Glossar Lieferantenrisiko

Auftragsverarbeitungsvertrag (AVV)

Vertrag mit einem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Art. 28 Abs. 3 DSGVO nennt den Mindestinhalt, etwa Gegenstand, Dauer, Zweck und Datenarten. Mehr dazu: Datenschutz und DSGVO

Außenprüfung

Passive Prüfung von außen: Sie liest nur, was öffentlich sichtbar ist, etwa DNS-Einträge, Verschlüsselung und Sicherheits-Header. Keine Portscans, keine Angriffe. Mehr dazu: Selbsttest

CSDDD

EU-Richtlinie über Sorgfaltspflichten von Unternehmen im Hinblick auf Nachhaltigkeit, (EU) 2024/1760. Sie gilt für sehr große Unternehmen, unter anderem mit mehr als 5.000 Beschäftigten und mehr als 1,5 Mrd. Euro Umsatz weltweit (Art. 2 Abs. 1 lit. a). Umsetzung bis 26.7.2028, Anwendung ab 26.7.2029 (Art. 37 Abs. 1). Mehr dazu: ESG und Menschenrechte

DORA

EU-Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie gilt seit 17.1.2025 (Art. 64) und regelt auch das IKT-Drittparteienrisiko. Mehr dazu: DORA und IKT-Drittdienstleister

Due Diligence

Sorgfaltsprüfung eines Geschäftspartners, vor dem Vertrag und danach in Abständen.

Einrichtung, wesentliche oder wichtige

Unternehmen und Stellen, für die das NISG 2026 Pflichten zur Cybersicherheit festlegt. Sie müssen auch ihre Lieferkette absichern (§ 32 NISG 2026). Mehr dazu: NIS2 und NISG 2026 in der Lieferkette

Firmenbuch

Öffentliches Register der Unternehmen in Österreich. Es enthält etwa Firmenbuchnummer, Rechtsform, Sitz und vertretungsbefugte Personen.

IKT-Drittdienstleister

Anbieter von Informations- und Kommunikationstechnik für ein Finanzunternehmen, etwa Cloud, Software oder Rechenzentrum. Begriff aus DORA.

ISO/IEC 27001

Internationale Norm für Managementsysteme der Informationssicherheit. Ein Zertifikat zeigt, dass eine akkreditierte Stelle das System geprüft hat. Achten Sie auf Geltungsbereich und Ablaufdatum.

Klumpenrisiko

Viele Lieferanten oder Leistungen hängen am selben Anbieter. Fällt er aus, trifft es Sie mehrfach. DORA nennt das Konzentrationsrisiko (Art. 29). Mehr dazu: Resilienz

LEI

Legal Entity Identifier, eine weltweit eindeutige Kennung für Unternehmen. Das offene Verzeichnis der GLEIF zeigt Name, Anschrift und oft die Muttergesellschaft. Mehr dazu: Finanzen

Lieferantenbewertung

Regelmäßige Beurteilung von Lieferanten nach festen Kriterien, etwa Qualität, Lieferung, Kosten und Sicherheit. Mehr dazu: Lieferantenbewertung

Lieferantenmanagement

Steuerung der Lieferanten von Auswahl über Zusammenarbeit bis Trennung. Das Risikomanagement ist ein Teil davon. Mehr dazu: Third-Party-Risk-Management (TPRM)

Lieferantenportal

Webzugang, über den Lieferanten Fragebögen beantworten, Nachweise hochladen und Befunde richtigstellen. Mehr dazu: Informationssicherheit und NIS2

Lieferantenselbstauskunft

Angaben eines Lieferanten zu Stammdaten, Kontakten, Zertifikaten und Grundsätzen nach Ihren Fragen. Mehr dazu: Lieferantenselbstauskunft und Fragebogen

Lieferkettengesetz

Umgangssprachlich für Gesetze zu Sorgfaltspflichten in der Lieferkette. Auf EU-Ebene ist das die CSDDD.

Nachweis

Beleg für eine Angabe, etwa ein Zertifikat, ein Testprotokoll oder ein Vertrag. Gute Nachweise haben ein Ablaufdatum.

NIS2

Richtlinie (EU) 2022/2555 für ein hohes Cybersicherheitsniveau in der EU. Art. 21 Abs. 2 lit. d verlangt die Sicherheit der Lieferkette. Mehr dazu: NIS2 und NISG 2026 in der Lieferkette

NISG 2026

Netz- und Informationssystemsicherheitsgesetz 2026, BGBl. I Nr. 94/2025. In Kraft seit 1.10.2026, die Lieferkette regelt § 32 Abs. 4 lit. d. Mehr dazu: NIS2 und NISG 2026 in der Lieferkette

Note

Ergebnis einer Bewertung von A bis E. Bei uns hat jede Note einen Rechenweg: jedes Signal mit Quelle und Datum. Mehr dazu: Methodik

Sanktionsliste

Amtliche Liste von Personen und Organisationen, gegen die Sanktionen gelten. Herausgeber sind etwa die EU, die UN, die USA, Großbritannien und die Schweiz. Mehr dazu: Sanktionslisten prüfen

security.txt

Datei auf einer Website, die nennt, wohin man Sicherheitslücken meldet. Festgelegt in RFC 9116.

SPF und DMARC

Einträge im DNS, die gefälschte Absender von E-Mails erschweren. Sie gehören zu den Grundlagen der Außenprüfung. Mehr dazu: Selbsttest

Tier

Einstufung eines Lieferanten von 1 (kritisch) bis 4 (gering). Sie folgt aus Daten, Zugriff, Bedeutung, Ersatz und Auftragsvolumen und bestimmt die Prüftiefe.

TISAX

Prüf- und Austauschverfahren für Informationssicherheit, verbreitet in der Automobilindustrie.

TPRM

Third-Party-Risk-Management: Risiken durch Dritte erkennen, bewerten, überwachen und belegen. Deutsch meist Lieferantenrisikomanagement. Mehr dazu: Third-Party-Risk-Management (TPRM)

UID-Nummer

Umsatzsteuer-Identifikationsnummer. Ob sie gültig ist, zeigt VIES, das Verzeichnis der Europäischen Kommission. Mehr dazu: Finanzen

Viertparteien

Die Lieferanten Ihrer Lieferanten, etwa ein gemeinsamer Cloud-Anbieter. Mehr dazu: Resilienz

Rechtsinformation, keine Rechtsberatung. Für Ihren Einzelfall fragen Sie bitte eine Fachperson.