Lieferantenrisiken: Die Lean-Methode von Joseph Graceffa
Ich arbeite seit fast 30 Jahren in der Cybersicherheit. Im Laufe meiner Karriere hatte ich das Glück, Unternehmen aus dem gesamten Spektrum zu begleiten: Start-ups in der Seed-Phase, Scale-ups, KMU und Großkonzerne. Dabei bin ich zu folgendem Schluss gekommen: Es gibt 2 Arten, sich zu irren.
Die erste besteht darin, nichts zu tun. Die zweite, weniger offensichtliche, besteht darin, einen Großkonzern zu kopieren: endlose Fragebögen, Prozesse, die niemand am Leben halten kann, Dateien, die auf irgendeinem Laufwerk verschwinden, ohne je eine einzige Entscheidung zu beeinflussen.
Das Ausgangsprinzip, das man von Anfang an akzeptieren muss: 100 % Sicherheit gibt es nicht.
Irgendwann muss man aufhören und in eine Logik des Restrisikos übergehen. Ist der angemessene Aufwand erbracht, ist der Rest eine bewusste Risikoentscheidung: Man akzeptiert es oder überträgt es auf einen Versicherer.
Als CISO sind Versuchung und Druck groß, der Perfektion nachzujagen. Doch unsere Rolle ist eine andere. Sie besteht darin, dem Unternehmen zu helfen, bewusste Risiken mit seinen Lieferanten einzugehen, statt Risiken zu erleiden.
Ich teile heute mit Ihnen 4 Leitprinzipien für eine Lieferantenstrategie im Einklang mit dem Business.
Unterscheiden, was Wert schafft, und was nicht
Lieferantenrisikomanagement beginnt damit, nicht länger so zu tun, als hätten alle Lieferanten Priorität.
Man identifiziert die wenigen wirklich kritischen Dienstleister – diejenigen, die mit sensiblen Daten in Berührung kommen oder das Geschäft zum Stillstand bringen können – und konzentriert seine Energie auf sie.
Die Grundprinzipien sind universell und gelten unabhängig von Branche oder Unternehmensgröße:
eine ehrliche Bestandsaufnahme der kritischen Lieferanten;
das Prinzip der minimalen Rechte: Jeder erhält genau den Zugriff, den er benötigt;
eine Priorisierung anhand der richtigen Frage: Muss dieser Partner wirklich auf diese Daten zugreifen?
die Hygiene-Grundlagen: Identitäten, Patching, Backups und Malware-Schutz.
Das meiste, was Sie danach über einen neuen Lieferanten wissen müssen, lässt sich mit 2 Fragen klären:
Gibt es jemanden, der für die Sicherheit zuständig ist?
Ist die Sicherheitsrichtlinie schriftlich festgehalten? Ohne schriftliche Regeln gibt es keinen Rahmen.
Jedes Schweigen oder jede ungebührliche Verzögerung bei der Antwort ist ein Symptom mangelnder Reife.
Davon ausgehend können Sie den Aufwand und das Maß an Überzeugungsarbeit besser einschätzen, wenn Sie die vertragliche Ausgestaltung angehen.
Sehen Sie Sicherheitsklauseln vor und, wo gerechtfertigt, einen Sicherheitsplan (Plan d'Assurance Sécurité) als Anlage, der schwarz auf weiß die erwarteten Maßnahmen, die Meldung von Vorfällen, das Auditrecht und die Kontinuitätszusagen festhält. Das verpflichtet die Partner zu einem Mindestmaß an Sorgfalt.
Aber Vorsicht: Papier ist geduldig, die Realität weit weniger. Ein Vertrag verhindert keine bösen Überraschungen. Daher das eigentliche Thema: kontrollieren.
Fragebögen mit 200 Fragen zu versenden, ohne die Antworten je gründlich zu lesen und daraus Entscheidungen abzuleiten, ist keine Sicherheit, sondern Verschwendung. Eine Verschwendung, die eine Illusion von Sicherheit erzeugt, die noch gefährlicher ist als das völlige Fehlen eines Prozesses.
In Prozesse und Menschen investieren, nicht in Tools
Ein Fehler, den ich häufig sehe: Tools anzuhäufen, um fehlende Methodik auszugleichen.
Die besten Investitionen, die ich gesehen habe, lassen sich in drei Punkten zusammenfassen:
Durchdachte Vertragsmuster,
Zeit, um sie an den Anwendungsfall anzupassen, und
Fachleute, die zwischen den Zeilen lesen und einen Lieferanten kritisch hinterfragen können.
Letztlich hängt alles vom Menschen ab. Aber wie wählt man das richtige Profil?
Zunächst empfehle ich jemanden mit einem gewissen technischen Hintergrund. Diese Basis muss ausreichen, um zu verstehen, was der Lieferant tatsächlich tut, wie er in das Informationssystem eingebunden ist, welche Daten er verarbeitet und wo es brechen kann.
Hinzu kommt ein gewisses vertragliches Gespür: das, was es ermöglicht, Klauseln zu lesen und vorzuschlagen, aber auch die Unschärfen zu erkennen, aus denen Probleme entstehen.
Sie ahnen es: Diese Kompetenzen sind nur die halbe Geschichte. Der entscheidende Faktor liegt woanders. Ich spreche natürlich von den Soft Skills: Risiken verständlich machen, verhandeln, ohne zu verprellen, die Beziehung langfristig pflegen.
Sie brauchen jemanden, der strukturiert, neugierig und hartnäckig ist, einen Lieferanten hinterfragen kann, ohne einen Kreuzzug zu starten, und nah genug am Business ist, um TPRM nicht in ein bürokratisches Monstrum zu verwandeln.
Zum Schluss das Wichtigste: Ihre ideale Besetzung akzeptiert, dass nie etwas perfekt sein wird.
Der CISO als Partner des Business, nicht als „Doctor No“
Ein wirksames TPRM ist eines, das als integraler und strategischer Bestandteil des Business akzeptiert wird.
Eines ist sicher: Lieferantenrisiken früh zu adressieren, bringt Ihnen den besten Return on Investment. Als vCISO für eine Vielzahl junger Unternehmen habe ich es immer wieder erlebt: Gute Cybersicherheit ist ein eigenständiger Unternehmenswert, genauso wie Ihr Auftragsbestand oder Ihre Marke.
Es geht hier um sehr konkrete Themen. Ein bestimmtes Cybersicherheitsniveau schnell nachweisen zu können, kann beim Abschluss eines Deals mit einem Großkunden oder sogar bei einer Finanzierungsrunde entscheidend sein.
Reife wird bewertet – und sie fällt in der Verhandlung ins Gewicht.
Der CISO muss Hüter und Förderer dieses Unternehmenswerts sein. Wer sich nicht etwas Zeit nimmt, zuzuhören und Vorschläge zu machen, wird zum Hindernis statt zum Partner.
Was man um jeden Preis vermeiden muss, ist die Haltung des „Doctor No“-CISO: überlastet, verschanzt hinter Antivirenkonsole und Firewalls, der nur aus seinem Schneckenhaus kommt, um Verbote auszusprechen. Die gegenteilige Haltung, die mir am meisten geholfen hat, lässt sich in einem Satz zusammenfassen: „Wir wollen das tun – ich schlage vor, wir betrachten es eher aus diesem Blickwinkel.“
Wer sich allem widersetzt, verliert die Kontrolle, und das Business kommt am Ende ohne uns zurecht.
KI, der Beginn einer neuen Ära
Über das 4. Prinzip ist viel geschrieben worden. Auch wenn KI nicht mit falschen Versprechungen gegeizt hat, ist sie inzwischen Teil der Landschaft und wird es bleiben.
Die letzten Jahre haben es uns ermöglicht, zu iterieren und die Anwendungsfälle zu identifizieren, in denen sie unsere Arbeitsweise wirklich verändern kann. Entscheidend ist, ihre Schwächen und Stärken nüchtern einzuschätzen.
Eine ihrer unbestreitbaren Stärken ist die Dokumentenanalyse: Fragebögen vorbereiten und auswerten, Antworten verschiedener Lieferanten vergleichen, für die Fachbereiche verständliche Zusammenfassungen erstellen, Erwartungen je Lieferantentyp standardisieren.
Zwischen Lesen, Sortieren, Aufbereiten und Vergleichen liegt die Zeitersparnis bei rund 30–50 %. Es kommt dann darauf an, diese Zeit dem Wesentlichen zu widmen: mit den Fachbereichen sprechen, kritische Lieferanten hinterfragen, realistische Maßnahmenpläne erstellen, statt Folien aneinanderzureihen.
Aber Vorsicht: Die Schutzmechanismen sind nicht verhandelbar. Vermeiden Sie automatische Entscheidungen ohne menschliche Prüfung. Stellen Sie sicher, dass Ihre Daten in kontrollierte Umgebungen eingespeist werden.
Im Übrigen bin ich zutiefst überzeugt, dass manche Dinge nicht an die Technologie delegiert werden sollten: der Kontext, das direkte Gespräch mit einem Schlüssellieferanten und Risikoabwägungen.
Manche Aufgaben erfordern eine Differenzierung und menschliche Intelligenz, die über die von Algorithmen hinausgeht.
Wie es morgen aussieht
Wenn ich ins Jahr 2030 blicke, sehe ich ein stärker integriertes und dynamischeres TPRM. Ich sehe kontinuierlich aktualisierte Lieferantendaten, sich entwickelnde Risikoscores und einen CISO, der mehr Zeit in strategischen Gesprächen verbringt als mit dem Einsammeln von Antworten.
Lean ist keine Einschränkung kleiner Budgets, sondern die Richtung, in die sich der Beruf entwickelt. Da kann man sich die richtigen Reflexe auch gleich jetzt aneignen.
Ich freue mich auf den Austausch mit Ihnen.
—
Bis dahin: Wenn diese Themen Herausforderungen in Ihrem Unternehmen widerspiegeln, haben wir am 30. September um 10 Uhr Gelegenheit, mit 6 weiteren Experten für Lieferantenrisiken darüber zu sprechen. Kostenlose Anmeldung.