Governance für Änderungen an Unterauftragsverarbeitern bei SaaS- und MSP-Anbietern

Sarah, CISO eines schnell wachsenden FinTech-SaaS-Anbieters, öffnete eine scheinbar routinemäßige Serviceaktualisierung eines kritischen Infrastrukturlieferanten. Unter „Serviceoptimierungen“ stand ein Satz, der ihre Woche veränderte:

„Zur Verbesserung der Analyseleistung werden Workloads zur Datenverarbeitung mit Wirkung in 30 Tagen zu unserem neuen Partner DataCrunch Analytics migriert.“

Dreißig Tage. Ein neuer Analysepartner. Eine kurze Prüfung zeigte, dass der Anbieter außerhalb der EU ansässig war.

Das Engineering-Team sah darin eine normale Lieferantenverbesserung. Die Beschaffung ging davon aus, dass die bestehende Vereinbarung ausreichte. Customer Success hatte keine Mitteilungskampagne geplant. Legal hatte die Auswirkungen auf Datenübermittlungen nicht geprüft. Sarah erkannte sofort das eigentliche Problem: Ihr Unternehmen handelte für Hunderte von Finanzinstituten in Europa als Auftragsverarbeiter. Diese Kunden waren Verantwortliche nach GDPR. Einige hatten eine vorherige Mitteilung über neue Unterauftragsverarbeiter vertraglich vereinbart. Einige hatten Widerspruchsrechte. Mehrere unterlagen DORA-getriebenen Pflichten zu Auslagerungen und IKT-Drittparteienrisiken. Einige hatten strenge Standortzusagen, die nicht stillschweigend geändert werden durften.

An diesem Punkt stellen viele SaaS-Anbieter, MSPs, MSSPs und Cloud-Service-Provider fest, dass Governance für Unterauftragsverarbeiter keine administrative Datenschutzaufgabe ist. Sie ist Lieferantenrisikomanagement, Erfüllung vertraglicher Anforderungen, operationale Resilienz, Kundenkommunikation und Auditnachweis in einem einzigen Workflow.

Eine öffentliche Seite zu Unterauftragsverarbeitern reicht nicht aus. Eine Fußnote eines Lieferanten reicht nicht aus. Ein Sicherheitsfragebogen reicht nicht aus. Ein belastbarer Prozess muss zeigen, wer den Unterauftragsverarbeiter bewertet hat, welche Daten verarbeitet werden, welche Kunden betroffen sind, welche Vereinbarungen eine Mitteilung verlangen, ob Widersprüche vor der Nutzung bearbeitet wurden, wie Nachweise zu internationalen Übermittlungen verknüpft wurden und wo die abschließenden Nachweise aufbewahrt werden.

Clarysec behandelt dies als gesteuertes Kontrollmuster, nicht als Ad-hoc-E-Mail-Kette. Der Workflow verbindet Datenschutzmanagement, Lieferanten-Assurance, rechtliche Prüfung, IKT-Lieferkettenrisiko, Kundenbenachrichtigung und Auditnachweis über Clarysec-Richtlinien, Zenith Blueprint: 30-Schritte-Roadmap für Auditoren und Zenith Controls: Der Cross-Compliance-Leitfaden.

Warum Änderungen an Unterauftragsverarbeitern risikoreiche Lieferantenereignisse sind

Eine Änderung an Unterauftragsverarbeitern kann das Risikoprofil eines Services über Nacht verändern. Sie kann ändern, wo personenbezogene Kundendaten gehostet werden, von wo aus darauf zugegriffen wird, wer privilegierten Support-Zugriff hat, wie lange Protokolle aufbewahrt werden, wie Vorfälle eskaliert werden, welche Verantwortlichkeiten für Verschlüsselung gelten und ob ein neues Übermittlungsinstrument für internationale Datenübermittlungen erforderlich ist.

Bei SaaS- und Managed-Service-Providern befinden sich Unterauftragsverarbeiter häufig innerhalb der Produktbereitstellungskette. Dazu können Cloud-Hosting-Anbieter, Ticketplattformen, E-Mail-Zustelldienste, KI-Analysewerkzeuge, Plattformen für Hintergrundjobs, Observability-Anbieter, Support-Werkzeuge, Zahlungsdienstleister, Anbieter verwalteter Sicherheitsdienste und Datenanreicherungsdienste gehören. Viele dieser Anbieter berühren personenbezogene Kundendaten auch dann, wenn Teams sie als „Infrastruktur“- oder „Betriebs“-Werkzeuge beschreiben.

Unter GDPR ist dies relevant, weil Article 28 Auftragsverarbeiter verpflichtet, nachgelagerte Auftragsverarbeiter auf Grundlage der Genehmigung des Verantwortlichen zu steuern. Wird eine allgemeine schriftliche Genehmigung verwendet, muss der Auftragsverarbeiter den Verantwortlichen über beabsichtigte Hinzufügungen oder Ersetzungen informieren und dem Verantwortlichen Gelegenheit zum Widerspruch geben. Article 28(4) verlangt außerdem, dass dem Unterauftragsverarbeiter gleichwertige Datenschutzpflichten auferlegt werden. Article 5(2) ergänzt den Grundsatz der Rechenschaftspflicht; die Organisation muss die Einhaltung nachweisen können und darf sie nicht nur behaupten.

DORA erhöht die Anforderungen für Finanzdienstleistungen. Finanzunternehmen müssen IKT-Drittparteienrisiken als integralen Bestandteil ihres IKT-Risikomanagements steuern. Sie müssen Register vertraglicher Vereinbarungen führen, Konzentrationsrisiken bewerten, Unterauftragsketten verstehen, vertragliche Schutzmaßnahmen definieren, Audit- und Zugriffsrechte sichern, die Zusammenarbeit bei Vorfällen unterstützen und Exits planen. Selbst wenn ein SaaS-Anbieter nicht unmittelbar ein Finanzunternehmen ist, erwarten seine Finanzkunden Nachweise, weil sie DORA selbst erfüllen müssen.

NIS2 erweitert den Blick auf Sicherheit der Lieferkette und Rechenschaftspflicht des Managements. Article 21 verlangt geeignete technische, operationale und organisatorische Maßnahmen, einschließlich Sicherheit der Lieferkette, Behandlung von Informationssicherheitsvorfällen, Aufrechterhaltung des Geschäftsbetriebs, Zugriffskontrolle, Asset-Management, sichere Beschaffung und Wartung sowie Wirksamkeitsbewertung. Article 20 legt die Aufsichtspflicht beim Leitungsorgan. Für Cloud-Anbieter, Managed-Service-Provider, Anbieter verwalteter Sicherheitsdienste, Rechenzentrumsdiensteanbieter, Vertrauensdiensteanbieter, Online-Marktplätze, Suchmaschinen und bestimmte Kommunikationsdienste wird Transparenz zu Unterauftragsverarbeitern Teil der Cybersicherheits-Governance.

ISO/IEC 27001:2022 und ISO/IEC 27701:2025 machen dies operativ. ISO/IEC 27001:2022 verlangt, dass das ISMS Kontext, Anforderungen interessierter Parteien, Risiken, Behandlungspläne, operative Kontrollen und dokumentierte Information berücksichtigt. ISO/IEC 27701:2025 erweitert diese Managementsystemdisziplin auf Datenschutz-Informationsmanagement. Ein auf Auftragsverarbeiter ausgerichtetes PIMS muss zeigen, dass die nachgelagerte Verarbeitung personenbezogener Kundendaten verstanden, kontrolliert, vertraglich geregelt, überwacht und nachgewiesen wird.

Das Clarysec-Muster: auflisten, bewerten, mitteilen, widersprechen, vertraglich regeln, übermitteln, nachweisen

Das stärkste Governance-Modell für Unterauftragsverarbeiter ist einfach genug, damit operative Teams es einhalten können, und präzise genug, damit Auditoren es prüfen können. Clarysec verwendet sieben Verben:

1. Jeden aktuellen und geplanten Unterauftragsverarbeiter auflisten.
2. Datenschutz-, Sicherheits-, Resilienz- und Abhängigkeitsrisiken vor der Nutzung bewerten.
3. Kunden gemäß der anwendbaren Vereinbarung benachrichtigen.
4. Widersprüche innerhalb der vereinbarten Frist steuern.
5. DPA, Sicherheitsanhang und weiterzugebende Verpflichtungen aktualisieren.
6. Hosting-, Verarbeitungsort- und internationale Übermittlungsnachweise verknüpfen.
7. Nachweise in Datenschutz- und Lieferantenregistern aufbewahren.

Der erste operative Anker ist die Richtlinie zum Datenschutzmanagement für Auftragsverarbeiter, Unterauftragsverarbeiter und Drittparteien. Sie legt fest:

[Auftragsverarbeiter] Verantwortliche für Lieferanten bzw. Beschaffung MÜSSEN die Liste der Unterauftragsverarbeiter und Unterauftragnehmer, die zur Verarbeitung personenbezogener Daten im Auftrag von Kunden eingesetzt werden, vor der Nutzung in REG08 pflegen und REG08 innerhalb von 10 Geschäftstagen nach einer genehmigten Änderung aktualisieren.

Diese Klausel macht aus einer Liste von Unterauftragsverarbeitern ein gesteuertes Register. Sie legt auch den Zeitpunkt ausdrücklich fest: REG08 wird vor der Nutzung aktualisiert und anschließend innerhalb von 10 Geschäftstagen nach einer genehmigten Änderung fortgeschrieben.

Dieselbe Richtlinie macht Kundenbenachrichtigungen auditierbar:

[Auftragsverarbeiter] Verantwortliche für Lieferanten bzw. Beschaffung MÜSSEN den Kunden gemäß der anwendbaren Kundenvereinbarung vor der Nutzung über beabsichtigte neue oder ersetzende Unterauftragsverarbeiter informieren und die Mitteilung, die Widerspruchsfrist und das Ergebnis in REG08 dokumentieren.

Dieses Detail fehlt in vielen Programmen. Die Frage ist nicht nur, ob eine öffentliche Seite aktualisiert wurde. Die Frage ist, ob die richtigen Kunden auf die erforderliche Weise benachrichtigt wurden, bevor der Unterauftragsverarbeiter ihre personenbezogenen Daten verarbeitete, und ob Widerspruchsfrist und Ergebnis als Nachweise aufbewahrt wurden.

Die Richtlinie verbindet Änderungsgovernance außerdem mit Due Diligence:

[Alle] Verantwortliche für Lieferanten bzw. Beschaffung MÜSSEN Nachweise zur datenschutzbezogenen Due Diligence in REG08 abschließen, bevor sie eine Beziehung zu einem Auftragsverarbeiter, Unterauftragsverarbeiter oder einer Drittpartei auswählen, verlängern oder wesentlich ändern, die personenbezogene Daten verarbeitet oder darauf zugreift.

Eine wesentliche Änderung kann den Austausch von Infrastruktur, die Hinzunahme eines nachgelagerten Analyseanbieters, die Verlagerung von Hosting-Regionen, die Freischaltung von Support-Zugriff aus einem neuen Land, die Erweiterung von Datenkategorien oder die Änderung des Aufbewahrungsverhaltens eines Services umfassen.

Schließlich schließt die Richtlinie die Lücke bei weiterzugebenden vertraglichen Verpflichtungen:

[Auftragsverarbeiter] Verantwortliche für Lieferanten bzw. Beschaffung MÜSSEN sicherstellen, dass jeder Vertrag mit einem Unterauftragsverarbeiter weiterzugebende Verpflichtungen zu Datenschutz, Sicherheit, Unterstützung, Rückgabe, Löschung, Schnittstelle für Vorfälle und Verknüpfung mit Übermittlungsnachweisen enthält, bevor der Unterauftragsverarbeiter personenbezogene Daten verarbeitet.

Dies ist wichtig, weil ein allgemeiner Sicherheitsanhang nicht immer ausreicht. Auftragsverarbeiterspezifische Verpflichtungen müssen vor Beginn der Verarbeitung nachgelagert weitergegeben werden.

Wo Clarysec-Richtlinien Datenschutz, Lieferanten und Übermittlungen verbinden

Governance für Unterauftragsverarbeiter funktioniert nur, wenn Datenschutz, Recht, Lieferantensicherheit und operatives Änderungsmanagement dieselbe Nachweiskette verwenden.

Die Richtlinie zur rechtlichen und regulatorischen Einhaltung - KMU etabliert die Regel vor der Weitergabe:

Klauseln eines Auftragsverarbeitungsvertrags (DPA) oder gleichwertige Vertragsbedingungen müssen vereinbart sein, bevor personenbezogene oder sensible Daten weitergegeben werden.

Für Unternehmensumgebungen macht die Richtlinie zur rechtlichen und regulatorischen Einhaltung die Nachweiserwartung granularer, indem sie Folgendes verlangt:

Offenlegungen zu Unterauftragsverarbeitern und geografische Erklärungen zu Datenübermittlungen

Sie benennt außerdem Governance-Auslöser in Bezug auf:

Änderungen an Übermittlungsinstrumenten, Unterauftragsverarbeitern oder grenzüberschreitenden Datenflüssen

Die Richtlinie zur Lieferanten- und Drittparteiensicherheit legt fest:

Die Nutzung von Unterauftragnehmern unterliegt der vorherigen schriftlichen Zustimmung

Für kleinere Organisationen bietet die Richtlinie zur Lieferanten- und Drittparteiensicherheit - KMU eine skalierbare Fassung:

Beschränkungen für weitere Unterauftragsvergabe ohne Genehmigung

Sie macht auch die Neubewertung von Lieferantenänderungen ausdrücklich:

Alle Lieferantenänderungen – einschließlich Eigentumsverhältnissen, Servicetyp, Hosting-Standort oder Unterauftragsvergabe – müssen hinsichtlich Risikoauswirkung und vertraglicher Relevanz neu bewertet werden.

Die Richtlinie zu Datenschutz und Privatsphäre enthält:

Genehmigungsanforderungen für Unterauftragsverarbeiter

Die Richtlinie zum Management von Risiken aus Lieferantenabhängigkeiten ergänzt die Resilienzperspektive:

Offenlegung von Unterauftragnehmern: Der Lieferant muss uns über wesentliche Unterauftragnehmer und Änderungen daran informieren, insbesondere wenn dadurch zusätzliche Abhängigkeitsebenen entstehen.

Zusammen schaffen diese Richtlinien eine vollständige Betriebsregel: keine Weitergabe personenbezogener Daten ohne Vertragsbedingungen, keine verborgenen Unterauftragsverarbeiter, keine ungesteuerte Unterauftragsvergabe, keine ungeprüfte Änderung von Hosting oder Standort und keine Genehmigung ohne Übermittlungsnachweise, soweit relevant.

Wie Zenith Controls den Kontrollsatz für Lieferanten strukturiert

In Zenith Controls ordnet Clarysec die Governance für Änderungen an Unterauftragsverarbeitern primär den Lieferanten- und Rechtskontrollen nach ISO/IEC 27002:2022 zu. Das ist wichtig, weil es zeigt, dass Governance für Unterauftragsverarbeiter nicht nur ein Datenschutzprozess ist. Sie ist auch eine Kontrolle für Informationssicherheit, Lieferantenmanagement, Recht und Resilienz.

Zenith Controls beschreibt control 5.22, „Überwachung, Überprüfung und Änderungsmanagement von Lieferantendiensten“, als präventive Kontrolle zur Unterstützung von Vertraulichkeit, Integrität und Verfügbarkeit, ausgerichtet am Cybersicherheitskonzept „Identify“ und an operativen Fähigkeiten für Sicherheit in Lieferantenbeziehungen und Informationssicherheits-Assurance. Genau das erfordert eine Änderung an Unterauftragsverarbeitern: Änderung identifizieren, Risiko neu bewerten, vertragliche Abdeckung bestätigen und Assurance-Nachweise aufbewahren.

Für control 5.20 beschreibt Zenith Controls Lieferantenvereinbarungen als präventive Kontrollen zur Abdeckung von Vertraulichkeit, Integrität und Verfügbarkeit. Hier gehören DPA-Bedingungen, Sicherheitsanhänge, Klauseln zur Unterauftragsvergabe, Auditrechte, Unterstützung bei Vorfällen, Rückgabe und Löschung sowie Verpflichtungen zur Verknüpfung mit Übermittlungsnachweisen hin.

Bei control 5.21 ist die Lieferkettenperspektive relevant, weil ein Unterauftragsverarbeiter eine Fourth-Party-Abhängigkeit schaffen kann. Ein SaaS-Anbieter kann auf einen Infrastrukturanbieter angewiesen sein, der wiederum einen Datenanalyseanbieter nutzt, der wiederum eine weitere Cloud-Region oder einen Support-Partner einsetzt. Die Organisation muss die Kette gut genug verstehen, um Risiken, Kundenverpflichtungen und Exit-Optionen steuern zu können.

Die 30-Schritte-Roadmap: Richtlinie in ein operatives Verfahren überführen

Der Zenith Blueprint verortet Lieferanten- und nachgelagerte Risiken in Schritt 23, Organisatorische Maßnahmen. Er erläutert, dass Lieferantenvereinbarungen typischerweise Vertraulichkeit, Zugriffskontrolle, technische und organisatorische Maßnahmen, Fristen zur Meldung von Informationssicherheitsvorfällen, Auditrechte, Kontrollen für Unterauftragnehmer und Regelungen zum Vertragsende adressieren. Der Blueprint nennt einen entscheidenden Punkt:

Die Struktur der Vereinbarung ist relevant. Diese Klauseln können in einem Master Services Agreement, einem dedizierten Auftragsverarbeitungsvertrag (DPA) oder einem eigenständigen Sicherheitsanhang stehen. Entscheidend ist, dass sie vorhanden sind und von beiden Parteien verstanden und akzeptiert werden.

Der Blueprint beschreibt außerdem, was Teams bei Unterauftragnehmern tun sollen:

Identifizieren Sie für jeden kritischen Lieferanten, ob er Unterauftragnehmer (Unterauftragsverarbeiter) einsetzt, die auf Ihre Daten oder Systeme zugreifen können. Dokumentieren Sie, wie Ihre Anforderungen an die Informationssicherheit an diese Parteien weitergegeben werden, entweder über die Vertragsbedingungen Ihres Lieferanten oder über eigene direkte Klauseln.

Für die Governance von Lieferantenänderungen ist die richtige operative Ausrichtung ISO/IEC 27002:2022 control 5.22:

Etablieren Sie ein einfaches, skalierbares Verfahren zur Bewertung von Änderungen an Lieferantendiensten (5.22), etwa Migration in die Cloud, neue Unterauftragsverarbeiter oder Infrastruktur-Redesign. Definieren Sie Auslöser, die eine erneute Sicherheitsbewertung erfordern.

Damit erhalten CISOs und DPOs einen praktikablen Weg. Schritt 23 definiert die Kontrollabsicht. REG08 erfasst Datenschutznachweise zu Auftragsverarbeitern, Unterauftragsverarbeitern und Drittparteien. REG09 erfasst Übermittlungsnachweise. Lieferantenverträge, DPAs und Änderungstickets verbinden den Workflow mit der operativen Realität.

Ein praktischer Workflow für Änderungsmitteilungen zu Unterauftragsverarbeitern

Ein Workflow für Änderungen an Unterauftragsverarbeitern sollte im besten Sinne unspektakulär sein. Jede Phase sollte einen Verantwortlichen, Nachweise und ein Gate haben, das eine vorzeitige Produktivnutzung verhindert.

Das zentrale Prinzip ist einfach: Die Kundenbenachrichtigung muss vor der Nutzung erfolgen, wenn die Vereinbarung dies verlangt. Die Aktualisierung einer öffentlichen Webseite nach der Implementierung kann Transparenz unterstützen, belegt jedoch keine kundenspezifische Mitteilung, vertragliche Genehmigung oder Widerspruchsbearbeitung.

Anwendung des Workflows auf Sarahs Krise

Sarahs Lieferantenmitteilung zu DataCrunch Analytics löst den vollständigen Prozess aus.

Erstens eröffnet der Lieferantenverantwortliche einen REG08-Änderungsdatensatz. Der Datensatz identifiziert CoreStack, DataCrunch Analytics, den Servicezweck, Auswirkungen auf Kundenmandanten, Verarbeitungsrolle, Datenkategorien, Verarbeitungsorte, Support-Zugriffsmodell, Aufbewahrungsfrist und ob besondere Kategorien personenbezogener Daten oder regulierte Daten von Finanzkunden betroffen sein können.

Zweitens führen Datenschutz und Sicherheit eine Due-Diligence-Prüfung durch. Sie prüfen die technischen und organisatorischen Maßnahmen von DataCrunch Analytics, Verschlüsselung, Zugriffskontrolle, Protokollierung, Vorfallmeldung, Löschfähigkeiten, Audit-Assurance, Liste der Unterauftragsverarbeiter und Sicherheitszertifizierungen. Da der Anbieter außerhalb der EU ansässig ist, ist die Standort- und Übermittlungsprüfung verpflichtend.

Drittens prüft Legal, ob Kunden-DPAs eine spezifische Genehmigung oder eine allgemeine Genehmigung mit vorheriger Mitteilung vorsehen. Kunden werden in Mitteilungsgruppen segmentiert: Standardkunden mit 30-tägiger Mitteilungsfrist, Unternehmenskunden mit 45-tägigen Widerspruchsfristen, Kunden mit erforderlicher spezifischer Genehmigung, eingeschränkte Kunden mit Standortbeschränkungen und nicht betroffene Kunden, deren Daten den Analyse-Workload nicht berühren.

Viertens werden Übermittlungsnachweise verknüpft. Die Richtlinie zum Datenschutzmanagement für Auftragsverarbeiter, Unterauftragsverarbeiter und Drittparteien verlangt:

[Beide] Verantwortliche für Lieferanten bzw. Beschaffung MÜSSEN Verarbeitungsorte, Hosting-Standorte und Indikatoren für internationale Übermittlungen in REG08 dokumentieren und anwendbare Übermittlungsnachweise mit REG09 verknüpfen, bevor sie einen Auftragsverarbeiter, Unterauftragsverarbeiter, eine Standortänderung oder eine übermittlungsrelevante Serviceänderung genehmigen.

Fünftens versendet Customer Success formelle Mitteilungen über genehmigte Kanäle. Jede Mitteilung enthält den beabsichtigten Unterauftragsverarbeiter, den Zweck, Datenkategorien, eine Standortzusammenfassung, das Wirksamkeitsdatum, die Widerspruchsfrist und den Kontaktweg.

Sechstens werden Widersprüche gesteuert. Wenn ein Finanzinstitut widerspricht, weil die Änderung eine kritische Funktion oder eine Drittlandübermittlung betrifft, bewertet Sarahs Team Alternativen: Ausschluss des Mandanten, Beibehaltung des alten Verarbeitungspfads, Vorgabe von ausschließlich EU-basiertem Support, Anpassung vertraglicher Schutzmaßnahmen oder Verschiebung der Änderung bis zur Klärung des Widerspruchs.

Siebtens erhält Engineering die Genehmigung nur für Mandanten und Workloads, die das Gate bestanden haben. Das Produktivänderungsticket verweist auf REG08, REG09, rechtliche Genehmigung, Nachweise zur Mitteilung und kundenspezifische Ausschlüsse. Nach der Produktivsetzung werden das interne Register, die öffentliche Seite zu Unterauftragsverarbeitern und das Vertragsrepository aktualisiert.

Das ist der Unterschied zwischen reaktiver Brandbekämpfung und belastbarer Governance.

Cross-Compliance-Zuordnung für eine Nachweiskette

Der Clarysec-Vorteil besteht darin, dass ein Workflow mehrere Rahmenwerke erfüllen kann, wenn Nachweise von Anfang an richtig konzipiert werden.

NIST CSF 2.0 ist als neutrale Strukturierungsebene nützlich. Seine GOVERN-Funktion umfasst das Verständnis rechtlicher, regulatorischer, vertraglicher, datenschutzbezogener und bürgerrechtlicher Verpflichtungen, die Zuweisung von Rollen, die Festlegung von Richtlinien, die Leistungsüberprüfung und das Management von Cybersicherheitsrisiken in der Lieferkette. Die Kategorie GV.SC erwartet Lieferantenrisikoprozesse, Kritikalität von Lieferanten, vertragliche Cybersicherheitsanforderungen, Due Diligence, Überwachung über den Lebenszyklus, Vorfallplanung und Aktivitäten nach Beendigung der Beziehung.

DORA ist für Finanzunternehmen stärker präskriptiv. Articles 28 to 30 verlangen IKT-Drittparteienrisikomanagement, Vertragsregister, Klassifizierung kritischer oder wichtiger Funktionen, Transparenz über Unterauftragsketten, Standorttransparenz, vertragliche Schutzmaßnahmen, Auditrechte, Zusammenarbeit bei Vorfällen und Exit-Planung. Wenn Ihre SaaS-Plattform Finanzkunden unterstützt, werden Ihre Nachweise zu Unterauftragsverarbeitern Teil ihres DORA-Nachweispakets.

NIS2 ergänzt die Rechenschaftspflicht des Managements. Article 20 verlangt, dass Leitungsorgane Maßnahmen zum Cybersicherheitsrisikomanagement genehmigen und deren Umsetzung überwachen. Article 21 verlangt Sicherheit der Lieferkette und die Bewertung der Cybersicherheitspraktiken von Lieferanten. Eine wesentliche Änderung an Unterauftragsverarbeitern sollte daher im Risikoreporting sichtbar sein und nicht in einem Beschaffungsordner verborgen bleiben.

Was Auditoren prüfen werden

Ein reifer Prozess für Unterauftragsverarbeiter schafft eine klare Linie von der Richtlinie zu den Nachweisen.

Ein ISO/IEC 27001:2022-Auditor beginnt beim ISMS-Geltungsbereich, den Anforderungen interessierter Parteien, Risiken, der Anwendbarkeitserklärung und den operativen Kontrollen. Voraussichtlich geprüft werden Lieferantenbeziehungen, Lieferantenvereinbarungen, IKT-Lieferkette, Lieferantenüberwachung und Änderungsmanagement, rechtliche Anforderungen, Cloud-Services, Datenschutz, Protokollierung und operatives Änderungsmanagement.

Ein ISO/IEC 27701:2025-PIMS-Auditor konzentriert sich auf Rollenklarheit. Sind Sie Auftragsverarbeiter, Verantwortlicher, gemeinsam Verantwortlicher oder je nach Service beides? Für Auftragsverarbeitungstätigkeiten wird er die Liste der Unterauftragsverarbeiter, Genehmigungsgrundlage, Nachweise zur Mitteilung, Widerspruchsbearbeitung, nachgelagerte Verträge, Übermittlungsnachweise, Unterstützung bei Löschung, Schnittstelle für Vorfälle und Überwachungsaufzeichnungen anfordern.

Ein GDPR-Datenschutzprüfer prüft die Rechenschaftspflicht. Er fragt, wer personenbezogene Daten verarbeitet, zu welchem Zweck, auf Grundlage welcher Vereinbarung, an welchem Standort, mit welchen Schutzmaßnahmen und mit welcher Kundentransparenz. Hat ein Kunde widersprochen, wird er fragen, was vor Beginn der Verarbeitung geschehen ist.

Ein DORA-Kundenauditor fragt, ob der Unterauftragsverarbeiter eine kritische oder wichtige Funktion unterstützt, ob Unterauftragsketten transparent sind, ob Datenstandorte dokumentiert sind, ob Unterstützung bei Vorfällen vertraglich zugesichert ist, ob Auditrechte weitergegeben werden, ob Konzentrationsrisiko berücksichtigt wurde und ob ein Exit möglich ist.

Ein NIS2-Prüfer konzentriert sich auf Sicherheit der Lieferkette, Managementaufsicht, Vorfallsbereitschaft und verhältnismäßige Kontrollen. Er kann fragen, wie Lieferantenänderungen erkannt werden, wie direkte Lieferanten bewertet werden, wie Lieferantenschwachstellen berücksichtigt werden und wie Vorfälle mit Auswirkungen auf Serviceempfänger eskaliert werden.

Der Nachweissatz sollte leicht rekonstruierbar sein:

• Genehmigter Änderungsantrag für Unterauftragsverarbeiter.
• REG08-Datensatz zur Due Diligence.
• Bewertung von Datenkategorie und Verarbeitungszweck.
• Nachweise zu Verarbeitungs- und Hosting-Standorten.
• REG09-Übermittlungsnachweise, sofern relevant.
• DPA- und Vertragsprüfung zu weiterzugebenden Verpflichtungen.
• Liste der Kundenbenachrichtigungen, Daten, Wortlaut und Zustellnachweis.
• Widerspruchsprotokoll und Nachweise zur Klärung.
• Produktivänderungsticket mit Verknüpfung zur Genehmigung.
• Aktualisierte Liste der Unterauftragsverarbeiter und Überwachungsplan.
• Risikoakzeptanz oder Ausnahmegenehmigung, sofern erforderlich.

Häufige Fehlermuster

Das erste Fehlermuster besteht darin, eine Seite zu Unterauftragsverarbeitern als vollständigen Prozess zu behandeln. Eine öffentliche Seite unterstützt Transparenz, belegt jedoch keine kundenspezifische Mitteilung, Widerspruchsbearbeitung oder Genehmigung.

Das zweite Fehlermuster ist die Trennung von Datenschutz-, Sicherheits- und Beschaffungsnachweisen. Datenschutz kann den DPA genehmigen, Sicherheit kann einen SOC 2-Bericht prüfen und Beschaffung kann den Vertrag ablegen, aber kein einzelner Datensatz verbindet die Entscheidung.

Das dritte Fehlermuster ist fehlende Verknüpfung mit Übermittlungsnachweisen. Teams erfassen den Lieferantennamen, aber nicht Verarbeitungsorte, Hosting-Standorte, Support-Standorte, Indikatoren für internationale Übermittlungen oder REG09-Nachweise.

Das vierte Fehlermuster ist die Produktivfreigabe vor Ablauf der Widerspruchsfristen. Sobald personenbezogene Kundendaten durch den neuen Unterauftragsverarbeiter verarbeitet werden, kann die Organisation die Vereinbarung bereits verletzt haben.

Das fünfte Fehlermuster sind schwache weiterzugebende Verpflichtungen. Der direkte Lieferant akzeptiert starke Bedingungen, seine nachgelagerten Anbieter sind jedoch nicht an gleichwertige Verpflichtungen zu Datenschutz, Sicherheit, Unterstützung, Rückgabe, Löschung, Vorfällen, Audit und Übermittlungen gebunden.

Das sechste Fehlermuster ist mangelhafte Änderungserkennung. Ein Lieferant ändert Eigentumsverhältnisse, Hosting-Standort, Servicetyp, Supportmodell oder Unterauftragskette, und niemand bewertet das Risiko neu.

Das siebte Fehlermuster ist ein fehlender Prüfpfad. Teams erinnern sich an die Entscheidung, können aber nicht nachweisen, wann sie getroffen wurde, wer sie genehmigt hat, welche Kunden benachrichtigt wurden und wie Widersprüche geklärt wurden.

Managementberichterstattung für CISOs und DPOs

Governance für Unterauftragsverarbeiter sollte Managementinformationen erzeugen, nicht nur Compliance-Artefakte.

Diese Berichterstattung passt zum Managementsystemmodell. ISO/IEC 27001:2022 erwartet Führung, operative Kontrolle, Leistungsbewertung und kontinuierliche Verbesserung. DORA und NIS2 erhöhen die Rechenschaftspflicht des Managements. Governance für Unterauftragsverarbeiter sollte in Datenschutz-Lenkungssitzungen, Lieferantenrisikoüberprüfungen, der ISMS-Managementbewertung und, soweit relevant, im IKT-Risikoreporting erscheinen.

Erstellen Sie Ihr Nachweispaket für Änderungen an Unterauftragsverarbeitern

Beginnen Sie mit einer aktuellen Lieferantenänderung und prüfen Sie, ob Ihre Organisation diese Fragen beantworten kann:

• Wurde der Anbieter als Auftragsverarbeiter, Unterauftragsverarbeiter, Lieferant, IKT-Anbieter oder in mehreren dieser Rollen identifiziert?
• Wurde REG08 oder ein gleichwertiges Register vor der Nutzung aktualisiert?
• Wurden Verarbeitungsorte und Hosting-Standorte dokumentiert?
• Wurden Indikatoren für internationale Übermittlungen bewertet?
• Wurden Übermittlungsnachweise mit REG09 oder einer gleichwertigen Datei verknüpft?
• Enthielt der Vertrag weiterzugebende Verpflichtungen zu Datenschutz, Sicherheit, Unterstützung, Rückgabe, Löschung, Vorfällen, Audit und Übermittlungen?
• Wurden Kunden gemäß ihren Vereinbarungen benachrichtigt, bevor die Verarbeitung begann?
• Wurden Widerspruchsfristen verfolgt und geklärt?
• Wurde die Produktivfreigabe bis zur Genehmigung blockiert?
• Könnte ein Auditor den Entscheidungsverlauf in weniger als 30 Minuten rekonstruieren?

Wenn die Antwort nein lautet, ist die Lücke nicht nur rechtlicher Natur. Sie ist operativ, vertraglich, lieferantenrisikobezogen, datenschutzbezogen und betrifft die Auditbereitschaft.

Clarysec hilft Teams, diese Lücke schnell zu schließen. Nutzen Sie Zenith Blueprint, um Governance für Unterauftragsverarbeiter in Ihre ISMS- und PIMS-Umsetzungsroadmap einzuordnen. Nutzen Sie Zenith Controls, um Kontrollen zu Lieferantenbeziehungen, Lieferantenvereinbarungen, IKT-Lieferkette, Lieferantenänderungen, Cloud-Services und rechtlichen Anforderungen über ISO/IEC 27001:2022, ISO/IEC 27701:2025, GDPR, DORA, NIS2, NIST CSF 2.0 und COBIT 2019 hinweg zuzuordnen. Nutzen Sie die Richtlinie zum Datenschutzmanagement für Auftragsverarbeiter, Unterauftragsverarbeiter und Drittparteien, die Richtlinie zur Lieferanten- und Drittparteiensicherheit, die Richtlinie zur rechtlichen und regulatorischen Einhaltung, die Richtlinie zu Datenschutz und Privatsphäre und die Richtlinie zum Management von Risiken aus Lieferantenabhängigkeiten, um die Zuordnung in die tägliche Umsetzung zu überführen.

Warten Sie nicht auf die überraschende Fußnote in einer Lieferanten-E-Mail. Bauen Sie Workflow, Nachweispaket und Kontrollzuordnung jetzt auf, damit jede Änderung an Unterauftragsverarbeitern zum Nachweis reifer Governance wird – statt zur Compliance-Krise.