Supplier Security and Privacy Assurance (SSPA)

Lieferanten, die persönliche oder vertrauliche Daten von Microsoft verarbeiten möchten, müssen sich für das SSPA-Programm anmelden, bevor sie mit Microsoft zusammenarbeiten. Alle registrierten Anbieter („Lieferanten“) müssen dann jährlich Aufgaben zur Einhaltung des SSPA erfüllen.

SSPA liefert eine Reihe von Anforderungen und Praktiken, die alle Lieferanten, die Teil der Informationslieferkette von Microsoft sind, einhalten müssen, um mit Microsoft Geschäfte zu machen.

Es gibt mehrere Möglichkeiten die Aufgabe der Auditdokumentation zu erfüllen:

• Unabhängiges SSPA Assessment
• Nachweis einer SOC-2-Prüfung des Typs 2
• ISO 27001/27701-Zertifizierung
• Eine Kombination der oben genannten Maßnahmen

Ein unabhängiges SSPA-Assessment kann vier bis acht Wochen dauern. In Anbetracht der 90-Tage-Frist für die Erfüllung der Anforderungen an die Audit-Dokumentation ist es für die Lieferanten entscheidend, diesen Prozess zeitnah anzustoßen bzw. einzuleiten. Lieferanten können sich dazu an einen Microsoft Preferred Assessor oder ein anderes Unternehmen wenden, das die Anforderungen des SSPA-Programmleitfadens erfüllt.

Als Microsoft Preferred Assessor unterstützt die BDO aktuelle und zukünftige Microsoft-Lieferanten dabei, die Einhaltung der SSPA-Anforderungen zu verstehen und entsprechend nachzuweisen. Unser Team aus erfahrenen Datenschutz- und Cyber Security-Experten ist in der Lage, Kunden in jeder Phase des SSPA-Compliance-Prozesses zu beraten - und genießt das Vertrauen von Microsoft.

Auf der Grundlage einer detaillierten Bewertung der aktuellen Praktiken und Geschäftsziele jedes Anbieters ermitteln wir alle Lücken, die behoben bzw. geschlossen werden müssen, und empfehlen einen effizienten, skalierbaren Weg zur SSPA-Konformität.

Eine genaue Planung Ihres unabhängigen SSPA Assessments ist daher essenziell für einen erfolgreichen Auftrag. Die Preisgestaltung hängt hierbei stark von der Größe und dem Umfang der Dienstleistungen ab, die Sie für Microsoft erbringen. Zu den wichtigsten Überlegungen zum Scoping gehören:

• Umfang der Anforderungen, die gemäß der von Microsoft genehmigten Supplier Data Protection Requirements (DPR)-Selbstauskunft gelten
• Anzahl der Microsoft Lieferanten-IDs, die eine unabhängige Bewertung erfordern
• Anzahl der aktuellen Statements of Work (SOWs), die die Verarbeitung von personenbezogenen und/oder vertraulichen Daten von Microsoft beinhalten
• Komplexität der für Microsoft erbrachten Dienstleistungen
• Komplexität der Informationssysteme, die an der Verarbeitung personenbezogener und/oder vertraulicher Daten von Microsoft beteiligt sind
• Reifegrad des Datenschutzes und der Datensicherheit