Hoffen Sie noch – oder wissen Sie schon, wie sicher Ihre Lieferkette ist?
MARA – das Maßnahmenorientierte Assessment für Risiko und Absicherung – ist ein offener, kostenfreier Bewertungsrahmen für die risikoorientierte Bewertung von Lieferanten. Entwickelt von Praktikern aus Auftraggeber- und Lieferantensicht, getragen von Verbänden.
Viel Aufwand auf beiden Seiten. Aber nicht mehr Sicherheit.
Auftraggeber unterhalten individuell gewachsene Fragebögen. Lieferanten beantworten vergleichbare Sachverhalte gegenüber jedem Kunden erneut – in anderer Form, mit anderen Nachweisen, nach anderen Maßstäben. Der Aufwand steigt, die Aussagekraft nicht.
Die Sicht des Lieferanten
500 Kunden × 200 Fragen = 100.000 Fragen
Großteils dieselben Themen – jedes Mal anders formuliert und anders bewertet. Jede Stunde dafür fehlt in der eigenen Sicherheit und landet im Preis.
Die Sicht des Auftraggebers
100 Lieferanten × 200 Antworten = 20.000 Antworten
davon 10 % nicht akzeptabel = 2.000 Findings
Findings verschwinden nicht von selbst: Sie müssen bewertet, nachverfolgt und überwacht werden – Lieferant für Lieferant, Jahr für Jahr.
Beispielrechnungen zur Veranschaulichung.
Der Umfang eines Fragebogens ist kein Qualitätsmerkmal.
Alle verlangen eine Bewertung. Keiner sagt, wie.
Die Regulierung macht Lieferkettensicherheit zur Pflicht – und das zu Recht. Doch keine Vorschrift gibt einen gemeinsamen Maßstab vor. Auch die guten Handreichungen des BSI sind Anleitungen für den eigenen Fragebogen. Das Ergebnis: Jeder baut seinen eigenen. Tausendfach.
- § 30 Abs. 2 Nr. 4 BSIGNIS-2Sicherheit der Lieferkette als Teil der Risikomanagementpflichten
- Anhang Nr. 5DVO (EU) 2024/2690Konkretisierung für digitale Dienste wie Cloud, Rechenzentren und MSP
- Art. 28DORAIKT-Drittparteienrisiko: Bewertung, Vertrag, Überwachung
- HerstellerCyber Resilience Actwirkt auf Software- und Hardwarelieferanten
- Art. 28 Abs. 1DSGVOhinreichende Garantien des Auftragsverarbeiters
MARA liefert den fehlenden gemeinsamen Maßstab – nachvollziehbar, risikobasiert und verhältnismäßig.
Einmal prüfen. Mehrfach nutzen.
Was wäre, wenn jeder Lieferant seine Sicherheit nur einmal nachweisen müsste – und jeder Kunde die Antwort sofort versteht? Wie bei der Hauptuntersuchung beim Auto: ein gemeinsamer Prüfmaßstab, einmal geprüft, von allen verstanden.
- Kunde A
- Kunde B
- Kunde C
- Kunde … n
Was MARA anders macht
Beziehung statt Unternehmen
Die Kritikalität der konkreten Lieferantenbeziehung bestimmt Prüfumfang und Prüftiefe. Derselbe Dienstleister kann für die Kantine unkritisch und für die Domain-Administration hochkritisch sein.
Organisation getrennt von Leistung
Ein Basismodul bewertet den Dienstleister, neun Fachmodule die konkret bezogene Leistung – von Software über Fernzugriff bis Rechenzentrum.
Zweifach reduziert
Kritikalität und Anwendungscheck lassen nur die relevanten Fragen übrig. Niemand beantwortet Fragen, die nicht zu seiner Leistung passen.
Vom Befund zur Lösung
Zu jeder Anforderung sind Nachweise und Kompensationsmaßnahmen für Auftraggeber und Auftragnehmer hinterlegt.
Kein „bestanden“ oder „nicht bestanden“: MARA liefert die Informationsgrundlage – die Risikoentscheidung trifft der Auftraggeber.
Der Ablauf in neun Schritten
Schritte 1 bis 4 legen den Prüfumfang fest, die Schritte 5 und 6 bewerten, die Schritte 7 bis 9 führen zur dokumentierten Risikoentscheidung.
Kritikalität bestimmt Umfang und Tiefe
Neun Kriterien – von der Bedeutung für Geschäftsprozesse über Datenzugriff und technische Zugriffsrechte bis zur Migrationsfähigkeit – werden je Beziehung als gering, mittel oder hoch eingestuft. Maßgeblich ist die höchste Stufe, die mindestens zwei Kriterien erreichen.
| Kritikalität | Fragen im Basismodul | Prüfumfang | Prüftiefe |
|---|---|---|---|
| gering | 14 | nur kritische Anforderungen | Self-Assessment |
| mittel | 26 | kritische und wesentliche Anforderungen | validiertes Assessment |
| hoch | 44 | alle Anforderungen | Audit mit Interviews und Stichproben |
Basismodul plus neun Fachmodule
Das Basismodul ist immer Bestandteil. Welche Fachmodule hinzukommen, entscheidet ein Anwendungscheck mit einer einfachen Frage je Modul – etwa: „Besteht ein Fernzugriff auf Systeme des Auftraggebers?“
152 Anforderungen gesamt – jede wird grundsätzlich nur einmal geprüft.
Reifegrad statt Ja/Nein
Je mehr ein Dienstleister vorsorgt, desto unwahrscheinlicher wird ein erfolgreicher Angriff über ihn. Deshalb fragt MARA nicht nur, ob etwas existiert, sondern wie weit es ist: vier je Frage fachlich ausformulierte Stufen von A bis D. Mindestgrad ist C – alles darunter ist eine Abweichung.
Gerechnet wird Stufe mal Gewichtung. Die Ampel richtet sich nach der Kritikalität – und Grün gibt es nur, wenn keine kritische Anforderung offen ist. Eine gute Gesamtpunktzahl kann eine Lücke also nicht verdecken.
Vom Befund zur Risikoentscheidung
Kompensationsmaßnahmen
für Auftraggeber und Auftragnehmer – präventiv, detektiv, korrektiv, wiederherstellend, jeweils mit Einstufung und Restrisiko.
Beispiel Fernzugriff
Der Dienstleister greift von einem nicht verwalteten Gerät zu: Der Auftraggeber erzwingt eine Gerätebindung am Zugangsgateway, der Auftragnehmer trennt Konten und Profile je Kunde.
Dokumentierte Entscheidung
Akzeptieren, akzeptieren mit Maßnahmen, zusätzliche Prüfung – oder das Risiko muss behandelt werden. Kompensation ändert die Bewertung nicht, sie senkt das Restrisiko.
Anerkennen statt wiederholen
MARA konkurriert nicht mit bestehenden Standards – es rechnet sie an. Passender Geltungsbereich, Gültigkeit und unabhängige Prüfung vorausgesetzt, führen anerkannte Nachweise zu Stufe C. Stufe D wird nie allein aus einem Zertifikat abgeleitet.
Basismodul
ISO/IEC 27001 · TISAX (mind. AL2) · ISO 27001 auf Basis von IT-Grundschutz; ausgewählte Themen ergänzend über ISO 22301, ISO/IEC 42001, ISO/IEC 27701
Rechenzentrum
EN 50600 · TSI.STANDARD
IT-Operations
ISO/IEC 20000-1
Ein Maßstab, von dem jeder etwas hat
- Weniger Prüfaufwand – auf beiden Seiten
- Verhältnismäßigkeit, wie sie die Regulierung verlangt
- Vergleichbare Ergebnisse statt hundert Formaten
- Konkrete Maßnahmen statt bloßer Befunde
- Anrechnung vorhandener Zertifikate statt Doppelprüfung
- Ein Assessment bis zu drei Jahre für mehrere Auftraggeber nutzbar
Auftraggeber
vergleichbare, risikobasierte Ergebnisse und eine nachvollziehbare Entscheidungsgrundlage
Auftragnehmer
einmal antworten, mehrfach nutzen – nur Fragen, die zur eigenen Leistung passen
Auditoren
eine gemeinsame, offene Prüfmethodik
Verbände
ein branchenübergreifender Maßstab für ihre Mitglieder
Beratungen
eine belastbare Grundlage für Lieferantenprogramme
Softwareanbieter
ein offenes Format zur Integration – ein maschinenlesbares Format ist vorgesehen
Von Praktikern, nicht vom Reißbrett
MARA ist im Arbeitskreis Lieferantensicherheit entstanden – getragen von der CISO Alliance e.V. und dem IBCRM e.V. Hier haben Sicherheitsverantwortliche von Auftraggebern und Dienstleistern, Auditoren und Beratende jede Anforderung, jede Gewichtung und jede Kompensationsmaßnahme gemeinsam erarbeitet.
Der Arbeitskreis ist die Plattform für die Beteiligung weiterer Verbände, Behörden, Hochschulen und Fachleute. Er wertet Rückmeldungen aus, entscheidet über Änderungen in einem geregelten Verfahren und veröffentlicht neue Versionen in der Regel jährlich.
- Fachlich, nicht interessengeleitetMitwirkende legen wirtschaftliche Einzelinteressen offen; nichts wird auf einzelne Produkte zugeschnitten.
- BranchenübergreifendDie breite Zusammensetzung verhindert, dass MARA nur eine Perspektive abbildet.
- Kontrolliert weiterentwickeltNeue Anforderungen müssen notwendig, überschneidungsfrei und nützlich sein.
- OffenDie Inhalte stehen unter CC BY 4.0 – kostenfrei, auch kommerziell nutzbar.
Getragen von
Weitere Verbände wirken am Arbeitskreis mit und werden hier nach Freigabe ergänzt.
Mitwirkende im Arbeitskreis
- Dirk GrößerUnternehmensberatung Dirk Größer
- Donald OrtmannDonLuigi IT-Service
- Igor SokolovISMS Werkstatt
- Jan RogallTransferstelle Cybersicherheit im Mittelstand
- Katrin TheuerkaufRTL Tech
- Leon HaußknechtRSG Group
- Nikolaos PapanikoloudisNP-Cybersec
- Philipp Lüdtke
- Ron KneffelCISO Alliance / IBCRM
- Stefan HänschBerliner Volksbank
- Theo NickHiSolutions AG
- Thorsten Rödelde-dsb
- Ulrike GlödeDonLuigi IT-Service
Hören Sie auf zu hoffen. Fangen Sie an zu wissen.
Ein Bewertungsrahmen wirkt nur, wenn er breit getragen wird. Die Mitwirkung steht Verbänden, Behörden, Hochschulen und fachlich einschlägigen Organisationen offen – in drei Stufen.
Kommentieren
Einzelne Versionen kommentieren – ohne weitere Bindung.
Mitarbeiten
Dauerhaft fachlich im Arbeitskreis Lieferantensicherheit mitwirken.
Mitgestalten
Perspektivisch die Governance von MARA mitprägen.
oder direkt schreiben an kontakt@mara-assessment.eu