Seminar CybelAngel – Third-Party Risk und Supply-Chain-Monitoring

Lieferantenrisiken lassen sich nicht allein über Fragebögen steuern. Kontinuierliche externe Signale müssen mit Kritikalität, Vertragsbezug, tatsächlicher Abhängigkeit und einem fairen Nachbesserungsprozess verbunden werden.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Lieferanten nach Kritikalität staffeln
• Scope und Attribution sauber aufbauen
• Mehrere Signalarten zu einem Risiko verbinden
• Nachbesserung und Eskalation steuern
• Portfolioentwicklung mit Kennzahlen überwachen

Zielgruppe

Third-Party Risk Management, Einkauf, Lieferantenmanagement, CISO-Organisation, SOC, Datenschutz, Business Continuity, Rechtsabteilung und interne Revision.

Voraussetzungen

Grundkenntnisse in Lieferantenmanagement, Risikobewertung und Informationssicherheit. Eine Liste kritischer Lieferanten und interne Eskalationswege sind hilfreich.

Seminarinhalte

1. Schritt 1: Lieferantenuniversum strukturieren

   Dienstleister, Softwareanbieter, Cloud-Provider, Logistik-, Produktions- und Beratungspartner werden konsolidiert und bereinigt.

2. Schritt 2: Kritikalität und Tiering festlegen

   Datenzugriff, Systemzugriff, Ausfallwirkung, Substituierbarkeit, Regulierung, Konzentration und Unterauftragnehmer bestimmen die Stufe.

3. Schritt 3: Monitoring-Scope definieren

   Rechtsträger, Marken, Domains, IPs, Produkte, E-Mail-Domains und bekannte Plattformen werden je Lieferant erfasst.

4. Schritt 4: Attribution absichern

   Funde werden nur dann dem Lieferanten zugerechnet, wenn technische und organisatorische Indikatoren belastbar sind.

5. Schritt 5: Attack Surface bewerten

   Unbekannte Assets, exponierte Dienste, APIs, veraltete Systeme und Fehlkonfigurationen werden nach möglichem Kundeneinfluss priorisiert.

6. Schritt 6: Daten- und Credential-Exposition prüfen

   Offene Speicher, Datenbanken, Dokumente, kompromittierte Konten und privilegierte Zugänge werden im Vertragskontext bewertet.

7. Schritt 7: Dark-Web- und Brand-Signale einbeziehen

   Akteurserwähnungen, Access-Angebote, Leakseiten, Impersonation und Betrugsinfrastruktur ergänzen das Risikobild.

8. Schritt 8: Risiko und Geschäftsimpact bestimmen

   Confidence, Kritikalität, Eintrittsweg, Kundendaten, Betriebsabhängigkeit, Behebbarkeit und Wiederholung werden gewichtet.

9. Schritt 9: Lieferant benachrichtigen

   Befund, Evidenz, gewünschte Maßnahme, Frist, vertrauliche Behandlung und Rückmeldeweg werden eindeutig kommuniziert.

10. Schritt 10: Nachbesserung und Eskalation steuern

    Bestätigung, Maßnahmenplan, Zwischenstand, Fristüberschreitung, Management- und Vertragseskalation werden dokumentiert.

11. Schritt 11: Wirksamkeit verifizieren

    Technische Beseitigung, Zugangssperre, Datenentfernung und Wiederauftreten werden extern geprüft.

12. Schritt 12: Portfolio-Governance etablieren

    Trend, kritische offene Risiken, wiederkehrende Lieferanten, Konzentration, Review-Frequenz und Vertragsmaßnahmen werden berichtet.

Praxisübungen

• Tiering-Modell für Lieferanten erstellen
• Gemischte Funde für drei Lieferanten priorisieren
• Vendor Notification mit Frist formulieren
• Portfolio-Dashboard mit Eskalationsstatus entwerfen

Methodik

Die Inhalte werden mit kurzen Fachvorträgen, Demonstrationen und einer durchgängigen Fallbearbeitung vermittelt. Jeder Arbeitsschritt endet mit einem dokumentierten Prüfkriterium zu Datenqualität, Risiko, Zuständigkeit und nächster Maßnahme.