Lieferanten bewerten, bevor sie zum Risiko werden

Häufige Fragen

Was ist ein Lieferanten-Rating?

Ein Lieferanten-Rating ist die Sicherheitsbewertung eines Unternehmens, von dem Sie abhängen, gemessen von außen, so wie ein Angreifer es sieht. blacklens.io prüft dafür neun Bereiche: Software-Patching, Anwendungssicherheit, Web-Verschlüsselung, Sicherheitsvorfälle, Netzwerkfilterung, System-Reputation, E-Mail-Sicherheit, DNS-Sicherheit und Hosting. Das Ergebnis ist eine Note (A, B, C, D oder F), ein Score von 0 bis 100 und eine Liste von Findings mit Lösungsweg. Ist zu wenig messbar, steht N/A statt einer Note.

Was muss der Lieferant dafür tun?

Nichts. Die Bewertung läuft vollständig von außen, ohne Zugriff auf seine Systeme, ohne Installation und ohne Freigabe; Fragebögen oder Selbstauskünfte gehören nicht dazu. Sie geben nur die Domain des Lieferanten ein. blacklens.io akzeptiert auch eine URL oder E-Mail-Adresse und kürzt sie auf die registrierbare Domain. Jede Domain lässt sich je Workspace einmal als Lieferant anlegen, die erste Bewertung startet danach automatisch.

Wie oft wird ein Lieferant neu bewertet?

Alle sieben Tage, automatisch und in festem Rhythmus. Die Detailansicht zeigt unter „Next rating“, wann die nächste Bewertung ansteht; eine Neubewertung auf Knopfdruck gibt es nicht. Auch ein Ransomware-Eintrag fließt mit der wöchentlichen Bewertung in den Bereich Sicherheitsvorfälle ein. Wer schneller erfahren will, ob ein Lieferant auf einer Leak-Site auftaucht, nutzt zusätzlich die Ransomware-Watchlist, deren Quellen etwa alle 30 Minuten abgefragt werden.

Wann löst blacklens.io einen Alert aus?

Der Alert „Supplier risk increased“ kommt, wenn eine neue Bewertung schlechter ausfällt als die letzte: bei vollständigen Bewertungen durch eine schlechtere Note, neue aktiv ausgenutzte Schwachstellen (CISA KEV, verifiziert oder abgeleitet) oder neue kritische Findings, außerdem durch jeden neuen Ransomware-Eintrag. Die erste Bewertung dient als Ausgangswert und löst keinen Alert aus, ebenso wenig ein sinkender Score ohne Notenwechsel. Zugestellt wird über Ihre Benachrichtigungsregeln per E-Mail, Push in der Mobile App oder Integrationen; der Alert enthält nur die Domain des Lieferanten.

Was ist der Unterschied zwischen Lieferanten-Rating und Ransomware-Watchlist?

Das Lieferanten-Rating zeigt das Risiko vor einem Vorfall: Note, Score und Findings, jede Woche neu. Die Ransomware-Watchlist meldet einen Lieferanten nach einem Angriff, wenn er auf der Leak-Site einer Ransomware-Gruppe auftaucht; diese Quellen werden etwa alle 30 Minuten abgefragt. Beide laufen nebeneinander, eine Domain auf beiden Listen kann beide Alerts auslösen. Mit „Monitor in Supply Chain“ übernehmen Sie Watchlist-Einträge in die Bewertung, sie zählen dann zur Lieferanten-Lizenz.

Wie viele Lieferanten kann ich bewerten lassen?

Fünf Lieferanten je Workspace sind in der Lizenz enthalten, und auch der 14-tägige Test enthält das Lieferanten-Rating. Lieferanten sind wie Sentry-Assets eine eigene Lizenzmenge: Brauchen Sie mehr, erweitert Ihr blacklens.io-Partner oder unser Vertrieb die Lieferanten-Lizenz Ihres Workspaces. Größere Listen importieren Sie gesammelt, etwa als CSV-Datei aus dem Einkauf, und sehen eine Vorschau, bevor etwas hinzugefügt wird. Auch Lieferanten, die Sie aus der Ransomware-Watchlist übernehmen, zählen zur Lizenz.

Hilft das Lieferanten-Rating bei NIS2 und DORA?

NIS2 verlangt in Art. 21 (2) d, die Sicherheit der Lieferkette zu berücksichtigen, DORA regelt in Art. 28 bis 30 das Risiko durch ICT-Drittdienstleister. Das Lieferanten-Rating liefert dafür eine technische, dokumentierte Sicht auf jeden Lieferanten, mit Verlauf und Berichten als Nachweis. Verträge, Auditrechte und Ihre eigene Risikobewertung ersetzt es nicht. Wie sich das in einen NIS2- oder DORA-Prozess einfügt, beschreibt unsere Lösungsseite zum Supply-Chain-Monitoring.

Welche Berichte gibt es zu Lieferanten?

Der Supplier-Report fasst einen Lieferanten auf Abruf zusammen: Zusammensetzung des Scores, offene Findings, Angriffsfläche, Verlauf und Finding-Register. Der Supply-Chain-Report zeigt das Portfolio der letzten 30 Tage mit Veränderungen, Risikoschwerpunkten und Handlungsbedarf, einmalig oder zeitgesteuert mit Empfängern. Sobald ein Lieferant überwacht wird, erhält der Executive-Report ein eigenes Kapitel zur Lieferkette. Alle Berichte werden als PDF in englischer Sprache erstellt.