Third Party Risk Management
Third Party Risk Management ist kein einmaliger Check, sondern ein durchgängiger Lebenszyklus. Dieser Überblick erklärt die sieben Phasen — und warum Continuous Monitoring den Unterschied macht. Mehr zur Gesamtlösung auf der Seite Third Party Risk Management.
Der TPRM-Lifecycle (Third-Party-Risk-Management-Lebenszyklus) beschreibt den durchgängigen Prozess, mit dem Unternehmen Drittparteienrisiken von der ersten Zusammenarbeit bis zur Beendigung steuern. Statt einer einmaligen Prüfung beim Onboarding werden Lieferanten und Dienstleister über ihren gesamten Lebenszyklus hinweg bewertet, überwacht und neu eingeschätzt — denn Risiko ist kein Zustand, sondern verändert sich fortlaufend.
Neue Drittparteien werden zentral erfasst: Stammdaten, bezogene Services, Datenzugriffe, betroffene Prozesse und Verantwortlichkeiten. Ein vollständiges Drittparteieninventar ist die Grundlage jedes belastbaren TPRM — man kann nur steuern, was man kennt.
Nicht jeder Lieferant ist gleich kritisch. Über eine Risikoeinordnung (Tiering) wird bestimmt, welche Prüf- und Überwachungstiefe nötig ist — anhand von Datenzugriff, Systemkritikalität, Prozessabhängigkeit und regulatorischer Relevanz. So fließen Ressourcen dorthin, wo das Risiko am höchsten ist.
Kritische Drittparteien werden strukturiert bewertet. Umfang und Tiefe des Third Party Risk Assessments richten sich nach dem inhärenten Risiko: Informationssicherheit, Datenschutz, Business Continuity, Zugriffsrechte, Subdienstleister und regulatorische Anforderungen. Statt Gießkanne gilt: risikobasiert prüfen.
Nach dem Onboarding endet TPRM nicht. Zwischen zwei Assessments können Zugangsdaten kompromittiert werden, neue Schwachstellen entstehen oder ein Anbieter Opfer eines Angriffs werden. Continuous Monitoring und externe Cyber-Risikosignale halten das Risikobild laufend aktuell — Veränderungen werden früh sichtbar, nicht erst beim nächsten Review.
Verändert sich die Bedrohungslage oder tritt ein relevantes Ereignis ein, erfolgt eine strukturierte Neubewertung. Kritische Drittparteien werden häufiger neu bewertet als Anbieter mit geringem Risiko — Re-Assessments sind risikobasiert, nicht rein kalendergesteuert.
Kritische Findings werden priorisiert, Verantwortliche zugewiesen und Maßnahmen eingeleitet. Risiken werden behandelt, gemindert, übertragen oder bewusst akzeptiert — und jede Entscheidung wird nachvollziehbar dokumentiert.
Wird eine Zusammenarbeit beendet, müssen Zugriffe entzogen, Daten geregelt und Abhängigkeiten sauber aufgelöst werden. Der gesamte Lifecycle bleibt revisionssicher dokumentiert — eine belastbare Grundlage für NIS2, DORA, ISO 27001 und interne wie externe Audits.
Ein jährlicher Fragebogen bildet nur einen Zeitpunkt ab. Der Wert des TPRM-Lifecycles liegt in der laufenden Aktualität: apascope verbindet die strukturierten Phasen mit kontinuierlicher Cyber Threat Intelligence, sodass aus einer statischen Lieferantenliste ein dynamisches, jederzeit aktuelles Risikobild wird.
In der Praxis werden meist sieben Phasen unterschieden: Onboarding/Erfassung, Kritikalität & Tiering, Due Diligence/Assessment, Continuous Monitoring, Re-Assessment, Eskalation & Maßnahmen sowie Offboarding & Dokumentation. Die genaue Zahl variiert je nach Modell, entscheidend ist die durchgängige Abdeckung von Anfang bis Ende.
Ein Assessment ist eine strukturierte Bewertung zu einem bestimmten Zeitpunkt (oft per Fragebogen). Continuous Monitoring ergänzt dies um eine laufende, ereignisgetriebene Überwachung externer Risikosignale — so werden Veränderungen zwischen den Assessments sichtbar.
Risikobasiert: kritische Drittparteien häufiger als Anbieter mit geringem Risiko. Neben regelmäßigen Re-Assessments sollten auch relevante Ereignisse (z. B. ein Sicherheitsvorfall beim Lieferanten) eine Neubewertung auslösen.
apascope deckt den gesamten Lifecycle ab — vom zentralen Inventar über Tiering und Assessments bis zu Continuous Monitoring, Maßnahmenverfolgung und revisionssicherer Dokumentation — und reichert ihn mit aktueller Cyber Threat Intelligence an.
Von der Erfassung bis zum Offboarding — mit Continuous Monitoring und Cyber Intelligence in einer Plattform.
TPRM-Demo anfragen