Third-Party Risk · Lieferketten sichtbar machen
Ihr Risiko endet nicht am Vertrag.
TPRMWissen macht Cyber-, Datenschutz- und Kontinuitätsrisiken aus IT-Dienstleistern steuerbar – von der Kritikalität bis zum getesteten Exit.
- Fachartikel
- 8
- Startfragen
- 20
- Vorlagen
- 6
- Umsetzungskapitel
- 7
Einstieg nach Arbeitsergebnis
Nicht mehr lesen als für den nächsten Schritt nötig.
01
Ausgangslage einordnen
20 Fragen prüfen Governance, Inventar, Kritikalität, Due Diligence, Verträge, Monitoring, Vorfälle, Unterauftragnehmer und Exit. Alles bleibt lokal.
02
Umsetzung strukturieren
7 Kapitel verbinden Entscheidungen mit konkreten Ergebnissen.
03
Mit einer Vorlage starten
6 offene Arbeitshilfen für Workshop, Register und Review.
Quellenbasierte Orientierung
Fachartikel
- 01GrundlagenThird-Party Risk Management: Was ein TPRM tatsächlich steuertTPRM verbindet Beschaffung, Informationssicherheit, Datenschutz, BCM und Fachverantwortung über den gesamten Lieferantenlebenszyklus.8 min
- 02InventarLieferanteninventar und Kritikalität: Erst die Leistung, dann der NameEin Anbieter kann mehrere Leistungen mit sehr unterschiedlichem Risiko erbringen. Deshalb wird die Beziehung klassifiziert, nicht nur das Unternehmen.8 min
- 03Due DiligenceLieferanten-Due-Diligence: Fragen stellen, Evidenzen bewertenEin ausgefüllter Fragebogen ist eine Behauptung. Erst passende Nachweise, Scope und Aktualität machen daraus eine belastbare Prüfung.9 min
- 04AnforderungenSicherheitsanforderungen an Lieferanten konkret vereinbarenKontrollziele werden erst steuerbar, wenn Umfang, Frist, Evidenz, Meldeweg und Folgen einer Abweichung zum konkreten Service passen.9 min
- 05MonitoringContinuous Monitoring: Änderungen erkennen, bevor der Jahresreview beginntKontinuierliche Überwachung kombiniert vertragliche Informationen, Leistungsdaten, Sicherheitsereignisse, Nachweise und interne Veränderungen.8 min
- 06VorfälleLieferantenvorfälle: Meldewege und Entscheidungen vor dem Incident klärenWenn ein Anbieter erst nach Stunden den richtigen Kontakt sucht, ist die vertragliche Meldepflicht operativ wertlos.8 min
- 07LieferketteFourth Parties und Konzentrationsrisiken sichtbar machenViele scheinbar unabhängige Anbieter hängen von denselben Cloud-, Identitäts-, Netzwerk- oder Softwarediensten ab.8 min
- 08ExitLieferanten-Exit: Daten, Zugänge und Betriebsfähigkeit kontrolliert zurückholenEin Exit beginnt nicht mit der Kündigung. Kritische Beziehungen brauchen früh definierte Rückgabe-, Migrations- und Übergangsszenarien.9 min
Zusammenhänge
Die Lieferanten-Risikokette
Third-Party Risk Management ist ein Lebenszyklus: auswählen, einstufen, prüfen, vereinbaren, überwachen und kontrolliert beenden. Jede Phase erzeugt eigene Entscheidungen und Nachweise.
- GOV
- GovernanceSteuern
- Policy, Rollen, Risikokriterien und Freigaben setzen den einheitlichen Rahmen für alle Beziehungen.
- INV
- Inventar & TieringPriorisieren
- Leistungen, Daten, Zugriffe, Kritikalität und Abhängigkeiten bestimmen die erforderliche Prüftiefe.
- DUE
- Due DiligencePrüfen
- Risikobasierte Fragen und servicebezogene Evidenzen machen Kontrolllücken entscheidbar.
- REQ
- AnforderungenVereinbaren
- Verträge und Betriebsvereinbarungen übersetzen Kontrollziele in überprüfbare Pflichten.
- MON
- Monitoring & IncidentÜberwachen
- Änderungen, Nachweise, Leistung und Vorfälle halten die Risikosicht über die Laufzeit aktuell.
- EXT
- Fourth Party & ExitBeherrschen
- Unterauftragnehmer, Konzentration, Ersatzfähigkeit und Offboarding schließen die Risikokette.
Vom Wissen in den Betrieb
Ergebnisse nicht in einer weiteren Datei verlieren.
KaitoSec verbindet Anforderungen, Verantwortliche, Risiken, Maßnahmen und Nachweise in einem Arbeitsmodell.
Eigenständig formuliert auf Basis von NIS2, BSI- und UP-KRITIS-Veröffentlichungen, ISO/IEC 27036 sowie eigenen Praxismustern. Keine Rechts- oder Vertragsberatung.
Fachlicher Stand: 21.07.2026