Lieferantenrisikomanagement in der Cybersicherheit aufbauen: die 6 wichtigsten Schritte

Sie wissen, dass Sie die Risiken Ihrer Lieferanten bewerten müssen, aber Ihnen fehlen Zeit, Tools und Prozesse. Keine Panik. Hier ist ein klarer 6-Schritte-Plan, um einen TPRM-Ansatz (Third-Party Risk Management) zu starten – einfach, wirksam und auf Ihre Rahmenbedingungen abgestimmt.

1. Richten Sie den Ansatz an den Prioritäten des Unternehmens aus

Fragen Sie sich zuallererst, warum Sie TPRM betreiben. Geht es um ein Audit, um den Schutz sensibler Daten oder um die Einhaltung von DORA/NIS2? Diese Einordnung ist entscheidend, um Prioritäten zu setzen und die Beteiligten mitzunehmen.

🎯 Was Sie schützen wollen (Daten, Produktion, Compliance), sollte bestimmen, wie Sie den Ansatz strukturieren.

2. Legen Sie die Verantwortlichkeiten klar fest

Ohne eine benannte Person oder ein Team bewegt sich nichts. Auch ohne eigenes Team sollten Sie eine Ansprechperson für Sicherheit oder Compliance benennen, die die Steuerung übernimmt.

👥 Wer gibt Lieferanten frei? Wer fasst nach? Wer entscheidet, ob ein Onboarding gestoppt wird? Eine unvollkommene Governance ist besser als gar kein Rahmen.

3. Erfassen und klassifizieren Sie Ihre Lieferanten

Beginnen Sie damit, alle Ihre Lieferanten zu erfassen (Finanzen, IT, Einkauf). Stufen Sie sie anschließend nach Kritikalität ein: Zugriff auf Daten und Systeme, geschäftliche Rolle usw. Passen Sie schließlich den Arbeitsaufwand an Ihre Kapazitäten an.

📦 Sie können nicht alles machen: Konzentrieren Sie sich auf kritische Lieferanten. Ein 80/20-Ansatz ist oft der realistischste.

🗂️ Bündeln Sie die Informationen in einer einzigen Tabelle oder einem einzigen Tool (anfangs auch Excel). Ziel: auf einen Blick sehen, wer zu bearbeiten ist und wo jede Bewertung steht.

4. Bewerten Sie die Lieferanten

a. Legen Sie fest, was Sie prüfen wollen

Bleiben Sie einfach und gezielt: Cybersicherheit, Compliance (DORA, DSGVO), Business Continuity, Hosting, Unterauftragsvergabe. Vermeiden Sie unnötig lange Fragebögen.

b. Behandeln Sie neue und bestehende Lieferanten unterschiedlich

• Neue Lieferanten: Bewerten Sie sie vor dem Onboarding. Dann haben Sie den größten Hebel.

• Bestehende Lieferanten: Beginnen Sie mit den kritischsten und legen Sie einen realistischen Rhythmus fest (z. B. 1 pro Woche/Monat).

c. Binden Sie Ihre Lieferanten geschickt ein

Erklären Sie, warum Sie sie kontaktieren, was Sie erwarten und was Sie mit dem Ergebnis tun werden. Je transparenter Sie sind, desto mehr Antworten erhalten Sie.

📩 Setzen Sie auf Klarheit statt Komplexität: eine kurze Nachricht, ein knapper Fragebogen, eine klare Frist.

5. Gehen Sie mit Abweichungen um

Ziel ist nicht, alle zu blockieren, sondern das Risiko zu steuern. Dabei gibt es zwei Seiten:

a. Mit dem Lieferanten

Fordern Sie Präzisierungen an, schlagen Sie Korrekturmaßnahmen vor und vereinbaren Sie bei Bedarf formelle Maßnahmenpläne.

b. Intern

Akzeptieren Sie das Risiko (bewusst), ergänzen Sie eine Vertragsklausel oder fordern Sie eine technische Risikominderung (Segmentierung, Monitoring …).

📌 Dokumentieren Sie die Entscheidungen: Wer hat das Risiko akzeptiert, warum und bis wann?

6. Überwachen Sie im Zeitverlauf – je nach Kritikalität

Eine einmalige Bewertung reicht nicht aus. Richten Sie für kritische Lieferanten eine regelmäßige Nachverfolgung ein (jährlich, halbjährlich …) oder bei wesentlichen Änderungen (Vorfall, neue Regulierung, Änderung der erbrachten Leistung).

📆 Für den Einstieg genügt eine einfache Erinnerung in Ihrem Kalender oder Tool.

Zusammengefasst

TPRM muss kein endloses Projekt und kein bürokratisches Monstrum sein. Wenn Sie diese 6 Schritte regelmäßig und pragmatisch umsetzen, erhalten Sie einen robusten, auf Ihre Rahmenbedingungen abgestimmten Prozess, der einem Audit oder Vorfall standhält.