Seminar OSS – Third-Party-Risk-Management für Lieferketten

OSS-Services bestehen aus Communities, Paketquellen, Cloud-Diensten, Integratoren und weiteren Unterauftragnehmern. Das Seminar entwickelt ein risikobasiertes Third-Party-Risk-Management, das diese mehrstufige Lieferkette sichtbar und steuerbar macht.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Drittparteien und technische Abhängigkeiten vollständig inventarisieren
• Risiken nach Kritikalität, Zugriff, Konzentration und Substituierbarkeit klassifizieren
• Prüfungen und Kontrollen proportional zum Risiko gestalten
• Änderungen, Vorfälle und Exit-Signale fortlaufend überwachen

Zielgruppe

Third-Party-Risk-Management, Einkauf, Informationssicherheit, Compliance, Architektur, Service Management, Datenschutz und Revision.

Voraussetzungen

Grundkenntnisse in IT-Risikomanagement, Lieferantenmanagement oder Informationssicherheit.

Seminarinhalte

1. Schritt 1: Lieferkette kartieren

   Direktlieferanten, Unterauftragnehmer, Hosting, Paketquellen, Build-Dienste, Maintainer, Identitätsanbieter und kritische Bibliotheken werden mit Beziehungen erfasst.

2. Schritt 2: Kritikalität bestimmen

   Geschäftsauswirkung, Datenzugriff, Administrationsrechte, Netzwerknähe, Wiederanlaufzeit, Substituierbarkeit und Konzentration werden bewertet.

3. Schritt 3: Risikodomänen festlegen

   Finanzstabilität, Leistung, Cybersecurity, Datenschutz, Lizenz, Geopolitik, Schlüsselpersonen, Community-Gesundheit und Exit werden systematisch berücksichtigt.

4. Schritt 4: Tiering-Modell entwickeln

   Drittparteien werden in Risikoklassen eingeteilt, denen Prüfungsumfang, Freigaben, Vertragsanforderungen und Überwachungsfrequenz zugeordnet sind.

5. Schritt 5: Onboarding-Prüfung durchführen

   Fragebogen, Dokumentennachweise, technische Tests, Interviews, Referenzen und offene Findings werden vor Beauftragung bewertet.

6. Schritt 6: Vertragskontrollen verankern

   Informationspflichten, Unterauftragnehmer, Security, SBOM, Audit, Business Continuity, Datenrückgabe und Exit werden risikogerecht geregelt.

7. Schritt 7: Laufende Überwachung organisieren

   SLA, Security-Meldungen, Eigentümerwechsel, Finanzsignale, Personalwechsel, Community-Aktivität und Abkündigungen werden beobachtet.

8. Schritt 8: Ereignisse bewerten

   Neue Schwachstelle, Ausfall, Kontrollwechsel, Sanktion, Insolvenzsignal oder Maintainer-Rückzug lösen eine dokumentierte Neubewertung aus.

9. Schritt 9: Konzentrationsrisiken steuern

   Gemeinsame Cloud-, Paket-, Identitäts- oder Personalabhängigkeiten mehrerer Services werden aggregiert betrachtet und durch Alternativen begrenzt.

10. Schritt 10: Offboarding und Exit kontrollieren

    Zugriffe, Daten, Schlüssel, Dokumente, Unterauftragnehmer, Restleistungen und Löschbestätigungen werden vollständig abgewickelt.

Praxisübungen

• Erstellung einer mehrstufigen Lieferkettenkarte
• Entwicklung eines Tiering-Modells
• Bewertung eines kritischen Unterauftragnehmers
• Entwurf eines Continuous-Monitoring-Katalogs

Methodik

Fachinput, moderierte Analyse, Gruppenarbeit und realitätsnahe Fallstudien wechseln sich ab. Jeder Themenblock endet mit einer überprüfbaren Arbeitsunterlage für den betrieblichen Einsatz.