Microsoft SSPA: Supplier Security & Privacy Assurance Program – wie Unternehmen Datenschutz- und KI-Anforderungen umsetzen
Microsoft SSPA Compliance wird für viele Unternehmen zunehmend zur Pflicht: Wer Microsoft-Produkte unterstützt oder personenbezogene Daten im Rahmen der Lieferkette verarbeitet, muss strenge Datenschutz- und Sicherheitsvorgaben erfüllen. Das Microsoft Supplier Security and Privacy Assurance Program (SSPA) regelt, wie Nachweise zu technischen und organisatorischen Maßnahmen (TOMs) zu Datenschutz, Audits und KI-Einsatz zu erbringen sind – und stellt viele Organisationen vor neue Herausforderungen.
BDO unterstützt Unternehmen mit einem unabhängigen IT-Audit dabei, Compliance-Anforderungen effizient umzusetzen – von der Analyse bestehender Prozesse bis hin zur Implementierung praxisnaher Lösungen, die auch KI-Verordnung und Datenschutz berücksichtigen.
Warum gibt es das Microsoft SSPA?
Das Supplier Security and Privacy Assurance Program (SSPA) ist Microsofts globales Lieferantenprogramm, das sicherstellt, dass alle Partner dieselben hohen Standards in Datenschutz, Informationssicherheit und verantwortungsvollem KI-Einsatz einhalten.
Die Data Protection Requirements (DPR) bilden das verbindliche Regelwerk – angelehnt an internationale Normen wie ISO/IEC 27001, NIST und DSGVO. Das Programm gilt für alle Dienstleister, die Microsoft Personal Data oder Microsoft Confidential Data verarbeiten – unabhängig davon, ob sie als Processor, Controller oder Subprocessor tätig sind.
Was früher ein Verhaltenskodex war, ist heute ein umfangreicher Prüfrahmen mit jährlich zu erfüllenden Maßnahmen, Audits und Nachweisen. Besonders im Fokus: der Umgang mit personenbezogenen Daten – und zunehmend auch der Einsatz künstlicher Intelligenz.
Zentrale Anforderungen im Überblick
- Jährliche Privacy & Security Assessment (PSA) – verpflichtende Selbstauskunft zu allen relevanten DPR-Kontrollen.
- Umsetzung des DPR Frameworks – orientiert an globalen Datenschutz- und Sicherheitsstandards.
- Risikoklassifizierung nach Data Processing Profile – bestimmt, ob zusätzlich ein Independent Assessment (Audit) oder ISO-Zertifikate erforderlich sind.
- Nachweisführung – ab mittlerem Risikolevel (z. B. bei „Highly Confidential Data“ oder „AI Systems“) durch unabhängige Prüfung oder gültige ISO 27001/27701-Zertifizierung.
- Integration von KI-Anforderungen (Section K DPR) – jährliche Überprüfung der Intended Uses, Benennung verantwortlicher Rollen und Umsetzung von Responsible-AI-Maßnahmen. Bei Sensitive Use AI Systems kann zusätzlich die ISO 42001 gefordert werden.
🔗 Offizielle Microsoft SSPA-Seite
🔗 Supplier Data Protection Requirements (PDF)
