Supplier- & Vendor-Portal fürstrukturiertes TPRM
Ihre Lieferanten füllen Fragebögen selbst aus und laden Nachweise hoch. Das Risiko bewertet Core dann von selbst. Das lange Hin und Her per E-Mail fällt weg. So wird das Portal zur Software für Ihr Lieferantenmanagement in der Informationssicherheit.
Portal-Funktionen
- Fragebögen zum Selbstausfüllen
- Nachweise hochladen
- Risiko in Punkten
- Vorlagen nach SIG und CAIQ
- Übersicht je Lieferant
- Ablauf für die Geheimhaltung (NDA)
Funktionen im Überblick
So steuern Sie die Risiken durch Dritte nach festem Plan. Das klappt beim kleinen Zulieferer wie beim weltweiten Konzern.
Vorlagen für Fragebögen (SIG, CAIQ)
Fertige Vorlagen wie SIG Lite, SIG Core, CAIQ und TISAX sind dabei. Sie nutzen sie direkt, passen sie an oder bauen im Editor eigene Fragebögen.
Portal für Lieferanten
Jeder Lieferant erhält einen persönlichen Link per E-Mail. Ein Konto braucht er nicht. Er füllt den Fragebogen in seinem Tempo aus. Das Portal zeigt Ihre Marke.
Nachweise hochladen
Zertifikate, Testate, Richtlinien und andere Belege lädt der Lieferant direkt bei der passenden Frage hoch.
Bewertung von selbst
Core gewichtet die Antworten und bildet daraus einen Wert für das Risiko. Eine Ampel zeigt niedrig, mittel oder hoch. Dazu kommen Trend, Vergleich mit ähnlichen Firmen und kritische Lücken.
Feste Termine zur Prüfung
Das Prüfintervall richtet sich nach der Stufe: 12 Monate bei „Intensiv“, 36 Monate bei „Standard“. „Basis“-Lieferanten prüfen Sie bei Anlass. Erinnerungen gehen von selbst raus.
Übersichten und Warnungen
Die Leitung sieht, wie sich die Risiken verteilen. Sie sieht auch, welche Prüfungen überfällig sind und wo es ernste Befunde gibt. Verschlechtert sich ein Wert, kommt eine Warnung.
Ihre Vorteile
Lieferanten zu prüfen, kostet oft viel Handarbeit. Mit dem Portal läuft das meiste von selbst. Das gilt von der ersten Bewertung bis zur nächsten Prüfung.
- Passt für 10 bis über 1.000 Lieferanten
- Weniger Arbeit, weil Lieferanten selbst ausfüllen
- Gleiche, klare Bewertung des Risikos für jeden Lieferanten
- Nachweise an einem Ort, mit jeder Version, statt Anhänge in Mails
- Hilft bei den Vorgaben von NIS2, DORA und DSGVO zur Lieferkette
Anwendungsfälle
Neue Lieferanten aufnehmen
Bevor Sie mit einem neuen Lieferanten arbeiten, durchläuft er eine feste Prüfung der Sicherheit. Fragebogen und NDA laufen online.
Lieferkette nach NIS2
NIS2 verlangt, dass Sie Ihre wichtigen Zulieferer bewerten. Das Portal hilft Ihnen dabei.
Regelmäßige Prüfung
Folgebewertungen nutzen dieselbe Checkliste. Das Intervall richtet sich nach der Stufe. So bleiben die Daten zu Ihren Lieferanten aktuell.
Vorauswahl bei Ausschreibungen
Mögliche Lieferanten füllen schon in der Ausschreibung einen Fragebogen aus. So sehen Sie früh, wer passt.
So funktioniert das Lieferanten-Portal in der Praxis
SecTepe.Core führt jeden Lieferanten durch feste Schritte. Ein neuer Lieferant beginnt als Entwurf. Dann folgen Vorprüfung und Bewertung, am Ende Freigabe oder Ablehnung. Core protokolliert jeden Statuswechsel mit Person, Zeitpunkt und Grund.
Die Erstbewertung
Drei Ja-Nein-Fragen legen fest, wie tief die Prüfung geht. Erhält der Lieferant Zugang zu Ihren Systemen oder Ihrem Netz? Verarbeitet er Ihre vertraulichen Daten? Steht ein Kernprozess still, wenn der Lieferant ausfällt?
- Kein Ja: Stufe „Basis“ mit 4 Fragen.
- Ein Ja: Stufe „Standard“ mit 9 Fragen.
- Zwei Ja oder ein Ja bei der dritten Frage: Stufe „Intensiv“ mit 12 Fragen.
Jede Frage bezieht sich auf Kontrollen aus Anhang A der ISO 27001. Ein gültiges ISO-27001-Zertifikat des Lieferanten beantwortet manche Fragen für Sie. Core prüft dazu Nummer, akkreditierte Stelle, Geltungsbereich und Ablaufdatum. Freigeben können Sie einen Lieferanten erst, wenn diese Bewertung fertig ist.
Fragebögen und Dokumente
Den Fragebogen senden Sie als persönlichen Link per E-Mail. Der Lieferant braucht kein Konto. Standardmäßig läuft der Link nach 30 Tagen ab. Core gewichtet die Antworten und bildet einen Wert. Ab 80 Punkten ist das Risiko niedrig, ab 60 mittel. Darunter ist es hoch.
Für jeden Lieferanten legen Sie fest, welche Dokumente Sie brauchen, etwa Zertifikate. Jedes Dokument hat ein Gültigkeitsdatum. Ist es vorbei, markiert Core das Dokument als abgelaufen. Sie können auch nach Dokumenten filtern, die bald ablaufen.
Prüfungen, Bedrohungen und Datenhoheit
- Die Stufe bestimmt die nächste Prüfung. Lieferanten der Stufe „Intensiv“ sind nach 12 Monaten wieder dran, „Standard“ nach 36 Monaten. „Basis“-Lieferanten prüfen Sie nur bei Anlass erneut.
- Core kann Lieferanten mit Bedrohungsdaten aus seinem Wissensgraphen zu Cyber-Bedrohungen abgleichen. Treffer werden zu Warnungen, die Sie bestätigen oder schließen.
- Sie können Core selbst betreiben, in Containern auf Ihren Servern oder auf Kubernetes. Jeder Lieferant gehört zu genau einem Mandanten.
Häufige Fragen
Kann ich einen Lieferanten ohne Bewertung freigeben? Nein. Core sperrt die Freigabe, bis die Erstbewertung fertig ist.
Was passiert mit alten Befunden? Sie können beliebig viele Folgebewertungen durchführen. Sie nutzen dieselbe Checkliste. Schließen Sie eine ab, schließt Core die offenen Befunde der vorigen. Jeder Befund gilt dann als übernommen, behoben oder nicht mehr geprüft.
Kann ein abgelehnter Lieferant neu starten? Ja. Er kann zurück in den Entwurf und die Schritte erneut durchlaufen.
Wollen Sie Ihre Lieferanten einfacher prüfen?
In einer Demo zeigen wir Ihnen, wie SecTepe.Core die Prüfung Ihrer Lieferanten ordnet. Vieles läuft dann von selbst.
So arbeiten wir mit Ihnen zusammen
Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.
1. Erstes Gespräch, kostenlos
Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.
2. Bestandsaufnahme
Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.
3. Umsetzung mit festem Kontakt
Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.
4. Betrieb und Prüfung
Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.
Häufige Fragen
Diese Fragen hören wir oft im ersten Gespräch. Für alles andere schreiben Sie an hello@sectepe.de oder rufen Sie uns an.
- Wie starten wir eine Zusammenarbeit mit SecTepe?
- Jedes Projekt beginnt mit einem kostenlosen Gespräch. Danach bekommen Sie ein Angebot mit Aufwand, Zeitplan und Ergebnis. Auf Wunsch starten wir klein, mit einem Test. So lernen Sie uns kennen, bevor es richtig losgeht.
- Für welche Firmen und Branchen arbeiten Sie?
- Wir arbeiten für kleine und mittlere Firmen, für Teile großer Konzerne und für Betreiber kritischer Anlagen (KRITIS). Oft sind das Industrie, Handwerk, Gesundheit, Banken, Energie und Behörden. Der Kern ist der Mittelstand in Deutschland, Österreich und der Schweiz.
- Arbeiten Sie vor Ort, remote oder hybrid?
- Beides. Prüfungen, Beratung und die meisten Dienste laufen aus der Ferne, aus deutschen Rechenzentren. Für Workshops, Schulungen und Notfälle kommen wir vor allem in NRW, im Rheinland und im Ruhrgebiet zu Ihnen. Wenn nötig, fahren wir auch weiter.
- Nach welchen Normen arbeiten Sie?
- Wir arbeiten nach ISO 27001:2022, BSI IT-Grundschutz, TISAX, B3S KRITIS, NIS2 und DORA und nach den Regeln einzelner Branchen. Unsere Methoden stützen sich auf bekannte Rahmenwerke wie NIST CSF, MITRE ATT&CK, OWASP und OSSTMM. Wir wählen sie je nach Projekt.
- Wie schützen Sie die Vertraulichkeit meiner Daten?
- Durch Vertrag und durch Technik. Vor jedem Projekt unterschreiben beide Seiten eine Pflicht zur Geheimhaltung. Ihre Daten bleiben in deutschen Rechenzentren. Jeder Zugriff braucht eine Anmeldung mit zweitem Faktor und wird einzeln geprüft. Unser ganzes Team ist per Vertrag und nach DSGVO zum Schweigen verpflichtet.