Grundlegende Anforderungen