Kapazitäten von Lieferanten beurteilen: Kennzahlen und Nachweise

Kapazität hat mehrere Dimensionen

Produktionsmengen, Lieferzeiten und Stückzahlen sind die ersten drei Größen, an die man bei Lieferantenkapazität denkt. Betriebswirtschaftlich umfasst Kapazität aber mindestens vier Dimensionen: finanzielle Substanz, Produktions- und Lieferleistung, personelle Ressourcen sowie Reife der Sicherheits- und Kontrollsysteme. Jede beantwortet eine eigene Frage – ob der Partner wirtschaftlich trägt, Mengen und Termine hält, genügend qualifiziertes Personal hat und Risiken im Griff hat.

Keine dieser Fragen beantwortet ein einzelner Wert: Eine gute Eigenkapitalquote sagt nichts über die Auslastung der Fertigung, ein gültiges Zertifikat nichts über die Finanzkraft, eine hohe Mitarbeiterzahl nichts über die Sicherheitsorganisation. Beurteilen heißt daher, mehrere Kennzahlen und Nachweise zusammenzuführen und zu Vergleichsgrößen ins Verhältnis zu setzen.

Die praktischen Folgen zeigen sich an der Lieferkette als Risikofaktor: Nach Einschätzung von fortControl können unzureichende Sicherheitsmaßnahmen bei einem einzigen Partner auf das gesamte Unternehmen durchschlagen – von Betriebsunterbrechungen bis zu Datenschutzverletzungen. Risiken entstehen besonders dort, wo Dritte eingebunden sind: durch mangelnde Transparenz, unklare Standards oder unzureichende Kontrolle.

Der Wegweiser führt von Kennzahlen und Vergleichsmaßstab über öffentliche Umfeld- und Marktdaten und die Prüfung vorgelegter Nachweise zum Bewertungsprozess, zur Selbstauskunft mit Evidenzpflicht und schließlich zur wiederkehrenden Absicherung der Beurteilung.

Jahresabschlusskennzahlen und der passende Vergleichsmaßstab

Jahresabschlusskennzahlen sind die belastbarste Grundlage für die wirtschaftliche Leistungsfähigkeit eines Lieferanten. Die Oesterreichische Nationalbank (OeNB) stellt gemeinsam mit der KMU Forschung Austria Kennzahlen österreichischer Unternehmen bereit; derzeit sind insgesamt 38 Kennzahlen nach Branchen und Größenklassen abfragbar. Die Darstellung folgt der Systematik der Wirtschaftstätigkeiten (ÖNACE) und steht für Abschnitte, Sektoren und Abteilungen zur Verfügung. Die fünf Größenklassen richten sich nach dem Umsatz, mit Schwellenwerten von 1 Mio. Euro, 7 Mio. Euro, 40 Mio. Euro und 100 Mio. Euro.

Ausgewertet wird mit Median- und Quartilsauswertung: Eine Normalverteilung der Daten muss nicht vorausgesetzt werden, die Auswertung gibt dennoch Auskunft über die Streuung. Der Median ist jener Wert, bei dem 50 Prozent der Kennzahlen darüber und 50 Prozent darunter liegen. Oberer und unterer Quartilswert grenzen den Bereich ab, in dem genau 50 Prozent der Unternehmenskennzahlen liegen. Kennzahlen mit einer Datenbasis aus weniger als zehn Beobachtungen werden aus der Publikation gestrichen – aus Datenschutzgründen und wegen der geringen Aussagekraft.

Interpretierbar wird ein Kennzahlenwert erst durch Gegenüberstellung. Von einem zwischenbetrieblichen Vergleich spricht man, wenn die Kennzahlen eines Unternehmens einer Vergleichsgruppe gegenübergestellt werden. In der Praxis heißt das: den Lieferanten nicht an einem Wunschwert messen, sondern an der Branche und Größenklasse, in der er tatsächlich tätig ist. Das Quartilsband zwischen unterem und oberem Quartilswert lässt sich als Bandbreite „normaler“ Werte lesen; Werte außerhalb dieses Bandes sind Anlass für Rückfragen, nicht automatisch ein Ausschlusskriterium.

Für Lieferanten außerhalb Österreichs verweist die OeNB für den Kennzahlenvergleich mit anderen EU-Ländern auf die BACH-Datenbank (Bank for the Accounts of Companies Harmonized). BACH beruht ausschließlich auf Daten von nicht-finanziellen Kapitalgesellschaften – ein Vergleich mit anderen Rechtsformen ist damit nicht möglich.

Vergleich von Lieferantenkennzahlen: Österreichische Branchen- und Größenklassen

Produktions- und Marktdaten als Umfeldindikator

Einzelne Lieferantendaten sind vor dem Hintergrund der Branchenauslastung zu lesen. Mit dem Produktionsindex veröffentlicht Statistik Austria die monatliche Entwicklung der realen Produktionsleistung in Österreich – eine wichtige Informationsquelle zur Konjunktur. Der Index erscheint für Industrie und Bau (Abschnitte B bis F der ÖNACE 2008) sowie für Dienstleistungen; aktuelle Basisperiode ist 2021, die nächste bezieht sich auf 2025. Für die Dienstleistungsproduktion gilt eine eigene Abgrenzung der ÖNACE-Abschnitte.

Wer solche Werte nutzt, muss die Meldeverzögerungen kennen. Für Industrie und Bau veröffentlicht Statistik Austria 40 Tage nach Ende des Berichtsmonats vorläufige Ergebnisse, nach 70 Tagen revidierte Werte und im August des Folgejahres endgültige Ergebnisse. Für die Dienstleistungsproduktion erscheinen endgültige Daten etwa 60 Tage nach Ende des Berichtsmonats. Aussagen zur aktuellen Auslastung eines Lieferanten stützen sich daher regelmäßig auf vorläufige Zahlen, die sich noch ändern können.

Wie konkret verfügbare Kapazitätsdaten aussehen, zeigt die Pelletbranche: In Österreich wurden 2025 2,03 Millionen Tonnen Pellets in 55 Werken produziert, an 55 Standorten wird produziert. Österreich war und ist Pellet-Nettoexporteur; wichtigster Exportmarkt für österreichische Händler und Produzenten ist Italien. Daraus lassen sich Produktionsmenge, Werksstruktur und Außenhandelsverflechtung ablesen – drei unterschiedliche Kapazitätsaspekte derselben Branche.

Daraus ergibt sich die allgemeine Frage: Welche vergleichbaren Branchendaten liegen für den eigenen Lieferantenkreis tatsächlich vor – und welche fehlen? Wo keine öffentliche Statistik existiert, muss die Kapazitätsfrage über Selbstauskünfte, Referenzen oder Vor-Ort-Gespräche beantwortet werden.

Produktionsdaten der Pelletbranche in Österreich (2025)

Nachweise prüfen statt nur sammeln

Zertifikate und Bestätigungen sind ein wichtiger Teil der Kapazitätsbeurteilung – aber nur, wenn sie geprüft werden. Nach Einschätzung von fortControl kann man sich auf Lieferanten-Zertifizierungen nach ISO 27001 nicht ausschließlich verlassen: Mittlerweile lassen sich viele Unternehmen von nicht akkreditierten Firmen zertifizieren. Entgegen dem eigentlichen Sinn der Zertifizierung ist diese dadurch nicht vergleichbar, und die zertifizierte Sicherheitsreife bleibt unklar.

Der Status einer Konformitätsbewertungsstelle lässt sich überprüfen. Die Akkreditierungsumfänge der durch Akkreditierung Austria akkreditierten Stellen sind über ein Suchregister mit Detailsuche verfügbar. Damit sind jederzeit sowohl die akkreditierten als auch die suspendierten Verfahren von akkreditierten Konformitätsbewertungsstellen abrufbar. Zusätzlich veröffentlicht Akkreditierung Austria eine Liste der Beendigungen von Akkreditierungen.

Für die Dokumentenprüfung wichtig: Rechtsgültig ist nur der Akkreditierungsumfang, der als Anlage zum Bescheid der jeweiligen Konformitätsbewertungsstelle zur Verfügung gestellt wird. Ein Zertifikat allein belegt daher noch nicht, dass die fragliche Leistung vom akkreditierten Umfang erfasst ist.

Wer zu jedem vorgelegten Nachweis nicht nur das Dokument selbst ablegt, sondern auch die ausstellende Stelle, den akkreditierten Umfang, den Gültigkeitszeitraum und das Ergebnis der Registerabfrage, hat eine belastbare Routine. Erst diese Angaben machen Nachweise zwischen Lieferanten vergleichbar – und über die Zeit nachvollziehbar.

Vorteile und Risiken von ISO-Zertifizierungen bei Lieferanten

Strukturierte Lieferantenbewertung aufsetzen

In der Praxis sind Lieferantenbewertungen oft aufwendig, uneinheitlich und schwer vergleichbar. fortControl nennt typische Herausforderungen: fehlende Standardisierung der Fragen und Kriterien, mangelnde Transparenz in der Bewertung und Nachvollziehbarkeit der Entscheidungen, zeitintensive Koordination mit den jeweiligen Ansprechpartnern beim Lieferanten sowie Schwierigkeiten bei Dokumentation und Vergleich verschiedener Lieferanten.

Dem Aufwand steht ein klarer Nutzen gegenüber: Ein strukturierter Bewertungsprozess schafft Vergleichbarkeit und Nachvollziehbarkeit von Entscheidungen, unterstützt die Erfüllung regulatorischer Anforderungen und interner Standards und hilft, potenzielle Risiken früh zu erkennen – bevor sie sich negativ auf das eigene Unternehmen auswirken. Lieferantenbewertungen erfassen systematisch, wie zuverlässig und sicher ein externer Partner aufgestellt ist.

Einen organisatorischen Rahmen bietet das NIST Cybersecurity Framework. Es trägt der Realität der Lieferkette seit 2014 Rechnung; mit der überarbeiteten Version NIST CSF 2.0 rückten zwei Aspekte stärker in den Fokus: Governance – klare Rollen, Verantwortlichkeiten und Entscheidungsstrukturen im Umgang mit Sicherheitsrisiken – sowie Lieferkettenrisiken, die gezielt identifiziert, bewertet und kontrolliert werden müssen.

Für die Auswahl der Nachweisrahmen bietet die Wirtschaftskammer Österreich eine Übersichtsseite zur Sicherheit der Lieferkette im Kontext NISG 2026. Dort werden unter anderem das Österreichische Informationssicherheitshandbuch, ISO/IEC 27001, die CIS Critical Security Controls v8.0 und das KSÖ Cyber Risk Schema als mögliche Nachweisrahmen angeführt. Welcher Rahmen passt, hängt von Kritikalität, Branche und regulatorischem Umfeld des einzelnen Lieferanten ab.

Strukturierter Bewertungsprozess für Lieferantenkapazitäten

Selbstauskunft mit Evidenzpflicht und Validierung

Wie ein belastbarer Selbstauskunftsprozess aussieht, lässt sich am österreichischen CyberRisk Rating by KSV1870 studieren, das auf dem Schema des Kompetenzzentrums Sicheres Österreich (KSÖ) aufbaut. Für Lieferanten sind drei Schritte zu absolvieren: Assessment ausfüllen, unklare Antworten korrigieren, A- oder B-Rating wählen. Das Assessment umfasst zwei Teilbereiche – den B-Teil mit 14 Fragen zu grundlegenden Sicherheitsmaßnahmen und den A-Teil mit 11 Fragen für ein erweitertes Sicherheitsniveau. Die abgefragten Anforderungen sind im KSÖ-Schema jederzeit einsehbar.

Entscheidend ist die Evidenzpflicht: Zu jeder Anforderung muss angegeben werden, ob sie erfüllt ist (Ja/Nein). Bei einer positiven Antwort müssen Organisationen beschreiben, wie die Anforderung im Unternehmen umgesetzt ist und welche Evidenzen im Bedarfsfall vorgelegt werden können. Stuft ein Validierer eine oder mehrere Antworten als unklar ein und bittet um weitere Details, werden die Antworten nach Benachrichtigung einmalig überarbeitet, erneut an den Validierer gesendet und abschließend bewertet.

Im letzten Schritt wird das Rating gewählt – A- oder B-Rating –, wobei zur Unterstützung eine Empfehlung angezeigt wird. Das Rating gilt ein Jahr. Bei einem Top-Rating lässt sich ein Gütesiegel für Cybersicherheit beantragen, das Cyber Trust Austria Label. Das zugrunde liegende Schema wurde seit Anfang 2020 vom KSÖ gemeinsam mit Sicherheitsverantwortlichen aus Industrie, Verwaltung und kritischer Infrastruktur erarbeitet und stützt sich auf die Anforderungen der EU-Richtlinie 2016/1148 (NIS).

Für den eigenen Fragekatalog lassen sich daraus drei Merkmale ableiten: eine Nachweispflicht (Antworten sind durch Beschreibung und benennbare Evidenzen zu belegen), eine Plausibilisierung (Antworten werden validiert und dürfen einmalig nachgebessert werden) und eine klare Laufzeit (das Ergebnis gilt befristet und muss erneuert werden). Punkte, die keine überprüfbare Antwort zulassen, gehören nicht in den Katalog.

Kriterien für eine belastbare Selbstauskunft mit Evidenzpflicht

Kapazitätsbeurteilung als wiederkehrender Prozess

Eine Lieferantenbeurteilung ist keine Einmalaktion. Nachweise verlaufen, Zertifikate werden nicht verlängert oder von anderer Stelle neu ausgestellt, Ratings laufen nach einem Jahr ab, Bilanzen ändern sich, Produktionsstandorte kommen hinzu oder werden geschlossen. Auch Lieferketten verändern sich laufend, weil neue Dritte eingebunden werden. Ein Dokument aus dem Vorjahr hat daher begrenzte Aussagekraft – unabhängig davon, wie sorgfältig es damals geprüft wurde.

Ansatzpunkte für die laufende Beobachtung ergeben sich aus den einzelnen Dimensionen: Bei Finanzkennzahlen passt der Rhythmus der Jahresabschlüsse, bei Konjunktur- und Produktionsdaten jener der Statistik Austria, bei Nachweisen das Ablaufdatum des jeweiligen Dokuments und bei Ratings die befristete Gültigkeit. Daraus lassen sich Fristen und Wiedervorlagen ableiten, statt bei jedem Anlass neu zu erheben.

Entscheidend ist die Dokumentation. Wer zu jedem Bewertungsschritt festhält, welche Kriterien mit welchem Maßstab geprüft wurden, welche Nachweise vorlagen und wie Entscheidungen begründet wurden, gewinnt Vergleichbarkeit in zwei Richtungen: zwischen Lieferanten im selben Zeitpunkt und für denselben Lieferanten über die Zeit. Nur so lassen sich Veränderungen erkennen, bevor sie sich als Betriebsunterbrechung oder Datenschutzverletzung bemerkbar machen.

Kapazitätsbeurteilung ist damit ein Regelkreis aus Erhebung, Vergleich, Validierung und Wiedervorlage – nicht ein Formular, das einmal ausgefüllt und abgelegt wird.

Zeitplan für die laufende Lieferantenbeurteilung