Wissen, mit wem Du wirklich zusammenarbeitest
Wir prüfen Lieferanten, Dienstleister und Geschäftspartner vor Vertragsschluss und danach laufend. Der Fokus liegt auf Unternehmen und deren Organen, nicht auf Deinen Mitarbeitenden.
Eine Prüfung zum Vertragsbeginn ist eine Momentaufnahme. Risiko entsteht danach.
Scheinfirmen, Briefkastenadressen und kurzfristig gegründete Gesellschaften sind aus Angebotsunterlagen nicht zu erkennen.
Insolvenzsignale, Gesellschafterwechsel und Sanktionslistentreffer entstehen während der Zusammenarbeit, nicht davor.
Der Sicherheitsreifegrad Deiner Dienstleister wird Teil Deines eigenen Risikos, sobald sie Zugriff auf Deine Systeme oder Daten haben.
Existenz und Struktur
- Handelsregisterauszug, Gründungsdatum, Vertretungsverhältnisse und tatsächliche Geschäftstätigkeit
- Wirtschaftlich Berechtigte, Beteiligungsketten und Verflechtungen zwischen Partnern
- Erkennung von Scheinfirmen, Briefkastenadressen und Sitzverlegungen kurz vor Auftragsvergabe
Risiko- und Bonitätssignale
- Screening gegen einschlägige Sanktionslisten, inklusive Treffer bei Organen und Gesellschaftern
- Insolvenz-, Zahlungs- und Bonitätssignale mit laufender Überwachung statt Einmalabfrage
- Negative Presse- und Registerereignisse, eingeordnet statt nur aufgelistet
Sicherheitsreifegrad des Partners
- Strukturierter Lieferantenfragebogen zu Zugriff, Datenhaltung, Backups und Meldewegen
- Abgleich mit Zertifikaten und Nachweisen, etwa ISO 27001, und Prüfung ihrer Geltungsbereiche
- Dokumentation je Partner, die Du im Audit und gegenüber Deinen Auftraggebern vorlegen kannst
Überwachung statt Momentaufnahme: Du erfährst von Veränderungen, während der Vertrag läuft.
Eine Lieferantenakte, die den Anforderungen an Lieferkettensicherheit standhält.
Prüfung von Unternehmen und deren Organen, kein Durchleuchten von Beschäftigten.
Partnerprüfung
Bin ich gesetzlich verpflichtet, meine Lieferanten zu prüfen?
Wenn Du unter NIS2 fällst, ja. § 30 Abs. 2 Nr. 4 BSIG verlangt ausdrücklich die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Das ist eine echte Pflicht, keine Empfehlung.
Wie erkenne ich, ob ich unter NIS2 falle?
Wichtige Einrichtungen sind betroffen ab 50 Beschäftigten oder ab 10 Mio. Euro Umsatz und Bilanzsumme, sofern sie in einem der gelisteten Sektoren tätig sind. Die eigentliche Hürde ist die Branchenzugehörigkeit, nicht die Größe. Wir klären das mit Dir anhand Deiner tatsächlichen Tätigkeit.
Und wenn mein Unternehmen selbst nicht betroffen ist?
Dann wirst Du in der Regel über die Lieferkette Deiner Auftraggeber mitreguliert. Betroffene Kunden geben ihre Anforderungen vertraglich weiter, üblicherweise als Fragebogen, Nachweispflicht und Meldefristen. Wer das vorbereitet hat, gewinnt Ausschreibungen leichter.
Welche Standards könnt Ihr sonst noch abbilden?
ISO 27001:2022 adressiert Lieferantenbeziehungen in A.5.19 bis A.5.22, von der Aufnahme in Verträge bis zur Überwachung der Leistungserbringung. Das Geldwäschegesetz gilt nur für Verpflichtete wie Güterhändler und Immobilienmakler und ist für die meisten Mittelständler nicht einschlägig.
Prüft Ihr auch Bewerber oder Mitarbeitende?
Nein. Prüfungen natürlicher Personen sind in Deutschland eng begrenzt, insbesondere im Beschäftigungskontext durch § 26 BDSG. Diese Leistung adressiert Unternehmen und deren Organe, also Geschäftsführung, Gesellschafter und wirtschaftlich Berechtigte. Das Durchleuchten von Beschäftigten bieten wir bewusst nicht an.
Bring Deine Lieferantenakte in Form
Schreib uns an info@cavrix.de, mit wie vielen Lieferanten und Dienstleistern Du arbeitest. Wir sagen Dir, was NIS2 in Deinem Fall tatsächlich verlangt.