Third-Party Risk Management (TPRM)

Third-Party Risk Management (TPRM), auf Deutsch Lieferanten- oder Drittparteienrisikomanagement, ist das systematische Erkennen, Bewerten und Überwachen der Risiken, die einem Unternehmen durch Dritte entstehen: durch Lieferanten, IT- und Cloud-Dienstleister, Softwarehersteller und Partner. In der Informationssicherheit geht es vor allem darum, welche Dritten Zugang zu Daten, Systemen oder Prozessen haben und was passiert, wenn einer von ihnen kompromittiert wird. TPRM begleitet die gesamte Geschäftsbeziehung, von der Auswahl bis zur Beendigung.

Warum Third-Party Risk Management wichtig ist

Ein Angreifer muss nicht das am besten geschützte Unternehmen überwinden, sondern nur das am schlechtesten geschützte Glied, das Zugang hat. Ein kompromittierter IT-Dienstleister mit Fernwartungszugang, ein Hosting-Anbieter mit Kundendaten oder ein Lieferant, dessen Systeme nach einem Ransomware-Angriff stillstehen, treffen das eigene Unternehmen direkt. Dazu kommt die Regulierung: NIS2 verlangt Maßnahmen zur Sicherheit der Lieferkette, DORA ein Management des ICT-Drittparteienrisikos. Wer nicht weiß, welche Dritten kritisch sind und wie es um deren Sicherheit steht, kann beides weder steuern noch nachweisen.

So funktioniert Third-Party Risk Management

Ein TPRM-Programm folgt in der Regel dem Lebenszyklus einer Lieferantenbeziehung:

• Inventar und Einstufung: alle Dritten erfassen und nach Kritikalität einstufen, etwa danach, ob sie auf Daten oder Systeme zugreifen oder ob ihr Ausfall den Betrieb stoppt.
• Prüfung vor Vertragsschluss: Fragebögen, Zertifikate wie ISO 27001, Prüfberichte und Gespräche klären, wie es um die Sicherheit des Dritten steht.
• Vertrag: Sicherheitsanforderungen, Meldepflichten bei Vorfällen, Prüfrechte und Regeln für den Ausstieg festlegen.
• Laufende Überwachung: Veränderungen erkennen, statt sich auf die Prüfung bei Vertragsschluss zu verlassen, etwa mit Security Ratings, Vorfallsmeldungen und regelmäßiger Neubewertung.
• Beendigung: Zugänge entziehen, Daten zurückfordern oder löschen lassen, den Übergang absichern.

Je kritischer ein Dritter ist, desto gründlicher die Prüfung und desto enger die Überwachung.

So unterstützt blacklens.io Third-Party Risk Management

blacklens.io deckt die laufende Überwachung von außen ab. Im Supply Chain Monitoring legen Sie Ihre Lieferanten einzeln oder per CSV-Import an und stufen jeden nach Kritikalität ein (Low, Medium, High, Critical). Jeder Lieferant wird von außen bewertet, ohne dass er etwas installieren oder freigeben muss, und alle 7 Tage neu: mit einer Note von A bis F, einem Score von 0 bis 100 und Findings mit Anleitung zur Behebung aus neun Bewertungsbereichen. Fällt eine Bewertung schlechter aus, meldet der Alert „Supplier risk increased“ das per E-Mail, Push oder Integration, bei Lieferanten mit der Kritikalität Critical mit hoher Priorität. Die Ransomware-Watchlist prüft etwa alle 30 Minuten, ob ein Lieferant auf einer Leak-Site auftaucht.

Der Supplier-Report je Lieferant und der zeitgesteuerte Supply-Chain-Report für das gesamte Portfolio liefern datierte Nachweise für NIS2 und DORA. Fragebögen, Selbstauskünfte und Vertragsprüfung bildet blacklens.io nicht ab; sie bleiben Teil Ihres TPRM-Prozesses.

Was ist der Unterschied zwischen TPRM und Vendor Risk Management?

Die Begriffe werden oft gleichbedeutend verwendet. Vendor Risk Management meint im engeren Sinn Lieferanten und Dienstleister, mit denen ein Vertrag besteht. Third-Party Risk Management ist weiter gefasst und schließt alle Dritten ein, also auch Vertriebspartner, Tochtergesellschaften und die Unterauftragnehmer Ihrer Lieferanten. In der Informationssicherheit geht es in beiden Fällen um dieselbe Frage: Welche Dritten können Ihre Sicherheit gefährden?

Verlangen NIS2 und DORA ein Third-Party Risk Management?

In der Sache ja, ohne ein bestimmtes Verfahren vorzuschreiben. NIS2 nennt in Artikel 21 Absatz 2 Buchstabe d die Sicherheit der Lieferkette als Maßnahme und verlangt nach Absatz 3, die spezifischen Schwachstellen jedes direkten Anbieters und die Qualität seiner Cybersicherheitspraxis zu berücksichtigen. DORA regelt das ICT-Drittparteienrisiko von Finanzunternehmen in den Artikeln 28 bis 30 und verlangt unter anderem ein Informationsregister über alle vertraglichen Vereinbarungen mit ICT-Drittdienstleistern (Artikel 28 Absatz 3).

Welche Lieferanten sollten zuerst überwacht werden?

Die mit dem größten Schaden im Ernstfall: Dienstleister mit Zugang zu Ihren Systemen, etwa für Fernwartung oder Managed Services, Anbieter, die personenbezogene oder vertrauliche Daten verarbeiten, und Lieferanten, ohne die der Betrieb stillsteht. Für den Anfang reicht eine einfache Einstufung nach Datenzugriff, Systemzugriff und Ersetzbarkeit. Kritische Dritte prüfen Sie vor Vertragsschluss gründlich und überwachen sie laufend; für unkritische genügt eine schlanke Prüfung.