What is a vendor risk assessment?

A vendor risk assessment evaluates the security, privacy, compliance, operational, financial, and business risks associated with a third-party vendor.

Why are vendor risk assessments important?

They help organizations identify third-party weaknesses before a vendor receives access to sensitive data, systems, applications, or critical business processes.

What should a vendor risk assessment include?

It should evaluate the vendor's service, data access, security controls, privacy practices, compliance, subprocessors, incident response, resilience, and business criticality.

How often should vendors be reassessed?

Reassessment frequency should reflect risk. High-risk vendors may require annual or continuous review, while material changes, incidents, and expanded access should trigger additional review.

How is a vendor risk assessment different from TPRM?

A vendor risk assessment evaluates an individual vendor. Third-party risk management is the broader program governing vendors throughout onboarding, monitoring, renewal, and offboarding.

What frameworks support vendor risk assessments?

Organizations commonly use evidence and guidance from SOC 2, ISO 27001, NIST, SIG questionnaires, CSA assessments, and applicable regulatory requirements.

How do AI vendors change vendor risk?

AI vendors introduce additional questions about training data, model behavior, prompt retention, agent access, automated actions, data reuse, subprocessors, explainability, and governance.

How can organizations automate vendor risk assessments?

Organizations can automate vendor inventory, data discovery, access analysis, evidence collection, risk scoring, issue tracking, reassessment triggers, and continuous monitoring.

Risikomanagement für Drittanbieter

Was ist ein Lieferantenrisikobewertung?

Eine Lieferantenrisikobewertung ist der Prozess der Beurteilung der Sicherheits-, Datenschutz-, Compliance-, Betriebs- und Geschäftsrisiken, die mit einem Drittanbieter vor und während der gesamten Geschäftsbeziehung verbunden sind.

Datensicherheit erkunden Definition ansehen

Bewertet das Drittparteienrisiko Schützt sensible Daten Unterstützt die kontinuierliche Überwachung

Lebenszyklus der Lieferantenrisikobewertung

01

Lieferanten identifizieren Dokumentieren Sie die Dienstleistung, den Inhaber, den Zweck und die Beziehung.

Identifizieren Sie

02

Sicherheitskontrollen bewerten Nachweise, Zertifizierungen, Richtlinien und Schutzmaßnahmen prüfen

Bewerten Sie

03

Datenrisiko bewerten Ermitteln Sie, auf welche Daten der Anbieter zugreifen kann und wie diese genutzt werden.

Auswerten

04

Genehmigen und Überwachen Bedingungen anwenden, Änderungen verfolgen und kontinuierlich neu bewerten.

Monitor

Drittparteienrisiko Datensicherheit Einhaltung der Vorschriften Sorgfaltspflicht Überwachung

Kurzdefinition

Lieferantenrisikobewertung auf einen Blick

Risikobewertungen von Anbietern helfen Organisationen dabei festzustellen, ob ein Dritter sicher und verantwortungsvoll auf Systeme, Anwendungen und sensible Daten zugreifen kann.

01

Hauptzweck

Bewerten Sie das Risiko durch Dritte, bevor Sie Zugriff auf Unternehmenssysteme, Dienste oder sensible Informationen gewähren.

02

Bewertungsbereiche

Sicherheit, Datenschutz, Compliance, operative Resilienz, finanzielle Stabilität und Geschäftskontinuität.

03

Gemeinsame Beweise

SOC-2-Berichte, ISO-Zertifizierungen, Fragebögen, Penetrationstests, Richtlinien und Datenschutzdokumentation.

04

Risiken der Primärdaten

Offenlegung sensibler Daten, übermäßiger Zugriff, schwache Kontrollen, unbekannte Speicherorte und unautorisierte Weitergabe.

05

Wichtige Interessengruppen

Sicherheit, Datenschutz, Beschaffung, Recht, IT, Compliance, Risikomanagement und Unternehmensinhaber.

06

Kontinuierliche Aktivität

Die Beurteilungen sollten während des gesamten Prozesses fortgesetzt werden: von der Einarbeitung über die aktive Nutzung und Vertragsverlängerung bis hin zu wesentlichen Änderungen und dem Ausscheiden aus dem Unternehmen.

Kerndefinition

Was ist eine Lieferantenrisikobewertung?

A Lieferantenrisikobewertung ist der strukturierte Prozess, den Organisationen nutzen, um die Sicherheits-, Datenschutz-, Compliance-, Betriebs-, Finanz- und Geschäftsrisiken zu bewerten, die von einem Drittanbieter ausgehen.

Die Bewertung dient der Feststellung, ob ein Anbieter über angemessene Kontrollmechanismen für die von ihm erbrachten Dienstleistungen und die Systeme oder Informationen verfügt, auf die er zugreifen kann. Dabei werden Cybersicherheitspraktiken, Datenverarbeitung, Reaktion auf Sicherheitsvorfälle, Einhaltung gesetzlicher Bestimmungen, Geschäftskontinuität, Subunternehmer, finanzielle Stabilität und operative Resilienz geprüft.

Lieferantenbewertungen sind besonders wichtig, wenn ein Anbieter sensible, regulierte, vertrauliche oder geschäftskritische Daten speichert, verarbeitet, übermittelt oder auf andere Weise darauf zugreifen kann.

Die Bewertungen sollten nicht mit dem Onboarding enden. Dienstleistungen, Eigentumsverhältnisse, Infrastruktur, Unterauftragnehmer, Datenzugriff und Sicherheitslage des Anbieters können sich im Laufe der Geschäftsbeziehung ändern.

Lieferantenrisikobewertung vs. verwandte Praktiken

Die Lieferantenrisikobewertung ist ein Bestandteil eines umfassenderen Drittparteienrisikoprogramms und unterscheidet sich von enger gefassten technischen oder Lieferantenbewertungen.

Einzelverkäufer

Lieferantenrisikobewertung

Welche Risiken birgt dieser spezielle Anbieter?

Bewertet die Kontrollmechanismen, den Datenzugriff, die Compliance, die Resilienz und das Geschäftsrisiko eines Anbieters zu einem bestimmten Zeitpunkt oder bei einem bestimmten Auslöser in der Geschäftsbeziehung.

Lebenszyklusprogramm

Risikomanagement für Drittanbieter

Wie steuert die Organisation alle Drittparteien im Laufe der Zeit?

TPRM umfasst Inventarisierung, Stufeneinteilung, Bewertung, Verträge, Überwachung, Problemmanagement, Neubewertung und Offboarding.

Lieferkette des Unternehmens

Lieferantenrisikomanagement

Können Lieferanten den Geschäftsbetrieb zuverlässig unterstützen?

Beim Lieferantenrisikomanagement liegt der Schwerpunkt häufig auf Verfügbarkeit, Qualität, geografischer Lage, finanzieller Gesundheit, Logistik und Lieferkontinuität.

Technische Kontrollen

Sicherheitsbewertung

Sind die technischen und organisatorischen Schutzmaßnahmen wirksam?

Eine Sicherheitsbewertung konzentriert sich auf Sicherheitskontrollen, geht aber möglicherweise nicht vollständig auf Datenschutz-, Compliance-, Finanz- oder Betriebsrisiken ein.

Bewertungslebenszyklus

Wie Lieferantenrisikobewertungen funktionieren

Ein fundierter Bewertungsprozess verknüpft den Kontext des Anbieters, den Datenzugriff, Kontrollnachweise, das inhärente Risiko, das Restrisiko und die kontinuierliche Überwachung.

01

Identifizieren Sie

Anbieter und Dienstleistung identifizieren

Dokumentieren Sie den Anbieter, den Geschäftsinhaber, die Dienstleistung, den Zweck, den Vertrag, die Systeme, die Regionen und die kritischen Geschäftsabhängigkeiten.

02

Umfang

Daten- und Systemzugriff ermitteln

Ermitteln Sie, welche Daten der Anbieter speichert, verarbeitet, übermittelt, anzeigt oder auf welche Systeme oder Umgebungen er zugreift.

03

Rezension

Sicherheitskontrollen überprüfen

Bewerten Sie Fragebögen, Richtlinien, Zertifizierungen, Testberichte, Architektur, Zugriffskontrollen und Vorgehensweisen bei Sicherheitsvorfällen.

04

Bestätigen

Bewertung von Datenschutz und Compliance

Bestätigung der regulatorischen Verpflichtungen, der Verarbeitungszwecke, der Aufbewahrungsfristen, der Löschfristen, des Datenspeicherorts, der Unterauftragnehmer und der vertraglichen Kontrollen.

05

Entscheiden

Risiko und Behandlung bestimmen

Berechnen Sie das inhärente und das Restrisiko, dokumentieren Sie die Ergebnisse, fordern Sie Abhilfemaßnahmen an, legen Sie Bedingungen fest oder lehnen Sie den Anbieter ab.

06

Monitor

Überwachen und neu bewerten

Erfassen Sie Vorfälle, Haltungsänderungen, neue Unterauftragnehmer, erweiterten Datenzugriff, Kontrollausfälle, Vertragsänderungen und neu auftretende Risiken.

Gefährdung durch Dritte

Warum Lieferantenrisikobewertungen wichtig sind

Anbieter können ihre operative Leistungsfähigkeit erweitern, gleichzeitig aber auch neue Wege zu sensiblen Daten, Systemen, regulatorischen Risiken und Geschäftsunterbrechungen eröffnen.

01

Schutz sensibler Daten

Prüfen Sie, ob die Anbieter über angemessene Sicherheitsvorkehrungen für personenbezogene, regulierte, vertrauliche und geschäftskritische Informationen verfügen.

02

Risiko gegenüber Dritten reduzieren

Schwache Kontrollen, übermäßiger Zugriff, unsichere Praktiken und ungelöste Probleme müssen identifiziert werden, bevor sie zu einer größeren Gefährdung führen.

03

Unterstützung der Einhaltung

Nachweis der Aufsicht über Dritte, die regulierte Daten verarbeiten oder Systeme unterstützen, die rechtlichen und vertraglichen Verpflichtungen unterliegen.

04

Verbesserung der Beschaffungsentscheidungen

Vergleichen Sie Anbieter anhand evidenzbasierter Risikokriterien, anstatt sich nur auf Funktionen, Kosten oder selbstberichtete Zusicherungen zu verlassen.

05

Stärkung der KI-Governance

Bewertung von KI-Anbietern, Modellen, Agenten, Trainingsmethoden, Datennutzung, Datenspeicherung, Sicherheitskontrollen und nachgelagerten Subprozessoren.

06

Kontinuierliche Überwachung ermöglichen

Veränderungen beim Zugriff von Anbietern, bei Dienstleistungen, Eigentumsverhältnissen, Kontrollen, Vorfällen und der Datenverarbeitung während der gesamten Geschäftsbeziehung erkennen.

Risikominderung

Best Practices für die Lieferantenrisikobewertung

Effektive Bewertungen kombinieren Lieferantenbestand, Geschäftskontext, Einblick in sensible Daten, risikobasierte Überprüfung, klare Verantwortlichkeiten und kontinuierliche Überwachung.

01

Führen Sie ein vollständiges Lieferantenverzeichnis

Identifizieren Sie jeden Lieferanten, Anbieter, Partner, Berater, Unterauftragnehmer und externen Dienstleister, der Zugriff auf Systeme oder Daten hat.

02

Gemeinsame Daten klassifizieren

Prüfen Sie, ob der Anbieter Zugriff auf personenbezogene, regulierte, vertrauliche, finanzielle, Gesundheits-, Kunden-, Mitarbeiter- oder KI-Daten hat.

03

Risikobasierte Einstufung anwenden

Die Tiefe und Häufigkeit der Bewertung werden anhand der Kritikalität, der Datensensibilität, des Zugriffsniveaus, der Dienstabhängigkeit und der geografischen Lage angepasst.

04

Beweise prüfen, nicht nur Antworten.

Prüfen Sie gegebenenfalls unabhängige Berichte, Zertifizierungen, Testergebnisse, Verträge, Richtlinien und technische Nachweise.

05

Zugriff nach dem Prinzip der minimalen Berechtigungen durchsetzen

Beschränken Sie die Identitäten der Anbieter, Integrationen, Anwendungen und Supportmitarbeiter auf die minimal erforderlichen Daten und Systeme.

06

Risiken kontinuierlich überwachen

Änderungen in Bezug auf Zugriff, Datennutzung, Vorfälle, Unterauftragnehmer, Dienste, Status, Eigentumsverhältnisse und vertragliche Verpflichtungen verfolgen.

Häufig gestellte Fragen

Häufig gestellte Fragen zur Lieferantenrisikobewertung

Erfahren Sie mehr über häufig gestellte Fragen zu Lieferantenprüfung, Bewertungsumfang, Überwachung durch Dritte, Sicherheitsnachweise, KI-Anbieter und Automatisierung.

Was ist eine Lieferantenrisikobewertung?

Eine Lieferantenrisikobewertung beurteilt die mit einem Drittanbieter verbundenen Sicherheits-, Datenschutz-, Compliance-, Betriebs-, Finanz- und Geschäftsrisiken.

Warum sind Lieferantenrisikobewertungen wichtig?

Sie helfen Organisationen dabei, Schwachstellen von Drittanbietern zu erkennen, bevor ein Anbieter Zugriff auf sensible Daten, Systeme, Anwendungen oder kritische Geschäftsprozesse erhält.

Was sollte eine Lieferantenrisikobewertung beinhalten?

Es sollte die Servicequalität des Anbieters, den Datenzugriff, die Sicherheitskontrollen, die Datenschutzpraktiken, die Einhaltung der Vorschriften, die Unterauftragnehmer, die Reaktion auf Sicherheitsvorfälle, die Ausfallsicherheit und die geschäftliche Kritikalität bewerten.

Wie oft sollten Lieferanten neu bewertet werden?

Die Häufigkeit der Neubewertung sollte dem Risiko entsprechen. Hochrisikoanbieter erfordern möglicherweise eine jährliche oder kontinuierliche Überprüfung, während wesentliche Änderungen, Vorfälle und erweiterter Zugriff zusätzliche Überprüfungen auslösen sollten.

Worin unterscheidet sich eine Lieferantenrisikobewertung von TPRM?

Eine Lieferantenrisikobewertung beurteilt einen einzelnen Lieferanten. Das Drittparteienrisikomanagement ist das umfassendere Programm, das Lieferanten während des gesamten Prozesses – von der Aufnahme über die Überwachung und Vertragsverlängerung bis hin zur Beendigung der Zusammenarbeit – steuert.

Welche Rahmenwerke unterstützen die Risikobewertung von Lieferanten?

Organisationen nutzen üblicherweise Erkenntnisse und Leitlinien aus SOC 2, ISO 27001, NIST, SIG-Fragebögen, CSA-Bewertungen und den jeweils geltenden regulatorischen Anforderungen.

Wie verändern KI-Anbieter das Anbieterrisiko?

KI-Anbieter werfen zusätzliche Fragen zu Trainingsdaten, Modellverhalten, Speicherung von Eingabeaufforderungen, Agentenzugriff, automatisierten Aktionen, Datenwiederverwendung, Unterprozessoren, Erklärbarkeit und Governance auf.

Wie können Unternehmen die Risikobewertung von Lieferanten automatisieren?

Organisationen können die Lieferantenbestandsführung, die Datenermittlung, die Zugriffsanalyse, die Beweissammlung, die Risikobewertung, die Problemverfolgung, die Auslöser für Neubewertungen und die kontinuierliche Überwachung automatisieren.

Weiter erkunden

Was ist ein Lieferantenrisikobewertung?