Third-Party Risk · Lieferketten sichtbar machen
Ihr Risiko endet nicht am Vertrag.
TPRMWissen macht Cyber-, Datenschutz- und Kontinuitätsrisiken aus IT-Dienstleistern steuerbar, von der Kritikalität bis zum getesteten Exit.
Nicht mehr lesen als für den nächsten Schritt nötig.
- 20StartfragenAusgangslage einordnen20 Fragen zeigen, wo Sie stehen und was als Nächstes ansteht.Öffnen
- 7UmsetzungskapitelUmsetzung strukturieren7 Kapitel verbinden Entscheidungen mit konkreten Ergebnissen.Öffnen
- 6VorlagenMit einer Vorlage starten6 offene Arbeitshilfen für Workshop, Register und Review.Öffnen
5,0 von 5
Quellenbasierte Orientierung
Fachartikel
- GrundlagenThird-Party Risk Management: Was ein TPRM tatsächlich steuertTPRM verbindet Beschaffung, Informationssicherheit, Datenschutz, BCM und Fachverantwortung über den gesamten Lieferantenlebenszyklus.8 min
- InventarLieferanteninventar und Kritikalität: Erst die Leistung, dann der NameEin Anbieter kann mehrere Leistungen mit sehr unterschiedlichem Risiko erbringen. Deshalb wird die Beziehung klassifiziert, nicht nur das Unternehmen.8 min
- Due DiligenceLieferanten-Due-Diligence: Fragen stellen, Evidenzen bewertenEin ausgefüllter Fragebogen ist eine Behauptung. Erst passende Nachweise, Scope und Aktualität machen daraus eine belastbare Prüfung.9 min
- AnforderungenSicherheitsanforderungen an Lieferanten konkret vereinbarenKontrollziele werden erst steuerbar, wenn Umfang, Frist, Evidenz, Meldeweg und Folgen einer Abweichung zum konkreten Service passen.9 min
- MonitoringContinuous Monitoring: Änderungen erkennen, bevor der Jahresreview beginntKontinuierliche Überwachung kombiniert vertragliche Informationen, Leistungsdaten, Sicherheitsereignisse, Nachweise und interne Veränderungen.8 min
- VorfälleLieferantenvorfälle: Meldewege und Entscheidungen vor dem Incident klärenWenn ein Anbieter erst nach Stunden den richtigen Kontakt sucht, ist die vertragliche Meldepflicht operativ wertlos.8 min
- LieferketteFourth Parties und Konzentrationsrisiken sichtbar machenViele scheinbar unabhängige Anbieter hängen von denselben Cloud-, Identitäts-, Netzwerk- oder Softwarediensten ab.8 min
- ExitLieferanten-Exit: Daten, Zugänge und Betriebsfähigkeit kontrolliert zurückholenEin Exit beginnt nicht mit der Kündigung. Kritische Beziehungen brauchen früh definierte Rückgabe-, Migrations- und Übergangsszenarien.9 min
Die Lieferanten-Risikokette
Third-Party Risk Management ist ein Lebenszyklus: auswählen, einstufen, prüfen, vereinbaren, überwachen und kontrolliert beenden. Jede Phase erzeugt eigene Entscheidungen und Nachweise.
- GOV
- GovernanceSteuern
- Policy, Rollen, Risikokriterien und Freigaben setzen den einheitlichen Rahmen für alle Beziehungen.
- INV
- Inventar & TieringPriorisieren
- Leistungen, Daten, Zugriffe, Kritikalität und Abhängigkeiten bestimmen die erforderliche Prüftiefe.
- DUE
- Due DiligencePrüfen
- Risikobasierte Fragen und servicebezogene Evidenzen machen Kontrolllücken entscheidbar.
- REQ
- AnforderungenVereinbaren
- Verträge und Betriebsvereinbarungen übersetzen Kontrollziele in überprüfbare Pflichten.
- MON
- Monitoring & IncidentÜberwachen
- Änderungen, Nachweise, Leistung und Vorfälle halten die Risikosicht über die Laufzeit aktuell.
- EXT
- Fourth Party & ExitBeherrschen
- Unterauftragnehmer, Konzentration, Ersatzfähigkeit und Offboarding schließen die Risikokette.
Eigenständig formuliert auf Basis von NIS2, BSI- und UP-KRITIS-Veröffentlichungen, ISO/IEC 27036 sowie eigenen Praxismustern. Keine Rechts- oder Vertragsberatung. Fachlicher Stand: 21. Juli 2026
Ergebnisse nicht in einer weiteren Datei verlieren.
KaitoSec verbindet Anforderungen, Verantwortliche, Risiken, Maßnahmen und Nachweise in einem Arbeitsmodell.