So bauen Sie ein Programm für Drittparteienrisiken von Grund auf

Ein wachsender Anteil von Sicherheitsvorfällen betrifft inzwischen eine Drittpartei: einen Softwarelieferanten, einen Managed-Service-Provider, einen Lohnabrechner oder eine Marketingplattform. Ihre Sicherheit ist nur so stark wie der schwächste Lieferant mit Zugriff auf Ihre Daten oder Systeme.

Third-Party Risk Management (TPRM) gibt Ihnen einen wiederholbaren Weg, dieses Risiko zu verstehen, zu senken und zu überwachen. So bauen Sie ein Programm aus dem Nichts auf.

Schritt 1: Das Lieferanteninventar aufbauen

Lieferanten, die Sie nicht kennen, können Sie nicht bewerten. Ziehen Sie die Liste aus Kreditorenbuchhaltung, Einkauf, SSO-Logs und Spesenabrechnungen. Erfassen Sie für jeden Lieferanten den internen Verantwortlichen, welche Daten er verarbeitet und welche Zugänge er hat.

Schritt 2: Lieferanten nach Risiko einstufen

Nicht jeder Lieferant verdient dieselbe Prüftiefe. Ein einfaches Drei-Stufen-Modell passt für die meisten Organisationen.

Stufe 1: Kritisch

Lieferanten mit Zugriff auf sensible Daten oder Produktivsysteme – oder deren Ausfall Ihr Geschäft lahmlegen würde. Sie erhalten vollständige Bewertungen und kontinuierliches Monitoring.

Stufe 2: Wichtig

Lieferanten mit begrenztem Datenzugriff oder mittlerer Geschäftsauswirkung. Ein schlankerer Fragebogen und eine jährliche Prüfung reichen meist aus.

Stufe 3: Gering

Lieferanten ohne Datenzugriff und leicht ersetzbar. Erfassen Sie sie und prüfen Sie ihren externen Sicherheitsstatus automatisch.

Schritt 3: Mit Nachweisen bewerten, nicht nur mit Antworten

Fragebögen zeigen, was ein Lieferant nach eigener Aussage tut. Kombinieren Sie sie mit Nachweisen wie SOC-2-Berichten, ISO-27001-Zertifikaten und Zusammenfassungen von Penetrationstests sowie einem Blick von außen auf seine Angriffsfläche, um zu sehen, was er tatsächlich tut.

Schritt 4: Beheben und Ausnahmen dokumentieren

Wenn Sie Lücken finden, vereinbaren Sie Behebungspläne mit Fristen. Akzeptiert das Unternehmen ein Risiko trotzdem, dokumentieren Sie die Ausnahme, den Verantwortlichen und ein Prüfdatum. Prüfer werden danach fragen.

Schritt 5: Kontinuierlich überwachen

Eine jährliche Prüfung ist eine Momentaufnahme. Zwischen zwei Prüfungen werden Lieferanten angegriffen, wechseln den Eigentümer oder lassen Zertifikate ablaufen. Kontinuierliches Monitoring meldet, wenn sich der Status eines kritischen Lieferanten ändert oder er in Meldungen über Sicherheitsvorfälle auftaucht.

Schritt 6: An die Führungsebene berichten

Fassen Sie das Programm in Kennzahlen zusammen, die Führungskräfte interessieren: wie viele kritische Lieferanten Sie haben, wie viele Ihre Mindestanforderungen erfüllen und welche offenen Risiken eine Entscheidung brauchen. Beschränken Sie sich auf eine Seite.

Typische Stolperfallen

Programme geraten meist aus einem von drei Gründen ins Stocken: Sie wollen jeden Lieferanten gleich prüfen, sie verlassen sich nur auf Fragebögen, oder niemand ist für die Nachverfolgung der Behebung zuständig. Stufen, Nachweise und klare Verantwortung lösen alle drei.