Drittanbieter-Risikomanagement: Von Lieferantenfragebögen zu kontinuierlicher Absicherung

Drittanbieter-Risikomanagement geht über jährliche Fragebögen und statische Due-Diligence-Unterlagen hinaus. Dieses Modell reicht für die Geschwindigkeit, Komplexität und Abhängigkeitstiefe moderner digitaler Geschäftsmodelle nicht mehr aus.

Viele Unternehmen verlassen sich heute für zentrale Leistungen auf Drittanbieter: Cloud-Hosting, Zahlungsabwicklung, Identitätsdienste, IT-Support, Compliance-Tools, Kundenplattformen, Analytics und operative Infrastruktur. Das schafft Effizienz, aber auch Abhängigkeit. Ein Cybervorfall bei einem Lieferanten kann Ihr Geschäft stören, sensible Daten offenlegen, regulatorische Prüfungen auslösen oder das Vertrauen der Kunden beschädigen.

Wirksames Drittanbieter-Risikomanagement beginnt mit Segmentierung. Nicht jeder Lieferant erfordert dasselbe Mass an Überwachung. Kritische und risikoreiche Lieferanten sollten erweiterte Due Diligence, vertragliche Kontrollen, definierte Service-Levels, Meldepflichten bei Vorfällen, Prüfungsrechte, Datenschutzanforderungen und Resilienztests erhalten.

Die grösste Verbesserung, die viele Unternehmen vornehmen können, ist der Übergang von einer “Freigabe zu einem Zeitpunkt” zu “kontinuierlicher Absicherung”. Das bedeutet, Veränderungen im Lieferantenrisiko zu überprüfen, Sicherheitszertifizierungen nachzuverfolgen, Vorfälle zu überwachen, Zugriffsrechte neu zu bewerten und zu validieren, ob Lieferanten die Wiederherstellungserwartungen tatsächlich erfüllen können.

Verwaltungsräte und Geschäftsleitung sollten drei praktische Fragen stellen: Welche Drittanbieter sind kritisch für unseren Betrieb? Was würde passieren, wenn sie morgen ausfielen? Haben wir Nachweise, dass sie schützen, reagieren und sich erholen können?

Kernaussage: Beim Drittanbieter-Risikomanagement geht es nicht darum, zu belegen, dass Lieferanten beim Onboarding sicher aussahen. Es geht darum, zu wissen, ob sie über die Zeit sicher, resilient und geeignet bleiben.