Nachweise der Lieferanten: Soll und Vorwarnfenster festlegen

Ohne gespeicherte Richtlinie prüft knooing keine Nachweise. Erst Ihr Speichern legt fest, welche Zertifikate und Berichte als Soll gelten. So entstehen keine Meldungen, bevor Sie das Soll bewusst gewählt haben.

Schritt 1: Die Seite öffnen

Öffnen Sie Einstellungen, Servicedesk und in der Gruppe Regulatorik den Eintrag Nachweise der Lieferanten. Beim ersten Öffnen sind die Felder mit empfohlenen Werten vorbelegt, und ein blauer Hinweis nennt, dass noch nichts gespeichert ist.

Schritt 2: Soll und Vorwarnfenster festlegen

Tragen Sie bei Vorwarnfenster (Tage) eine Zahl von 7 bis 180 ein. Danach wählen Sie je Profil die Nachweisarten: Beziehung ohne kritische Funktion, Beziehung mit kritischer Funktion und Kritischer Unterauftragnehmer. Drei Schalter regeln, ob bei „bestanden“ ein Nachweisdokument Pflicht ist, ob bei Zertifikaten und Berichten Gültig bis Pflicht ist und ob eine Beziehung bei abgelaufenem Soll-Nachweis in die Wiedervorlage geht.

Schritt 3: Vorschauzahl prüfen und speichern

Unter den Feldern steht, wie viele Klärfälle und Vorwarnungen mit diesem Soll entstünden. Lesen Sie die Zahl, bevor Sie auf Speichern klicken. Danach erscheint „Richtlinie gespeichert.“ Ohne die Berechtigung zum Ändern fehlt der Knopf Speichern.

Schritt 4: Offene Lücken prüfen

Mit Nachweise jetzt prüfen läuft derselbe Abgleich wie der tägliche Lauf. Die Ergebniszeile nennt Vorwarnungen sowie fehlende und abgelaufene Nachweise. Der Abschnitt Offene Nachweis-Lücken listet Lieferant, Beziehung, Art, Zustand und Fälligkeit mit Link zur Beziehung. Wie Sie einen Nachweis erfassen, steht in Sicherheitsnachweise erfassen.

Werte erklärt

Jeder Wert, den Sie hier sehen, ist in knooing auch über sein Info-Symbol erklärt. Die Beispiele verwenden frei gewählte Zahlen.

| Wert | Bedeutung | Beispiel | | --- | --- | --- | | Hinweis auf der Seite „Nachweise der Lieferanten“ | Auf dieser Seite legen Sie das Soll fest: welche Nachweise Ihre Lieferanten vorlegen müssen, wie früh Sie vor einem Ablauf gewarnt werden und was bei einer Lücke geschieht. | Jede Beziehung braucht ein ISO 27001-Zertifikat, Sie werden 45 Tage vor Ablauf gewarnt, fehlt es, entsteht ein Klärfall. Ohne gespeicherte Richtlinie läuft kein Abgleich. Neben jedem Feld erklärt das Info-Symbol den Wert mit einem Beispiel. | | Vorwarnfenster (Tage) | Das Vorwarnfenster bestimmt, wie viele Tage vor dem Ablauf eines Nachweises Sie eine Meldung erhalten und ab wann er „läuft bald ab“ zeigt. Regel: erlaubt sind 7 bis 180 Tage, die Voreinstellung ist 30. Eine Meldung kommt einmal je Nachweis und Ablaufdatum, beim nächsten Abgleich. | Bei 45 Tagen läuft ein Zertifikat am 30.11. ab. Ab dem 16.10. zeigt es „läuft bald ab“, und die Meldung kommt am nächsten Abgleich. | | Soll laut Richtlinie | Das Soll legt fest, welche Nachweisarten Sie je Profil erwarten. Jeder gesetzte Haken heißt: Diese Nachweisart ist für das Profil Pflicht. Regel: Je Beziehung gilt genau ein Profil, nämlich „Beziehung ohne kritische Funktion“ oder „Beziehung mit kritischer Funktion“. Unterauftragnehmer haben ein eigenes Profil. An einer einzelnen Beziehung können Sie das Soll über „Soll anpassen“ abweichend festlegen. | Haken bei „ISO 27001-Zertifikat“ im Profil „Beziehung ohne kritische Funktion“: Jede solche Beziehung braucht ein gültiges ISO 27001-Zertifikat, sonst steht dort „fehlt“. | | Nachweisarten | Nachweisarten sind die Belege, mit denen ein Lieferant seine Sicherheit zeigt. Sie legen fest, welche davon Sie je Beziehung erwarten. | Siehe die vier Nachweisarten. | | ISO 27001-Zertifikat (inkl. Geltungsbereich) | Bescheinigung einer Zertifizierungsstelle, dass das Sicherheitsmanagement des Lieferanten der Norm entspricht. | Zertifikat nach „ISO/IEC 27001:2022“, gültig bis 30.11.2027, Geltungsbereich „Rechenzentrum Standort A“. | | Auditbericht | Bericht einer Prüfung der Sicherheitsmaßnahmen durch eine dritte Stelle. | Auditbericht vom 15.03.2026, gültig bis 14.03.2027. | | Penetrationstestbericht | Ergebnis eines Angriffstests auf die Systeme des Lieferanten. Die nächste Fälligkeit errechnet sich aus dem Durchführungsdatum (alle 12 Monate bei kritischer Funktion, sonst alle 36 Monate). | durchgeführt am 10.05.2026, kritische Funktion, nächste Fälligkeit 10.05.2027. | | Jährlicher Compliance-Bericht | Bericht des Lieferanten, der einmal im Jahr bestätigt, dass er Ihre Vorgaben einhält. | Bericht für 2026, gültig bis 31.12.2026. | | Beziehung ohne kritische Funktion | Dieses Profil gilt für Lieferantenbeziehungen, die keine kritische Funktion stützen (Feld „Stützt kritische Funktion“ an der Beziehung ist aus). | Ein Anbieter für Bürobedarf-Bestellungen. Verlangt wird nur das ISO 27001-Zertifikat. | | Beziehung mit kritischer Funktion | Dieses Profil gilt für Beziehungen, bei denen „Stützt kritische Funktion“ eingeschaltet ist. Hier erwarten Sie meist mehr Nachweise. | Ein Rechenzentrumsbetreiber für ein Kernsystem. Verlangt werden ISO 27001-Zertifikat, Auditbericht, Penetrationstestbericht und jährlicher Compliance-Bericht. | | Kritischer Unterauftragnehmer | Dieses Profil gilt für Unterauftragnehmer einer Beziehung, die als „Stützt eine kritische Funktion“ erfasst sind. Jeder dieser Unterauftragnehmer braucht seinen eigenen Nachweis. | Ein Hosting-Anbieter hat ein Rechenzentrum als kritischen Unterauftragnehmer. Mit Haken bei „ISO 27001-Zertifikat“ braucht auch das Rechenzentrum ein eigenes Zertifikat, erfasst mit „Gilt für“ auf den Unterauftragnehmer. | | Bei „bestanden“ ist ein Nachweisdokument Pflicht | Ist der Schalter an, lässt sich ein Nachweis nur mit dem Ergebnis „bestanden“ speichern, wenn ein Nachweisdokument (Zertifikat oder Bericht) angehängt ist. | Sie setzen das ISO 27001-Zertifikat auf „bestanden“, ohne Datei: Das Speichern wird mit einem Hinweis abgelehnt. Mit hochgeladenem PDF geht es. | | Bei Zertifikaten und Berichten ist „Gültig bis“ Pflicht | Ist der Schalter an, muss bei Zertifikaten und Berichten mit dem Ergebnis „bestanden“ das Feld „Gültig bis“ ausgefüllt sein. Nur dann lässt sich ein Ablauf überwachen. | Ein Auditbericht ohne „Gültig bis“ lässt sich nicht als „bestanden“ speichern. Mit „Gültig bis“ 14.03.2027 meldet das System ihn ab 45 Tagen vorher (bei Vorwarnfenster 45). | | Beziehung bei abgelaufenem Soll-Nachweis in die Wiedervorlage setzen | Wiedervorlage heißt: Ist ein Soll-Nachweis abgelaufen, setzt der Abgleich die Beziehung auf den Status „in Wiedervorlage“. Das ist ein Prüfauftrag, keine Sperre. Regel: Betroffen sind nur Beziehungen im Status „genehmigt“ oder „aktiv“ und nur abgelaufene Soll-Nachweise, keine freiwilligen. Zertifikate bleiben keine Voraussetzung für die Freigabe. | Das ISO 27001-Zertifikat eines aktiven Lieferanten lief am 30.09. ab. Beim nächsten Abgleich steht die Beziehung „in Wiedervorlage“ mit dem Grund „Soll-Nachweis abgelaufen“. | | Mit diesem Soll entstünden n Klärfälle und m Vorwarnungen (Vorschauzahl) | Die Vorschauzahl zeigt, was das Soll bewirken würde, bevor Sie speichern. Ein Klärfall ist eine Aufgabe für einen fehlenden oder abgelaufenen Nachweis, eine Vorwarnung ein Nachweis im Vorwarnfenster. Regel: Gespeichert werden kann erst, wenn die Vorschau berechnet ist. Sie ändert sich, sobald Sie Haken oder Vorwarnfenster ändern. | „Mit diesem Soll entstünden 5 Klärfälle und 2 Vorwarnungen“ heißt: Heute fehlen oder sind 5 Nachweise abgelaufen, und 2 laufen innerhalb des Vorwarnfensters ab. | | Nachweise jetzt prüfen | „Nachweise jetzt prüfen“ startet den Abgleich sofort, den sonst der Tagesjob erledigt. Er bewertet alle Beziehungen nach dem gespeicherten Soll, versendet Vorwarnungen, eröffnet und schließt Klärfälle und setzt bei Bedarf die Wiedervorlage. Regel: Der Knopf ist erst nach dem ersten Speichern der Richtlinie aktiv und prüft den gespeicherten Stand, nicht Ihren ungespeicherten Entwurf. | Sie haben soeben ein fehlendes Zertifikat erfasst. Mit dem Knopf schließt sich der zugehörige Klärfall sofort, statt erst nach dem nächsten Tagesjob. | | Ergebniszeile des Abgleichs | Die Ergebniszeile fasst den letzten Abgleich zusammen: wie viele Vorwarnungen versendet wurden und wie viele Nachweise fehlen oder abgelaufen sind. Darunter steht, wie viele Klärfälle eröffnet oder geschlossen wurden. | „3 Vorwarnungen, 2 fehlende und 4 abgelaufene Nachweise“ und „Klärfälle: 1 eröffnet, 2 geschlossen“: Drei Meldungen gingen hinaus, es gibt 6 offene Lücken, ein neuer Fall kam hinzu, zwei Fälle wurden durch erfasste Nachweise erledigt. | | Offene Nachweis-Lücken | „Offene Nachweis-Lücken“ listet alle Nachweise, die nach dem gespeicherten Soll fehlen oder abgelaufen sind, über alle Lieferantenbeziehungen, die nicht beendet sind. Regel: Die Liste kommt aus derselben Bewertung wie das Zeichen an der Beziehung, der Klärfall und der Tagesjob, deshalb stimmen die Zahlen überein. Nachweise im Vorwarnfenster stehen hier nicht, sie zeigen „läuft bald ab“ an der Beziehung. | Zeile „Beispiel-Provider, Hosting, ISO 27001-Zertifikat, abgelaufen, 30.09.2026“ heißt: Das Zertifikat dieser Beziehung ist seit 30.09.2026 abgelaufen. Ein Klick auf die Beziehung öffnet die Seite zum Erfassen eines neuen Nachweises. | | Art (Spalte der Lücken) | Die Nachweisart der Lücke. Bei einem Unterauftragnehmer steht sein Name dahinter. | „ISO 27001-Zertifikat beim Unterauftragnehmer Rechenzentrum A“ ist das Zertifikat des Unterauftragnehmers, nicht des Lieferanten selbst. | | Zustand (Spalte der Lücken) | „fehlt“ (rot): Für einen Soll-Nachweis liegt keine gültige Bewertung vor. „abgelaufen“ (orange): Der Nachweis war erfasst, sein Ablaufdatum liegt in der Vergangenheit. | Ein nie erfasstes Auditbericht-Soll zeigt „fehlt“. Ein Zertifikat mit „Gültig bis“ 30.09.2026 zeigt ab dem 01.10.2026 „abgelaufen“. | | Fällig (Spalte der Lücken) | Das Datum, an dem der Nachweis ablief oder fällig war. Bei „fehlt“ steht meist „-“, weil es kein Ablaufdatum gibt. | „abgelaufen“ mit Fällig 30.09.2026 heißt: Der Nachweis galt bis zu diesem Tag. |