5 konkrete Tipps für ein wirksames Lieferantenrisikomanagement

Podiumsdiskussion, moderiert von Étienne Retout (Galink), mit zwei Praxisexperten:

• Imane Dahou, Managerin Cybersecurity, Data Protection & IT Risk bei Sia

• Gérôme Billios, Partner bei Wavestone (Practice Cybersecurity & Digital Trust)

Ziel der Session: vom „Warum“ zum „Wie“ zu gelangen und fünf sofort umsetzbare Tipps zur Steuerung von Cyberrisiken durch Dritte vorzustellen.

Das vollständige Webinar finden Sie hier

Tipp Nr. 1: Governance als Hebel für Handeln und Abstimmung mit dem Vorstand

Ein häufiger Fehler: Lieferantenrisiken auf ein rein technisches Thema zu reduzieren. Es ist in erster Linie eine Frage von Governance und Verantwortung.

„Das Lieferantenrisiko darf nicht länger allein der IT oder der Cybersecurity vorbehalten sein. Es betrifft die rechtliche Verantwortung und die Reputation des gesamten Unternehmens“, betont Imane Dahou.

• Lieferantenrisiken in das unternehmensweite Risikoregister aufnehmen (auf derselben Ebene wie Compliance und Business Continuity), mit einem Reporting an den Risikoausschuss und die Geschäftsleitung.

• Eine Kultur geteilter Verantwortung etablieren: Einkauf (Auswahl), Rechtsabteilung (Vertragsgestaltung), Fachbereiche (Nutzung und Priorisierung), IT (Betrieb/Überwachung), Sicherheitsteam (Rahmen und Kontrolle). Eine klare RACI-Matrix vermeidet Grauzonen.

• Die Sprache der anderen Funktionen sprechen: sich an das Vokabular von Einkauf, Rechtsabteilung und Fachbereichen anpassen und mit konkreten Fällen und aktuellen Ereignissen das Thema greifbar machen.

„Die Sicherheit von Drittanbietern kann nicht auf einer einzigen Funktion lasten. Jede hält einen Hebel zur Risikobeherrschung in der Hand“, erinnert sie.

Tipp Nr. 2: Die Sprache des Vorstands sprechen – von Cyber zu Business-Impact

Um nachhaltig zu überzeugen, muss Cyber in geschäftliche Auswirkungen übersetzt werden: Ausfall kritischer Prozesse, Offenlegung sensibler Daten, technologische Abhängigkeiten, regulatorische Pflichten.

„Man muss ein Chamäleon sein, sich dem Vokabular der anderen anpassen und das Rad nicht neu erfinden“, empfiehlt Gérôme Billios. „Der Einkauf managt bereits Lieferantenrisiken – an uns ist es, die Cyber-Dimension zu integrieren.“

Das Bild des Chamäleons fasst den Ansatz zusammen: keine separate Mechanik aufbauen, sondern Cyber an das Lieferantenrisikomanagement andocken, das bereits von Einkauf und Geschäftsleitung getragen wird.

Tipp Nr. 3: Priorisieren, vertraglich absichern und auditieren

Bei umfangreichen Lieferantenbeständen ist ein differenziertes Vorgehen nötig.

„Starten Sie klein und wachsen Sie schnell“, rät Gérôme Billios. „Die 20 bis 30 kritischen Lieferanten kennt man oft intuitiv. Beginnen Sie mit ihnen.“

• Erfassen und klassifizieren nach mit dem Einkauf abgestimmten Kriterien: Vertraulichkeit, Integrität, Verfügbarkeit (CIA), Standort und Rechtsordnungen, technologische Abhängigkeit, regulatorische Exponierung.

• In drei Stufen segmentieren:

  1. Kritisch (etwa 20 bis 30): dedizierte Audits, Austausch CISO↔CISO, Tests, verstärkte Überwachung.

  2. Wesentlich (Hunderte): toolgestützte Fragebögen, regelmäßige Bewertungen, Analyseplattformen.

  3. Der Rest: vertragliche Standardanforderungen, verhältnismäßige Mindestmaßnahmen, Monitoring nach dem Ausnahmeprinzip.

„Auslagern entbindet nicht von der Verantwortung. Der Vertrag bleibt die erste Verteidigungslinie“, erinnert Imane Dahou.

• Vertraglich absichern, um die Kontrolle zu behalten: Reversibilität und Unterstützung beim Übergang (Formate, Garantien, Fristen), Audit-/Testrechte, Regelung von Unterauftragsketten, operative Anforderungen (Backups, Notfallwiederherstellung/BCM, Incident Management, Meldefristen, Verschlüsselung, Protokollierung, Datenstandort).

• Sonderfall kaum verhandelbarer „Giganten“: auf Zertifizierungen (ISO 27001, SOC 2 usw.) und kollektive Hebel (Branche, Verbände, Aufsichtsbehörden) setzen. Abhängigkeiten (Exit-Optionen, Multi-Cloud) bereits bei der Konzeption einplanen.

„Mit den Giganten kann man nicht immer verhandeln, aber man kann über Zertifizierungen und Regulierung Garantien einfordern“, erklärt sie.

Tipp Nr. 4: Schnelle und greifbare Ergebnisse zeigen

Um den Nutzen zu belegen, auf Quick Wins bei 10 bis 20 kritischen Lieferanten setzen: gestartete Audits, nachverfolgte Maßnahmenpläne, aktualisierte Klauseln, durchgeführte Tests. Jeden Lieferanten/Vertrag mit Geschäftsprozessen verknüpfen und die Risikoentwicklung je Prozess messen. Vertragsverlängerungen nutzen, um neue Sicherheitsanhänge einzubringen, statt alles auf einmal neu zu verhandeln.

„Man muss zeigen, dass es etwas bringt“, fasst Gérôme Billios zusammen. „Die ersten Ergebnisse erzeugen eine positive Dynamik und erleichtern die Akzeptanz.“

Tipp Nr. 5: Tools und KI für die Skalierung

Repetitive Aufgaben automatisieren (Nachweise einholen, Dokumente lesen und vergleichen, Scoring, Erinnerungen) und KI nutzen, um die Analyse von Fragebögen und Verträgen zu beschleunigen. Entscheidende Voraussetzung: eine saubere Referenzbasis (Klauselvorlagen, Cyber-Kriterien, Lieferanten-/Prozessverzeichnis). KI bringt vor allem in der Industrialisierungsphase Vorteile, mit menschlicher Prüfung bei sensiblen Entscheidungen.

„KI ist keine Magie: Ohne saubere Datenbasis arbeitet sie ins Leere“, warnt Gérôme Billios.

Praxistipps für CISOs, um den Vorstand mitzunehmen

• Cyber in der bestehenden Governance des Lieferantenrisikos verankern (kein paralleles Silo).

• Über geschäftliche Auswirkungen sprechen und regelmäßig sichtbare Ergebnisse vorweisen.

• Klug priorisieren: Lieber 20 kritische Lieferanten gründlich behandeln als 2.000 Verträge oberflächlich prüfen.

• Die Beziehung rechtlich absichern: Reversibilität, Audit, Unterauftragsvergabe, Incident Management.

• Die Skalierung vorbereiten: Referenzdaten, Automatisierungen, dann überwachte KI.

Kurz gesagt

Klare Governance, Business-Sprache, Priorisierung nach Kritikalität, robuste Verträge, schnelle Ergebnisse und passende Tools: Erst die Kombination dieser Hebel ermöglicht es, Cyberrisiken durch Lieferanten im Alltag zu beherrschen und die gesamte Organisation – vom Vorstand bis zu den operativen Teams – nachhaltig mitzunehmen.