Ressourcen · 07
Digitales Risiko Dritter: Bewerten Sie einen kritischen Lieferanten
Verbinden Sie Beweise, Abhängigkeiten, Subunternehmer, Kontinuität und Reversibilität, bevor Sie einen sensiblen Dienst oder Datensatz anvertrauen.
Aktualisiert · 3 min
Wozu dieser Leitfaden beiträgt
- Trennen Sie nützliche Lieferanten von wirklich kritischen Dritten
- Über die Selbsteinschätzung hinaus überprüfen
- Siehe Abhängigkeitsketten
- Bereiten Sie einen praktikablen Ausstieg vor
Kurzcheck
- Welcher Dienst stoppt, wenn dieser Lieferant ausfällt?
- Welche Daten kann es lesen, transformieren oder exportieren?
- Welche Subunternehmer sind unbedingt erforderlich?
- Wurde eine Wiederherstellung nachgewiesen?
- Können Daten in einem verwendbaren Format wiederhergestellt werden?
Schritt-für-Schritt-Anleitung
- 1
Kritikalität klassifizieren
Verbinden Sie jeden Lieferanten mit Prozessen, Daten, Benutzern, Verpflichtungen und Wiederherstellungsfristen. Hohe Ausgaben sind nicht immer kritisch; Eine kleine API kann sein.
Lieferinhalt: Service, Wirkung und Eigentümerprofil.
- 2
Fordern Sie verhältnismäßige Beweise
Zielarchitektur, Zugriff, Vorfälle, Backups, Tests, relevante Zertifizierungen und Ausnahmen. Eine Bescheinigung ersetzt nicht das Verständnis ihres Umfangs.
Liefergegenstand: Beweisdatei und Klärungspunkte.
- 3
Ordnen Sie die Kette zu
Identifizieren Sie Hosting, Datenverarbeiter, SaaS-Komponenten und geografische Abhängigkeiten. Achten Sie auf eine gemeinsame Konzentration mehrerer Anbieter.
Liefergegenstand: Abhängigkeits- und Konzentrationskarte.
- 4
Testszenarien
Bewerten Sie Ausfälle, Gefährdungen, Datenverluste, Eigentümerwechsel und Vertragskündigungen. Geben Sie jedem Szenario ein Signal, eine Entscheidung und einen Rückfall.
Liefergegenstand: Fehlerszenarien und kompensierende Maßnahmen.
- 5
Vertrag und Betrieb aufeinander abstimmen
Prüfen Sie, ob Meldefristen, Beweismitteleinsicht, Unterauftragsvergabe, Rückgabe, Löschung und Austrittsunterstützung in der Praxis funktionieren können.
Liefergegenstand: Vertrags- und Betriebskontrollen.
- 6
Entscheiden und überwachen
Staatliche Annahme, Sanierung oder Ablehnung mit Eigentümer, Frist und Abschlussnachweis. Nach größeren Änderungen oder Vorfällen eine Neubewertung vornehmen.
Liefergegenstand: bedingter Entscheidungs- und Überwachungsplan.
Fiktives Arbeitsbeispiel
Beispielhafte Situation
Ein Dienst ist zur Bestätigung von Bestellungen auf einen E-Mail-Anbieter angewiesen. Das Team erfasst Zugriffe, übertragene Daten, empfangene Alarme und die akzeptable Unterbrechungszeit.
Entscheidung und erwartete Beweise
Der Plan beinhaltet einen Eskalationskontakt, eine Wiederherstellungsprüfung und eine testbare Kontinuitätsoption, anstatt sich nur auf eine Vertragsklausel zu verlassen.
Managementindikatoren
| Indikator | Was es misst | Erste Aktion |
|---|---|---|
| Abdeckung | Kritische Lieferanten mit Eigentümer und aktueller Datei | Adressdienste ohne Fallback |
| Gültige Beweise | Wichtige Kontrollen, unterstützt durch aktuelle Beweise | Fordern Sie Elemente an, die die Entscheidung ändern können |
| Konzentration | Dienste, die vom gleichen Akteur oder der gleichen Region abhängig sind | Bereiten Sie eine realistische Alternative vor |
| Reversibilität | Gemessene Zeit und Qualität für die Wiederherstellung von Diensten und Daten | Testen Sie einen Export, bevor er dringend benötigt wird |
Häufige Fallstricke
- Jedem Lieferanten den gleichen Fragebogen zusenden
- Zertifizierung als Risikofreiheit behandeln
- Unterlieferanten von Lieferanten werden ignoriert
- Exit wird ausgehandelt, ohne ihn zu testen
Häufig gestellte Fragen
Muss jeder Lieferant auditiert werden?
Nein. Beginnen Sie mit denen, deren Ausfall einen wesentlichen Dienst, sensible Daten, eine Verpflichtung oder eine bestehende Konzentration betrifft.
Reicht eine Zertifizierung aus?
Nein. Es kann ein nützlicher Beweis sein, Umfang, Datum, Ausschlüsse und Zusammenhang mit Ihrer Verwendung müssen jedoch überprüft werden.
Wie oft sollte ein Lieferant überprüft werden?
Je nach Kritikalität und Tempo der Änderung und nach einem Vorfall, einer Akquisition, einer größeren Serviceänderung oder einer wesentlichen Änderung bei der Unterauftragsvergabe.
Offizielle Referenzen
Die Referenzen unterstützen die Methode. Passen Sie die Prüfungen an Ihren Kontext an; sie stellen keine Zertifizierung dar. Originalreferenztitel und Quelldokumente können in einer anderen Sprache verfasst sein.
