Drittanbieter-Risikomanagement 2026: von Fragebogenmüdigkeit zu kontinuierlicher Gewährleistung

Lieferantenfragebögen vervielfachen sich, während Regulierungsbehörden mehr als nur Papierkram fordern. So bringen Sie das Drittanbieter-Risikomanagement rund um Konzentrationsrisiko, kontinuierliche Überwachung und veröffentlichte Nachweise wieder ins Gleichgewicht.

Drittanbieter-Risikomanagement (TPRM) ist zu einem der arbeitsintensivsten Bereiche eines Sicherheits- und Compliance-Programms geworden. Jeder Kunde sendet seinen eigenen Fragebogen, jeder Lieferant beantwortet Hunderte davon, und ein Großteil des Aufwands führt zu Dokumenten, die bereits nach wenigen Monaten veraltet sind. Gleichzeitig erwartet die europäische Regulierung von Organisationen nun, dass sie nachweisen, dass sie ihre Lieferkette verstehen und kontrollieren. Dieser Artikel zeigt, was sich 2026 geändert hat und wie Sie einen TPRM-Prozess aufbauen, der sowohl vertretbar als auch nachhaltig ist.

Warum Lieferantenrisiko nun ein regulatorisches Thema ist

Drittanbieter-Risiken sind kein theoretisches Problem. Der Verizon 2025 Data Breach Investigations Report zeigte, dass die Beteiligung von Drittanbietern an Sicherheitsverletzungen sich auf 30 % verdoppelt hat ^[1]. Regulierungsbehörden haben darauf reagiert, indem sie die Lieferantenaufsicht gesetzlich verankert haben.

NIS2

Artikel 21 Absatz 2 Buchstabe d der NIS2 führt die Sicherheit der Lieferkette auf, „einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen jeder Einheit und ihren direkten Lieferanten oder Dienstleistern", unter den Mindest-Risikomanagementmaßnahmen im Bereich der Cybersicherheit ^[2]. Artikel 21 Absatz 3 bestimmt, dass Einheiten die spezifischen Schwachstellen jedes direkten Lieferanten sowie die Gesamtqualität seiner Produkte und Cybersicherheitspraktiken berücksichtigen müssen. ^[2].

Für Anbieter digitaler Infrastruktur und digitale Dienstleistungsanbieter (Cloud, Rechenzentren, Managed-Service- und Managed-Security-Service-Provider und andere) konkretisiert die Durchführungsverordnung (EU) 2024/2690 dies: eine Richtlinie zur Sicherheit der Lieferkette, Kriterien für die Auswahl von Lieferanten, vertragliche Sicherheitsanforderungen und regelmäßige Überwachung der Praktiken von Lieferanten ^[3]. Die Technische Implementierungsleitlinie der ENISA vom Juni 2025 ergänzt Beispiele für Nachweise, die Aufsichtsbehörden erwarten können ^[4]. Für andere NIS2-Einrichtungen sind diese Dokumente nicht bindend, aber sie sind ein sinnvoller Maßstab.

DORA

Für Finanzunternehmen ist DORA präskriptiver. Artikel 28 verlangt eine Strategie zum IKT-Drittanbieterrisiko und ein Informationsregister zu allen vertraglichen Vereinbarungen mit IKT-Drittanbieterdienstleistern ^[5]. Artikel 29 verlangt eine vorläufige Bewertung des IKT-Konzentrationsrisikos vor Abschluss von Verträgen, die kritische oder wichtige Funktionen unterstützen, einschließlich der Frage, ob der Anbieter leicht austauschbar ist und ob mehrere Verträge mit demselben oder eng verbundenen Anbietern abgeschlossen werden. ^[5].

Ein Fragebogen zeigt Ihnen, was ein Lieferant an einem Tag gesagt hat; Ihr Risiko hängt davon ab, was der Lieferant jeden Tag tut.

Fragebogenmüdigkeit: Symptome und Ursachen

Fragebogenmüdigkeit betrifft beide Seiten. Käufer versenden lange generische Fragebögen an jeden Lieferanten, unabhängig vom Risiko. Lieferanten beantworten die gleichen Fragen in leicht unterschiedlichen Formaten, oft durch Vertriebs- oder Account-Teams statt durch Sicherheitspersonal. Das Ergebnis ist eine große Anzahl selbst erklärter Antworten, die selten überprüft werden und schnell veralten.

Das eigentliche Problem liegt nicht im Fragebogen selbst, sondern im Fehlen einer Staffelung. Wenn jeder Lieferant auf die gleiche Weise bewertet wird, wird der Aufwand dünn verteilt und die wenigen Lieferanten, die wirklich zählen, erhalten nicht mehr Überprüfung als ein Catering-Unternehmen.

Ein risikogestufter Ansatz

Ein nachhaltigeres Modell beginnt mit einer Klassifizierung:

• Kritikalität: Unterstützt der Lieferant eine kritische oder wichtige Funktion, oder würde sein Ausfall Ihre Dienste unterbrechen?
• Datenzugriff: Verarbeitet er personenbezogene Daten, vertrauliche Informationen oder Anmeldedaten?
• Systemzugriff: verbindet er sich mit Ihrem Netzwerk, betreibt er Ihre Systeme oder liefert er Software in Ihre Umgebung?
• Austauschbarkeit: Wie schnell könnten Sie es ersetzen?

Lieferanten mit niedrigem Risiko benötigen möglicherweise nur Vertragsklauseln und eine grundlegende Erklärung. Lieferanten mit hohem Risiko rechtfertigen eine tiefere Überprüfung: unabhängige Zertifizierungen, Audit-Berichte, vertragliche Audit-Rechte, Verpflichtungen zur Meldung von Vorfällen und regelmäßige Neubewertung.

Konzentrationsrisiko rückt in den Fokus

Konzentrationsrisiko stellt eine andere Frage als klassische Due Diligence: nicht „Ist dieser Lieferant sicher?", sondern „Was passiert, wenn dieser Lieferant oder der dahinter stehende Anbieter ausfällt?"

Im Rahmen von DORA ist dies nun ein Aufsichtsthema. Am 18. November 2025 veröffentlichten die Europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) die erste Liste der benannten kritischen IKT-Drittanbieter, die nun der direkten EU-Aufsicht unterliegen ^[6]. Die Benennung entbindet ein Finanzunternehmen nicht von seiner eigenen Verantwortung: Unternehmen müssen ihre Exposition gegenüber diesen Anbietern weiterhin durch Ausstiegsstrategien und Austauschbarkeitsanalysen steuern. ^[5].

Außerhalb des Finanzsektors gilt die gleiche Logik. Viele SaaS-Anbieter nutzen eine kleine Anzahl von Hyperscale-Cloud-Plattformen. Die Zuordnung Ihrer vierten Parteien (die wichtigsten Subunternehmer Ihrer Lieferanten) ist oft die einzige Möglichkeit zu erkennen, dass zehn „unabhängige" Lieferanten einen einzigen Ausfallpunkt teilen. Die Durchführungsverordnung 2024/2690 erwartet von den relevanten Unternehmen ausdrücklich, die Lieferketten ihrer Lieferanten zu berücksichtigen ^[3].

Von punktueller zu kontinuierlicher Überwachung

Ein Fragebogen zeigt, was ein Lieferant an einem Tag gesagt hat; Ihr Risiko hängt davon ab, was der Lieferant jeden Tag tut. Kontinuierliche Lieferantenüberwachung zielt darauf ab, diese Lücke zu schließen. In der Praxis kombiniert sie:

• Ereignisgesteuerte Neubewertung: Auslöser wie ein Sicherheitsvorfall beim Lieferanten, ein Eigentümerwechsel, ein neuer Auftragsverarbeiter oder eine Änderung der von Ihnen genutzten Dienstleistung.
• Zertifikat- und Attestierungsverfolgung: Ablaufdaten für ISO/IEC 27001-Zertifikate, SOC 2-Berichte und ähnliche Nachweise mit Nachverfolgung bei Ablauf.
• Externe Signale: öffentliche Sicherheitsverletzungsmeldungen, behördliche Maßnahmen und, soweit sinnvoll, externe Bewertungen der Angriffsfläche. Behandeln Sie Bewertungen als Indikatoren zur Untersuchung und nicht als endgültige Urteile, da sie nur das beobachten, was aus dem Internet sichtbar ist.
• Vertragliche Ankerpunkte: Benachrichtigungsfristen für Vorfälle, Prüfungsrechte und die Verpflichtung, Sie über wesentliche Änderungen zu informieren.

Monitoring ist nur wertvoll, wenn jemand auf die Feststellungen reagiert. Weisen Sie jedem Lieferanten mit hohem Risiko einen Verantwortlichen zu und dokumentieren Sie Entscheidungen: akzeptieren, entschärfen, eskalieren oder beenden.

Warum Trust Centres an Bedeutung gewinnen

Ein Trust Centre ist eine öffentliche oder geschützte Webseite, auf der ein Anbieter seine Sicherheits- und Compliance-Sicherheitslage veröffentlicht: Zertifizierungen, Audit-Berichte (oft hinter einer Geheimhaltungsvereinbarung), Richtlinien, Listen der Unterauftragsverarbeiter, Datenspeicherorte und Antworten auf häufig gestellte Fragen. Die Idee ist, einmal öffentlich zu antworten, statt wiederholt privat.

Das Konzept ist nicht neu. Die STAR Registry der Cloud Security Alliance ermöglicht es Cloud-Anbietern seit Jahren, Selbstbewertungen auf Basis des Consensus Assessments Initiative Questionnaire (CAIQ) oder Zertifizierungen und Bestätigungen von Drittanbietern zu veröffentlichen – explizit, um den Aufwand für das Ausfüllen mehrerer Kundenfragebögen zu reduzieren. ^[7].

Was Trust Center gut leisten

• Sie geben Käufern unmittelbaren Zugang zu standardisierter Nachweisdokumentation, was Beschaffungszyklen verkürzt.
• Sie ermutigen Lieferanten, Informationen aktuell zu halten, weil diese sichtbar sind.
• Sie ermöglichen es Security-Teams, Zeit auf Nachfragen zu verwenden, die wirklich wichtig sind.

Wo sie zu kurz greifen

• Veröffentlichte Inhalte werden vom Anbieter ausgewählt. Sie zeigen, was der Anbieter teilen möchte, nicht unbedingt das, was Sie wissen müssen.
• Generische Dokumente berücksichtigen nicht Ihre spezifische Nutzung des Service, Datenflüsse oder Integration.
• Regulatorische Pflichten bleiben bei Ihnen. Weder NIS2 noch DORA erlauben es Ihnen, Ihre Bewertung auf die Marketing-Seite eines Anbieters auszulagern. ^[2][5].

Die praktische Antwort ist ein Hybrid-Ansatz: Nutzen Sie Trust Centres und gemeinsame Bewertungen als Standard-Nachweisquelle und stellen Sie dann gezielt Folgefragen nur für Lücken, die für Ihr Risiko wesentlich sind.

Eine praktische Checkliste für 2026

1. Erstellen und pflegen Sie ein einziges Lieferantenverzeichnis, abgestimmt mit dem DORA-Informationsregister, soweit relevant.
2. Klassifizieren Sie Anbieter nach Kritikalität, Datenzugriff, Systemzugriff und Austauschbarkeit.
3. Erfassen Sie wichtige Subunternehmer der vierten Ebene für Ihre Anbieter der höchsten Kategorie.
4. Akzeptieren Sie Trust-Centre-Inhalte, Zertifizierungen und Standard-Fragebögen als primäre Nachweise; reservieren Sie benutzerdefinierte Fragen für echte Lücken.
5. Definieren Sie Auslöser für Neubewertungen und verfolgen Sie den Ablauf von Nachweisen.
6. Dokumentieren Sie Ausstiegsstrategien für kritische Lieferanten und testen Sie diese, soweit möglich.
7. Berichten Sie Lieferantenrisiken dem Management in Form von Geschäftsauswirkungen, nicht als Fragebogenergebnisse.

Fazit

Drittanbieter-Risikomanagement im Jahr 2026 geht weniger darum, mehr Antworten zu sammeln, sondern vielmehr darum zu wissen, welche Lieferanten wichtig sind, warum, und was Sie tun würden, wenn sie ausfallen. Die Regulierung verlangt nun, dass diese Begründung dokumentiert wird.

Secrato hilft Organisationen, Rahmenwerke wie NIS2, DORA und ISO/IEC 27001 in einer EU-gehosteten Plattform zu verwalten – mit gemeinsamen Kontrollen, Nachweisen und Audit-Trails.