KI, Agenten … Wie wird das Management dieses Risikos 2030 aussehen?

Rückblick auf die Podiumsdiskussion des Vendor Cyber Risk Summit – moderiert von Mathieu (Galink), mit Ayoub Fandi und Laurent Hausermann

Während das Lieferantenrisikomanagement für Cybersecurity- und Compliance-Abteilungen zu einem kritischen Thema wird, etabliert sich künstliche Intelligenz (KI) als zentraler Hebel der Transformation. Auf dem Vendor Cyber Risk Summit, veranstaltet von Galink, moderierte Mathieu eine spannende Podiumsdiskussion mit zwei Experten, die sich ideal ergänzen:

• Ayoub Fandi, Gründer der Bewegung GRC Engineering und verantwortlich für GRC-Automatisierung bei GitLab,

• Laurent Hausermann, Serial Entrepreneur und Mitgründer von Cygo Entrepreneur, einem auf Cybersecurity spezialisierten Startup-Studio.

Gemeinsam teilten sie ihre Vision einer Zukunft – die bereits begonnen hat –, in der KI zum Motor für Effizienz und Resilienz im Lieferantenrisikomanagement (TPRM) wird.

Sehen Sie sich das Webinar hier vollständig an

KI im Lieferantenrisikomanagement: Eine Revolution, die bereits läuft

Gleich zu Beginn ergab eine Umfrage unter den Teilnehmenden ein überraschendes Ergebnis: Fast 40 % der Organisationen haben in ihrem Risikomanagementprozess noch nie KI eingesetzt.
Dabei gibt es zahlreiche – und konkrete – Anwendungsfälle.

Ayoub zeigte, wie GitLab KI bereits nutzt, um die Dokumentenprüfung zu automatisieren – den eigentlichen Engpass im TPRM.

„Ein SOC-2-Bericht umfasst zwischen 50 und 300 Seiten. Mit KI können wir automatisch die 60 bis 70 Zeilen extrahieren, die für unsere Kontrollen wirklich zählen.“

Dank der automatischen Analyse von Berichten, Fragebögen und Sicherheitstests konnte sein Team regelrechte „Steckbriefe“ für Lieferanten erstellen, die Auditergebnisse, Ausnahmen und nicht behobene Schwachstellen bündeln.
Ergebnis: eine erhebliche Zeitersparnis und die Fähigkeit, mehrere Hundert Lieferanten mit demselben Team zu bearbeiten.

Für den Mittelstand wird KI zum unverzichtbaren Beschleuniger

Laurent brachte eine Praxisperspektive ein: die des Mittelstands, also von Unternehmen mit 500 bis 5.000 Beschäftigten, denen oft dedizierte personelle Ressourcen für Cybersecurity fehlen.

„Unter 1.500 Mitarbeitenden gibt es oft keinen Vollzeit-CISO. Die Teams jonglieren mit mehreren Aufgaben und haben nicht die Ressourcen, um die Anforderungen großer Auftraggeber zu erfüllen.“

Auch hier kann KI den Unterschied machen.
Laurent nennt das Beispiel von KMU, die Wochen damit verbracht haben, HR- und IT-Daten manuell abzugleichen, um inaktive Konten zu identifizieren – eine Arbeit, die ein KI-Agent in wenigen Stunden automatisieren könnte.

„KI gleicht den Mangel an Personal und Zeit aus. Sie ist der einzig realistische Weg, den Mittelstand auf das erwartete Cyber-Reifegradniveau zu bringen.“

Von der Berichterstellung zum autonomen Handeln

Beide Experten sind sich einig: Wir stehen erst am Anfang.
Heute hilft KI, Daten zu aggregieren und zusammenzufassen; morgen wird sie handeln.

„Der nächste Schritt besteht darin, Aktionen an KI-Agenten zu delegieren“, erklärt Laurent.
„Wie bei Anti-Spam-Lösungen in ihren Anfängen zögert man, ihnen zu vertrauen – aber morgen wird es undenkbar sein, darauf zu verzichten.“

Ayoub bestätigt diese Vision mit konkreten Zahlen:

„Bei uns analysiert eine KI 700 Seiten in 75 Sekunden. Multiplizieren Sie das mit 2.000 Lieferanten: Der Produktivitätsgewinn ist enorm.“

Und morgen? TPRM auf Autopilot

Auch wenn 2030 noch weit entfernt scheint, wird die Zukunft des TPRM bereits geschrieben.
Die Experten skizzieren einen nahezu vollständig automatisierten Prozess:

• Die KI scannt das „Trust Center“ eines Lieferanten,

• analysiert seine Angriffsfläche und seine Vorfallhistorie,

• wertet Erwähnungen des Lieferanten in internen Tools (Slack, Tickets usw.) aus, um schwache Signale zu erkennen,

• und vergibt eine kontextbezogene, dynamische Risikobewertung.

„Wir werden uns nicht mehr mit einem statischen Fragebogen begnügen: Wir werden eine Bewertung in Echtzeit haben, gestützt auf konkrete Daten und Kreuzanalysen“, prognostiziert Ayoub.

Laurent ergänzt, dass die Fortschritte bei kleinen Open-Source-Modellen (SLM) und Technologien wie MCP (Model Context Protocol) es bald ermöglichen werden, diese KI direkt in interne Systeme zu integrieren, ohne sensible Daten preiszugeben.

Der Mensch bleibt im Mittelpunkt des Prozesses

Trotz der Leistungsfähigkeit der Modelle herrscht Konsens: Der Mensch bleibt unverzichtbar.

„KI automatisiert die Erfassung und Analyse, aber die finale Entscheidung muss beim Menschen bleiben. Sie schafft Freiraum für das Wesentliche: verstehen, sich austauschen, entscheiden“, betont Mathieu.

Mit anderen Worten: KI ersetzt den Cyber-Experten nicht, sie erweitert seine Fähigkeiten.

Fazit

KI ist kein Zukunftsversprechen mehr – sie ist ein operatives Werkzeug, das das Lieferantenrisikomanagement bereits verändert.
Pioniere wie GitLab oder die Initiativen von Five Entrepreneurs weisen den Weg:

• kürzere Dokumentenprüfung,

• bessere Priorisierung von Risiken,

• und gleichberechtigter Zugang zu Cyber-Performance, auch für den Mittelstand.

Um jedoch zu skalieren, muss diese Revolution von Überzeugungsarbeit und Vertrauensbildung begleitet werden.
Denn wie Laurent es treffend zusammenfasst:

„Wir hatten Angst, einen Algorithmus unsere Spam-Mails sortieren zu lassen. Heute könnten wir nicht mehr darauf verzichten. Genauso wird es in der Cybersecurity sein.“