Arbeitsvorlage

Version 1.2 · Quellenstand: 1. November 2026 · Arbeitsvorlage – nicht freigegeben

Zweck

Dieses Arbeitsmittel unterstützt Schweizer KMU dabei, Cloud-, IT- und geschäftskritische Dienstleister nach ihrem Cyberrisiko zu erfassen, zu priorisieren und gezielt zu prüfen. Es folgt dem BACS-Kreislauf: Lieferkette kennen, Lieferanten priorisieren, eigene Bestandesaufnahme durchführen, Lieferantengespräch führen, Prüfung auswerten, Verbesserungen festlegen und Verträge überprüfen.^[1]

Der Fragebogen hilft, die richtigen Fragen zu stellen. Er bestätigt weder die Sicherheit eines Lieferanten noch die Rechtskonformität einer Auslagerung. Bei Personendaten bleibt das Unternehmen als Verantwortlicher grundsätzlich für die datenschutzkonforme Bearbeitung verantwortlich.^[4] ⚖️ Fachprüfung erforderlich Datenschutzvereinbarungen, Unterauftragsbearbeitung, Auslandbekanntgaben und Vertragsklauseln sind im konkreten Fall durch Datenschutz- und Rechtsfachpersonen zu prüfen.

Anwendung

1. Füllen Sie zuerst Teil A und B intern aus. Beziehen Sie Fachbereich, IT und die für Risikoentscheide zuständige Person ein.
2. Bestimmen Sie die Prüftiefe anhand der Priorisierung in Teil C. Hoch kritische Lieferanten werden vertieft geprüft; bei mittlerer und Basis-Kritikalität genügt ein angemessen reduzierter Umfang.
3. Senden Sie nur die passenden Fragen aus Teil D an den Lieferanten. Besprechen Sie offene Punkte wenn möglich direkt.
4. Dokumentieren Sie in Teil E Abweichungen, Massnahmen, Eigentümer und Termin. Entscheiden Sie Restrisiken nicht implizit.
5. Aktualisieren Sie das Blatt nach wesentlichen Änderungen an Provider, Vertrag, Datenfluss, Zugängen oder Geschäftsprozess sowie nach einem festgelegten risikobasierten Intervall.

Für die anschliessende Vertragsprüfung stellt das BACS eine Best-Practice-Unterlage mit möglichen Informationssicherheits- und Datenschutzthemen bereit.^[2]

Teil A – Lieferantenprofil und Landkarte

Teil B – BACS-Lieferantentyp und Abhängigkeit

Kreuzen Sie alles Zutreffende an. Das BACS unterscheidet Partner mit privilegiertem Zugriff, Anbieter von Hardware oder Software und Anbieter wichtiger Dienstleistungen.^[1]

Teil C – Priorisierungsmatrix

Bewerten Sie jeden Punkt mit 0 = gering, 1 = mittel oder 2 = hoch. Die Summe ist eine Gesprächshilfe, keine automatische Risikofreigabe.

Interne Einordnung und begründeter Entscheid

Teil D – Risikobasierte Lieferantenprüfung

D1. Zugänge, Schutz und Betrieb

Für Software, Komponenten und externe Betriebsleistungen verlangen Sie nur bei risikorelevanten Produkten einen überprüfbaren Nachweis. Das BACS weist in seiner PHP-Warnung vom 21. Oktober darauf hin, auch integrierte Komponenten und extern betriebene Anwendungen zu erfassen. Bei zurückportierten Korrekturen sind die konkrete Paketversion und die Sicherheitsinformation des Anbieters aussagekräftiger als die sichtbare Hauptversion. Ein Update beseitigt keine Spuren oder Folgen einer bereits erfolgten Kompromittierung.^[6]

Für hochberechtigte SaaS-Integrationen sind Anwendung, Mandant, Anwendungs- oder Dienstprinzipal, Berechtigungen und Zustimmungen getrennt vom üblichen Lieferantenkontakt zu dokumentieren. Ein Microsoft-Bericht vom 21. Oktober zu bestimmten ConnectWise-Cloudanwendungen begründet keine Vermutung gegen andere Produkte. Er stützt aber die kontextbezogene Prüfung weitreichender App-Berechtigungen, auffälliger anwendungsbasierter Aktivitäten und der Beweissicherung vor irreversiblen Änderungen.^[8]

D2. Daten, Unterauftragsbearbeiter und Datenschutz

Diese Fragen sind besonders relevant, wenn der Lieferant Personendaten bearbeitet. Der EDÖB nennt für Cloud-Dienste unter anderem Weisungsbindung, Sicherheit, Unterauftragsbearbeiter, Mitwirkung und Audits als relevante Prüffelder.^[3]

Die Rollen- und Kontaktangaben sollen im Vorfall nachvollziehbar sein. Die EDÖB-Mitteilung vom 23. Oktober betrifft eine hängige Untersuchung nach einem Angriff auf einen Softwarelieferanten und ist kein Verstossbefund gegen andere Lieferanten. Sie verdeutlicht aber, dass bei einem konkreten Ereignis übermittelte Personendaten, Rechtsgrundlagen, tatsächliche Übertragungen und der Umfang abgeflossener Informationen geklärt werden müssen.^[7]

D3. Vorfall, Kontinuität und Notfallweg

D4. KI-gestützte Dienste, Quoten und Notbetrieb

Füllen Sie diesen Abschnitt nur aus, wenn der Lieferant einen KI-gestützten Dienst, Agenten oder Connector für einen relevanten Prozess bereitstellt. Die kanadische Behördenorientierung vom 22. Oktober beschreibt Quoten- und Tokenerschöpfung als mögliches Kosten- und Verfügbarkeitsrisiko. Sie empfiehlt unter anderem Monitoring, abgestufte Warnungen, die Prüfung von Drittanbieterlimiten und manuelle oder anders unterstützte Ausweichabläufe. Das ist freiwillige ausländische Orientierung, keine Schweizer Rechtsvorgabe.^[9]

Teil E – Auswertung, Massnahmen und Restrisiko

Grenzen des Arbeitsmittels

Dieses Arbeitsmittel ist eine strukturierte Entscheidungshilfe. Eine positive Selbstauskunft, ein Dokument oder eine Zertifizierung garantieren weder die tatsächliche Wirksamkeit von Schutzmassnahmen noch die Verfügbarkeit einer Dienstleistung. Die Prüftiefe muss dem Risiko, den Daten, den Zugängen und der Abhängigkeit entsprechen. Technische Tests, Audits oder eine unabhängige Fachbeurteilung können bei hoch kritischen Lieferanten erforderlich sein.

Das Blatt ersetzt keine rechtliche Beratung. Insbesondere ist eine ⚖️ Fachprüfung erforderlich, wenn Personendaten an Auftrags- oder Unterauftragsbearbeiter übertragen werden, wenn Daten ins Ausland bekanntgegeben werden, wenn Geheimhaltungspflichten gelten oder wenn Vertragsklauseln zur Haftung, Datenbearbeitung oder Meldepflicht festgelegt werden. Das DSG verlangt, dass sich Verantwortliche vergewissern, dass Auftragsbearbeiter die Datensicherheit gewährleisten können; die DSV verlangt eine laufende risikogerechte Überprüfung von Schutzbedarf, Risiko und Massnahmen.^{[4] [5]}

Quellen