Teil 1 – Ueberblick & Konzepte (27036-1:2021)
Definiert Begriffe, Prinzipien und das gemeinsame Verstaendnis von Sicherheitsrisiken in Lieferantenbeziehungen. Bildet die konzeptionelle Grundlage fuer die uebrigen Teile.
GRC · Lieferantenrisiko
ISO/IEC 27036 Lieferketten- und Drittparteirisiko im Griff
Der internationale Rahmen fuer Informationssicherheit in Lieferantenbeziehungen (Supplier Relationships) – von der Auswahl bis zur Beendigung. Wir uebersetzen die Norm in ein belastbares Drittparteirisiko-Management (Third-Party Risk Management, TPRM), das NIS2 und DORA normseitig traegt.
27036-1:2021 – -4:2016Mehrteilige Normfamilie (Teil 1–4)
Rahmen & LeitlinieAnforderungen (Teil 2) + Guidance
Nicht zertifizierbarKein eigenstaendiges Zertifikat
NIS2 · DORA · ISO 27001Deckt Lieferketten-Massnahmen ab
Worum es bei ISO/IEC 27036 geht
ISO/IEC 27036 (Cybersecurity – Supplier relationships) ist die international anerkannte Normfamilie fuer Informationssicherheit in Lieferanten- und Drittparteibeziehungen. Sie strukturiert das Management von Lieferantenrisiken ueber den gesamten Lebenszyklus einer Geschaeftsbeziehung – von der Planung und Auswahl ueber die vertragliche Vereinbarung und den laufenden Betrieb bis zur geordneten Beendigung.
Die Familie besteht aus vier Teilen: Teil 1 (27036-1:2021) liefert Ueberblick und Konzepte, Teil 2 (27036-2:2022) definiert die verbindlichen Anforderungen an Akquirierende und Lieferanten, Teil 3 (27036-3:2023) adressiert die Sicherheit der ICT-Lieferkette (Hardware, Software und Dienstleistungen) und Teil 4 (27036-4:2016) behandelt speziell die Sicherheit von Cloud-Diensten. ISO/IEC 27036 ist ein Leitfaden- und Anforderungsrahmen – nicht eigenstaendig zertifizierbar – und ergaenzt die Lieferanten-Controls A.5.19–A.5.23 aus ISO/IEC 27001.
Die vier Teile der Normfamilie
Struktur und Kernbausteine von ISO/IEC 27036
Teil 2 – Anforderungen (27036-2:2022)
Legt die grundlegenden Informationssicherheits-Anforderungen fuer Definition, Umsetzung, Betrieb, Ueberwachung und Verbesserung von Lieferanten- und Akquirierenden-Beziehungen fest. Der normative Kern der Familie.
Teil 3 – ICT-Lieferkette (27036-3:2023)
Leitlinien fuer die Sicherheit der Hardware-, Software- und Dienstleistungs-Lieferkette (ICT Supply Chain). Adressiert Transparenz, Herkunft und Integritaet ueber mehrstufige Lieferketten hinweg.
Teil 4 – Cloud-Dienste (27036-4:2016)
Guidance fuer Cloud-Kunden und Cloud-Anbieter, um Sicherheitsrisiken aus der Nutzung von Cloud-Diensten sichtbar zu machen und ueber public, hybrid und private Modelle hinweg zu steuern.
Beziehungs-Lebenszyklus
Alle Teile folgen dem Lebenszyklus: Planung, Auswahl, Vereinbarung, Betrieb und Beendigung. Sicherheitsanforderungen werden phasengerecht verankert statt nur zum Onboarding geprueft.
Rollen: Akquirierende und Lieferanten
Die Norm adressiert beide Seiten der Beziehung mit spiegelbildlichen Pflichten – so entstehen ausgewogene, pruefbare Vereinbarungen statt einseitiger Klauselwerke.
Der Bruecken-Anker: ISO/IEC 27036 in Ihrer Compliance-Landschaft
Warum die Norm im DACH-Raum zum Pflichtprogramm wird
NIS2 – Lieferkettensicherheit
Artikel 21 Abs. 2 lit. d verlangt Massnahmen zur Sicherheit der Lieferkette und Beziehungen zu Anbietern. ISO/IEC 27036 liefert die normseitige Methodik, um diese Pflicht strukturiert und pruefbar zu erfuellen.
DORA – IKT-Drittparteirisiko
DORA fordert ein umfassendes Management des IKT-Drittparteirisikos ueber den gesamten Vertragslebenszyklus. Die Lebenszyklus-Logik von ISO/IEC 27036 (Planung bis Beendigung) bildet genau diesen Anspruch ab.
ISO/IEC 27001 – Controls A.5.19–A.5.23
Die Lieferanten-Controls in ISO/IEC 27001:2022 (Lieferantenbeziehungen, Vereinbarungen, ICT-Lieferkette, Ueberwachung, Cloud) werden durch ISO/IEC 27036 methodisch untersetzt und mit Tiefe gefuellt.
CRA & M&A-Due-Diligence
Der Cyber Resilience Act (CRA) verlagert Software-Lieferkettenpflichten zum Hersteller; bei M&A wird Drittparteirisiko zum Deal-Faktor. ISO/IEC 27036 gibt beiden Feldern eine gemeinsame Sprache.
So gehen wir gemeinsam vor
Von der Bestandsaufnahme zum gelebten TPRM-Prozess
01
1 – Bestandsaufnahme & Kritikalitaet
Wir erfassen Ihre Lieferanten- und Dienstleisterlandschaft, klassifizieren nach Kritikalitaet und mappen bestehende Vertraege gegen die Anforderungen aus Teil 2.
02
2 – Gap-Analyse & Risikobild
Abgleich Ihrer Prozesse mit ISO/IEC 27036 sowie NIS2- und DORA-Pflichten. Sie erhalten ein priorisiertes Risikobild und eine konkrete Massnahmen-Roadmap.
03
3 – Prozesse & Vertragswerk
Wir verankern den Beziehungs-Lebenszyklus in Ihren Prozessen – Auswahlkriterien, Sicherheitsklauseln, Audit-Rechte und Exit-Regelungen – und integrieren sie in Ihr ISMS.
04
4 – Betrieb & kontinuierliche Ueberwachung
Laufendes Monitoring, wiederkehrende Lieferantenbewertungen und ein KPI-Reporting, das Nachweise fuer Audits und Aufsicht liefert – auf Wunsch als GRC as a Service.
Ressourcen & Nachweise
Primaerquellen und weiterfuehrende VamiSec-Angebote
Offizielle Normquellen
ISO/IEC 27036-1:2021 Ueberblick und Konzepte – offizielle ISO-Seite zu Teil 1.ISO/IEC 27036-2:2022 Anforderungen – normativer Kern fuer Lieferanten- und Akquirierenden-Beziehungen.ISO/IEC 27036-3:2023 Leitlinien fuer die Sicherheit der Hardware-, Software- und Dienstleistungs-Lieferkette.ISO/IEC 27036-4:2016 Leitlinien fuer die Sicherheit von Cloud-Diensten.
Passende VamiSec-Leistungen
Haeufige Fragen
ISO/IEC 27036 kompakt beantwortet
Kann man sich nach ISO/IEC 27036 zertifizieren lassen?
Nein. ISO/IEC 27036 ist ein Leitlinien- und Anforderungsrahmen und nicht eigenstaendig zertifizierbar. Die Zertifizierung erfolgt ueber ISO/IEC 27001; ISO/IEC 27036 untersetzt dort die Lieferanten-Controls A.5.19–A.5.23 methodisch.
Wie haengt ISO/IEC 27036 mit NIS2 zusammen?
NIS2 verlangt in Artikel 21 Abs. 2 lit. d ausdruecklich Massnahmen zur Lieferkettensicherheit. ISO/IEC 27036 liefert die anerkannte Methodik, um diese Pflicht strukturiert, dokumentiert und pruefbar umzusetzen.
Deckt die Norm auch das DORA-Drittparteirisiko ab?
Ja, normseitig. DORA fordert ein Management des IKT-Drittparteirisikos ueber den gesamten Vertragslebenszyklus – exakt die Lebenszyklus-Logik von ISO/IEC 27036 von der Planung bis zur Beendigung.
Welchen Teil brauchen wir zuerst?
Teil 2 (Anforderungen) ist der normative Kern und meist der Startpunkt. Teil 1 liefert das Begriffsgeruest, Teil 3 vertieft die ICT-Lieferkette und Teil 4 ist relevant, sobald Cloud-Dienste im Spiel sind.
Wie verhaelt sich ISO/IEC 27036 zum CRA?
Der Cyber Resilience Act adressiert vor allem Produkt- und Software-Lieferkettenpflichten der Hersteller. ISO/IEC 27036 liefert das organisatorische Rahmenwerk fuer die Beziehungen dahinter – beide ergaenzen sich.
Lieferketten- und Drittparteirisiko belastbar aufstellen
Wir bringen ISO/IEC 27036 in Ihre Prozesse – abgestimmt auf NIS2, DORA und Ihr bestehendes ISMS. Sprechen Sie mit unseren Beraterinnen und Beratern.