Mythos-Härtungs-Control · MRIS 2.0 · Wirkt in TISAX®

MHC-14 Unabhängige Verifikation von Lieferantennachweisen

Verhindert, dass ein KI-gestützt überzeugend gefälschter oder beschönigter Lieferantennachweis unentdeckt als ausreichend akzeptiert wird.

Auf einen Blick

Operativer Nutzen: Verhindert, dass ein AI-gestützt überzeugend gefälschter oder beschönigter Lieferantennachweis unentdeckt als ausreichend akzeptiert wird.
Betroffene Richtlinie: Lieferantenmanagement- und Beschaffungsrichtlinie.
Abhängigkeiten: keine Vorbedingung; unabhängig von MHC-15 umsetzbar.
Aufwandstreiber: Anzahl kritischer Lieferanten, Vertragslaufzeiten (Neuverträge vs. Bestandsverträge).
Kostenrahmen (Lizenz/Personentage, indikative Größenordnung ohne Einzelpreise): KMU — Lizenz gering (kein dediziertes Tool nötig, punktuelle externe Prüfdienstleistung für die kritischsten Lieferanten), ca. 10–20 Personentage · Midcap — Lizenz gering bis mittel, ca. 20–45 Personentage · Enterprise — Lizenz mittel (Third-Party-Risk-Management-Tooling für eine größere Lieferantenbasis), ca. 45–100 Personentage.
Primäre Kennzahl: Anteil kritischer Lieferanten mit ausgeübtem, nicht nur vertraglich vorgesehenem Prüf-/Auditrecht im laufenden Zyklus.
Berührte Standards (ohne Erfüllungsanspruch): DORA Art. 30(3); TISAX® ISA 2027 6.1.1, 6.1.3.

Control-Statement

Von Lieferanten oder Kooperationspartnern vorgelegte Sicherheitsnachweise, Zertifizierungen und Selbstauskünfte ersetzen nicht die eigene Prüfung. Für Lieferanten mit Zugriff auf schutzbedürftige Informationen wird mindestens für Schutzbedarf hoch/sehr hoch ein eigenständiges Prüf- oder Auditrecht — direkt oder über einen beauftragten Dritten — vertraglich verankert und im vereinbarten Prüfzyklus tatsächlich ausgeübt.

Zweck und Bedrohungsbezug

Die Prüfung von Lieferanten basiert überwiegend auf vom Lieferanten selbst vorgelegten Dokumenten. AI-Werkzeuge machen überzeugend gefälschte oder beschönigte Berichte und Nachweise leichter erstellbar, ohne dass eine unabhängige Gegenprüfung verlangt wird — reine Selbstauskunft oder Attestierung genügt in der TISAX®-Standardformulierung. Schutzziel ist, dass ein gefälschter oder beschönigter Nachweis nicht unentdeckt als ausreichend akzeptiert wird.

Wirkung in den Regelwerken

Auf diese Controls und Anforderungen wirkt das MHC. Die Einstufung zeigt, wie stark das jeweilige Control unter KI-gestützten Angriffen an Wirkung verliert.

Wirkung in den Regelwerken
Nummer	Titel	Einstufung / Stufe
TISAX® ISA 2027 2 Controls
6.1.1	Informationssicherheit bei Auftragnehmern und Partnern	teilweise degradiert
6.1.3	Verantwortlichkeiten zwischen externen IT-Dienstleistern und der Organisation	nicht betroffen

Alle 45 Controls in der Befundmatrix

Reifegrad-Pfad

Initial: Auditklausel in Vertragsvorlage für Neuverträge aufgenommen.
Defined: Auditklausel für alle kritischen Bestandsverträge nachverhandelt; Prüfzyklus terminiert und bei den kritischsten Lieferanten mindestens einmal tatsächlich ausgeübt.
Managed: Audits werden nachweislich im vereinbarten Zyklus durchgeführt; Ergebnisse fließen in die Lieferanten-Risikoeinstufung zurück.

Messung und Audit-Nachweis

Kennzahl: Anteil kritischer Lieferanten mit im laufenden Zyklus tatsächlich durchgeführtem Audit (Zielwert: 100 % der als kritisch eingestuften Lieferanten).
Nachweis: Vertragsklauseln, Audit-/Reviewberichte mit Datum, Eskalationsprotokolle bei verweigerter Auditwahrnehmung.
Prüflogik: dokumentiert? — Klausel im Vertrag; verantwortlich? — Einkauf/Lieferantenmanagement; Häufigkeit? — gemäß vereinbartem Zyklus, mindestens jährlich bei kritischen Lieferanten; Toleranz? — kein kritischer Lieferant ohne durchgeführtes Audit im laufenden Zyklus.
Evidence-Mapping zum ISA-Katalog: Für Control 6.1.1 nennt der ISA-Katalog als Beispiel-Nachweise u. a.: "Template NDA with a contractor"; "Example of a signed NDA"; "Example of a risk assessment (Focus point: Information security aspects)"; "Viewing of audit reports"; "List of approved contractors" (weitere Beispiele im Quellkatalog, hier nicht vollständig aufgeführt). Für 6.1.3 hinterlegt der Katalog kein Beispiel; hier trägt allein der oben stehende MHC-Nachweis.

Typische Fehler

Die Auditklausel steht im Vertrag, wird aber nie tatsächlich ausgeübt — reine Formalie.
Alle Lieferanten werden gleich behandelt, unabhängig von ihrer tatsächlichen Zugriffstiefe auf schutzbedürftige Informationen.
Ein vorgelegtes Zertifikat wird unkritisch als vollständiger Ersatz für die eigene Prüfung akzeptiert.
Bestandsverträge ohne Auditklausel werden nie nachverhandelt, weil "Neuverträge reichen ja".

Abgrenzung und Restrisiko

Abgrenzung: betrifft die Nachweisverifikation im Lieferantenmanagement; die technische Anbindung externer Dienste selbst regelt MHC-13, wo AI-Agenten involviert sind.
Restrisiko: auch ein durchgeführtes Audit ist eine Stichprobe zu einem Zeitpunkt — eine nach dem Audit eintretende Verschlechterung bleibt bis zum nächsten Zyklus unentdeckt (siehe MHC-10 für anlassbezogene Ergänzung).
TISAX®-Controls: 6.1.1, 6.1.3 (siehe Teil I).
Framework: DORA Art. 30(3) (sektorspezifischer Referenzrahmen Finanzsektor) — vorgelegte Zertifizierungen "unterstützen, aber ersetzen nicht" die eigene Prüfung; uneingeschränktes Audit-/Inspektionsrecht bei kritischen Funktionen.

Umsetzung im Detail

Organisatorische und technische Umsetzung, Umsetzungsbeispiele und die Priorisierung im Gesamtprogramm beschreibt der Implementation Guide.

Implementation Guide (PDF)Zum MHC-Katalog