Was macht Maditon mit meinen Lieferanten?

Zwei Pflichten machen daraus gewöhnliche Arbeit statt einer Kür. Nach Art. 28 DSGVO dürfen Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien bieten, und nach Art. 30 führen Sie ein Verzeichnis Ihrer Verarbeitungstätigkeiten — einschließlich der Angabe, wer was in Ihrem Auftrag verarbeitet. Art. 21 der NIS-2-Richtlinie fügt für die Einrichtungen, die sie erfasst, die Sicherheit der Lieferkette hinzu. Beide machen aus „Welche Dienste nutzen wir, und was haben sie versprochen?“ eine Frage, die Ihnen irgendwann jemand schriftlich stellen wird.

Was es auswertet. Nur das, was der Lieferant veröffentlicht hat: die Datenschutzerklärung, die Nutzungsbedingungen, den Auftragsverarbeitungsvertrag, die Liste der Unterauftragsverarbeiter, die Sicherheitsseite. Sie können auch etwas hochladen, das ein Lieferant Ihnen direkt geschickt hat — einen unterschriebenen AVV, einen ausgefüllten Fragebogen —, und das bleibt Ihrem Unternehmen vorbehalten.

Was es liefert. Befunde, die jeweils den Satz zitieren, aus dem sie stammen, gruppiert danach, wie sehr sie Sie beunruhigen sollten. Ein Befund ist eine Frage an den Lieferanten. Wo die Dokumente schlicht nichts sagen, lautet das Ergebnis „Nicht angesprochen“ und nicht „Mangel“ — Schweigen ist kein Verstoß, sondern eine Lücke in dem, was Sie wissen.

Was es bewusst nicht tut. Es zertifiziert niemanden. Keine Auswertung einer veröffentlichten Webseite kann belegen, dass ein Unternehmen tatsächlich tut, was auf seiner Seite steht, und ein Werkzeug, das etwas anderes behauptete, würde falsche Sicherheit verkaufen.

Auf dem Register baut auch der Rest des Produkts auf: Eine Beschaffung vergleicht Kandidaten darin, ein Fragebogen eines Kunden wird daraus beantwortet, und die Liste der Unterauftragsverarbeiter, die Sie veröffentlichen, wird aus den Lieferanten abgeleitet, die Sie als im Einsatz markiert haben.