Wozu sie dient
Die Bewertung zeigt, welche Lieferanten gut liefern und wo Risiken liegen. Sie ist Grundlage für Auswahl, Entwicklung und Trennung.
Qualitätsmanagement nach ISO 9001 verlangt Kriterien für Auswahl, Bewertung und Überwachung externer Anbieter. Mit NIS2 kommt die Informationssicherheit dazu (§ 32 Abs. 4 lit. d NISG 2026).
Kriterien
| Bereich | Typische Kriterien | Woher die Daten kommen |
|---|---|---|
| Qualität | Fehlerquote, Reklamationen, Zertifikate wie ISO 9001 | Wareneingang, Reklamationen |
| Lieferung | Termintreue, Liefermenge, Reaktionszeit | Bestellungen, Warenwirtschaft |
| Preis und Kosten | Preisentwicklung, Zahlungsbedingungen, Gesamtkosten | Einkauf, Buchhaltung |
| Informationssicherheit | Fragebogen, Zertifikat wie ISO/IEC 27001, öffentliche Konfiguration | Lieferant, Außenprüfung |
| Compliance | Sanktionslisten, Verhaltenskodex, Auftragsverarbeitungsvertrag | Listen, Verträge |
| Finanzielle Stabilität | Stammdaten, Insolvenzhinweise, Bonität | Amtliche Verzeichnisse, Datenpartner |
| Nachhaltigkeit | Umweltzertifikate, Menschenrechte, Länderrisiko | Lieferant, Länderindizes |
Ablauf in sechs Schritten
- Ziel und Umfang festlegenKlären Sie, wozu Sie bewerten: Auswahl, Steuerung oder Nachweis für eine Prüfung.
- Lieferanten einstufenKombinieren Sie Einkaufsvolumen (ABC-Analyse) mit Risiko. Ein kleiner IT-Dienstleister mit Admin-Zugang kann kritischer sein als ein großer Materiallieferant.
- Kriterien und Gewichtung wählenWählen Sie je Gruppe fünf bis sieben Kriterien. Mehr Kriterien machen die Bewertung selten besser.
- Daten sammelnNutzen Sie zuerst vorhandene Daten aus Einkauf und Qualität. Fragen Sie den Lieferanten nur, was Sie nicht selbst wissen.
- Bewerten und einordnenFassen Sie das Ergebnis in Klassen zusammen, etwa A bis D. Schreiben Sie zu jeder Klasse, was daraus folgt.
- Maßnahmen und Rhythmus festlegenVereinbaren Sie Verbesserungen mit Frist. Legen Sie fest, wann Sie wieder bewerten.
Gewichtung: ein Beispiel
Gewichten Sie nach Bedeutung für Ihr Geschäft. Ein IT-Dienstleister mit Zugriff auf Ihre Systeme braucht mehr Gewicht bei der Sicherheit.
| Kriterium | Produktionslieferant | IT-Dienstleister |
|---|---|---|
| Qualität | 35 % | 15 % |
| Lieferung | 25 % | 15 % |
| Preis und Kosten | 15 % | 15 % |
| Informationssicherheit | 10 % | 40 % |
| Compliance | 10 % | 10 % |
| Finanzielle Stabilität | 5 % | 5 % |
Die Werte sind ein Beispiel, keine Norm. Passen Sie sie an Ihr Risiko an.
Wie oft Sie bewerten
Richten Sie den Rhythmus nach dem Risiko. Ein bewährtes Muster:
- Kritische Lieferanten: jährlich, dazu laufende Überwachung.
- Hohes Risiko: alle zwei Jahre.
- Mittleres und geringes Risiko: alle drei Jahre.
- Sofort neu bei einem Vorfall, einem neuen Eigentümer oder einer neuen Leistung.
Lieferantenaudit: wann es sich lohnt
Ein Audit prüft vor Ort oder per Video, ob Angaben stimmen. Es kostet beide Seiten Zeit.
Sinnvoll ist es bei kritischen Lieferanten, nach Vorfällen oder bei Zweifeln an Nachweisen.
Ein Audit folgt einem Plan: Umfang, Fragen, Belege, Bericht und Maßnahmen mit Frist.
Vorlage: Bewertungsbogen je Lieferant
Diese Felder braucht ein Bewertungsbogen. Sie passen in jede Tabelle.
- Lieferant, Leistung, Ansprechperson und Domain.
- Einstufung: Einkaufsvolumen und Risiko, daraus die Klasse.
- Je Kriterium: Punkte von 0 bis 100, Gewicht und Quelle der Daten.
- Gesamtergebnis mit Klasse A bis D.
- Nachweise mit Ablaufdatum, etwa Zertifikate.
- Offene Maßnahmen mit Frist und verantwortlicher Person.
- Datum der Bewertung, bewertende Person, nächster Termin.
- Kurze Begründung, warum die Klasse so ausfällt.
Sie dürfen diese Liste frei übernehmen und anpassen.
Häufige Fragen
Was ist der Unterschied zwischen Lieferantenbewertung und Lieferantenaudit?
Die Bewertung beurteilt laufend nach Kriterien, meist aus vorhandenen Daten. Das Audit prüft gezielt vor Ort oder per Video, ob Angaben stimmen. Ein Audit ist eine mögliche Quelle der Bewertung.
Welche Kriterien sind Pflicht?
Feste Kriterien gibt es nicht. ISO 9001 verlangt eigene Kriterien, legt sie aber nicht fest. Für NIS2-Einrichtungen gehört die Cybersicherheitspraxis der Anbieter dazu (§ 32 Abs. 4 lit. d NISG 2026).
Reicht eine Excel-Vorlage?
Für wenige Lieferanten ja. Mit vielen Lieferanten fehlen in Tabellen oft Erinnerungen, Ablaufdaten und ein Protokoll der Änderungen.
Wer sollte bewerten?
Einkauf, Fachbereich und bei IT-Lieferanten die Informationssicherheit gemeinsam. Jede Stelle bewertet die Kriterien, die sie beurteilen kann.
Quellen
- NISG 2026, § 32 Abs. 4 lit. d, BGBl. I Nr. 94/2025
- ISO 9001:2015, Abschnitt 8.4, Steuerung extern bereitgestellter Prozesse, Produkte und Dienstleistungen
Rechtsquellen geprüft am 31.10.2026. Rechtsinformation, keine Rechtsberatung. Für Ihren Einzelfall fragen Sie bitte eine Fachperson.