Seminar ImmuniWeb Discovery – Third-Party Risk Management

Seminarprofil

Das Seminar zeigt, wie Third-Party Risk Management mit extern beobachtbaren Sicherheitsdaten unterstützt wird. Lieferanten-Scope, Kritikalität, digitale Zuordnung, Cybersecurity Ratings, Exponierungen, Evidenzbewertung, Kommunikation, Maßnahmenverfolgung und kontinuierliches Monitoring werden zu einem nachvollziehbaren Lieferantenprozess verbunden.

Die angesetzte Dauer von 2 tage ist fachlich erforderlich, weil ein wirksamer TPRM-Prozess sowohl technische Bewertung als auch Governance, Kommunikation und Nachverfolgung umfasst, jedoch keine tiefgehende Penetrationstest-Ausbildung verlangt.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. TPRM-Zielbild und Lieferantensegmentierung
5. Digitale Zuordnung und Scope
6. Ratings, Exponierungen und Evidenz
7. Risikobewertung und Entscheidung
8. Lieferantenkommunikation und Maßnahmen
9. Monitoring und Vertragsintegration
10. Praxisübungen

Zielgruppe und Voraussetzungen

Zielgruppe: Third-Party Risk Management, Einkauf, Informationssicherheit, Vendor Management, Datenschutz, Compliance, Revision und Service Owner.

Voraussetzungen: Grundkenntnisse zu Lieferantenmanagement und IT-Risiken; Verträge, Kritikalitätsklassen und ein Beispiel-Lieferantenbestand sind für Übungen hilfreich.

Lernziele

• Lieferanten nach Kritikalität und digitaler Abhängigkeit segmentieren.
• Extern beobachtbare Assets und Findings korrekt einem Anbieter zuordnen.
• Ratings und Einzelfunde mit angemessener Evidenz bewerten.
• Maßnahmenanforderungen sachlich und prüfbar kommunizieren.
• Kontinuierliches Monitoring in Vertrags- und Governance-Prozesse integrieren.

Seminarinhalte

1. TPRM-Zielbild und Lieferantensegmentierung

Nicht jeder Lieferant benötigt dieselbe Prüftiefe.

1. Dienstleistung, Datenzugriff, technische Anbindung und Substituierbarkeit erfassen.
2. Lieferanten nach Auswirkung und Abhängigkeit klassifizieren.
3. Mindestkontrollen und Prüfintervalle je Klasse definieren.
4. Rollen zwischen Einkauf, Security, Fachbereich und Datenschutz festlegen.

2. Digitale Zuordnung und Scope

Technische Daten sind nur nutzbar, wenn sie dem richtigen Unternehmen zugeordnet werden.

1. Rechtliche Einheiten, Marken, Domains und Tochtergesellschaften erfassen.
2. Shared Hosting, Plattformanbieter und ausgelagerte Infrastruktur erkennen.
3. Unsichere Zuordnungen kennzeichnen und verifizieren.
4. Beobachtungsumfang und Ausschlüsse transparent dokumentieren.

3. Ratings, Exponierungen und Evidenz

Eine Gesamtbewertung wird durch konkrete, überprüfbare Beobachtungen ergänzt.

1. Cybersecurity Rating und Teilkomponenten nachvollziehen.
2. Exponierte Dienste, Schwachstellen und Konfigurationsrisiken bewerten.
3. Dark-Web-, Credential- und Markenindikatoren getrennt behandeln.
4. Aktualität, Beweiswert und Einflussmöglichkeit des Lieferanten berücksichtigen.

4. Risikobewertung und Entscheidung

Technische Beobachtungen werden in den Geschäftskontext des Vertrags überführt.

1. Finding-Schwere und Lieferantenkritikalität kombinieren.
2. Kompensierende Kontrollen und Datenminimierung einbeziehen.
3. Akzeptanz, Nachbesserung, zusätzliche Prüfung oder Exit als Optionen bewerten.
4. Entscheidung und Restrisiko mit Verantwortlichkeit dokumentieren.

5. Lieferantenkommunikation und Maßnahmen

Anforderungen müssen konkret, überprüfbar und verhältnismäßig sein.

1. Beobachtung und Evidenz sachlich beschreiben.
2. Erwartete Behebung und Nachweisform festlegen.
3. Frist, Eskalation und Ansprechpartner vereinbaren.
4. Antworten und Gegenbelege fachlich bewerten.

6. Monitoring und Vertragsintegration

TPRM wird als kontinuierlicher Prozess an Beschaffung und Vertragssteuerung gekoppelt.

1. Onboarding-, Verlängerungs- und Änderungsereignisse als Trigger nutzen.
2. Monitoring-Frequenz nach Risiko staffeln.
3. Mindestanforderungen, Meldepflichten und Prüfrechte vertraglich abbilden.
4. Portfolio-Kennzahlen und überfällige Maßnahmen regelmäßig berichten.

Praxisübungen

• Segmentierung eines Beispiel-Lieferantenportfolios.
• Prüfung der digitalen Zuordnung eines komplexen Anbieters.
• Bewertung mehrerer Ratings und Einzelfunde im Vertragskontext.
• Formulierung einer sachlichen Maßnahmenanforderung an einen Lieferanten.

Im Rahmen der Übungen entsteht ein TPRM-Betriebsmodell mit Segmentierung, Bewertungslogik, Kommunikationsvorlage, Eskalationen und Monitoring-Frequenzen.