Drittanbieterrisiken

Drittanbieterrisiken bezeichnen Risiken, die von externen Anbietern, Lieferanten oder Dienstleistern ausgehen, die Zugang zu Daten, Systemen oder Prozessen eines Unternehmens haben. Sie entstehen durch Abhängigkeiten in der Wertschöpfungskette, Outsourcing oder Subunternehmerbeziehungen und können Informationssicherheit, Datenschutz, Betriebsstörungen, Finanzen oder Reputationsrisiken betreffen.

Typische Risikotypen sind Informationssicherheit und Datenschutz (Dritte verarbeiten personenbezogene Daten oder betreiben Systeme), Betriebsunterbrechungen (Lieferverzögerungen, Ausfälle), Finanzrisiken (Zahlungsunfähigkeit des Anbieters) sowie Compliance- und Reputationsrisiken (Verstöße gegen Gesetze). Beispiele sind Cloud-Dienste, Rechenzentren, Managed Service Provider sowie Logistik- oder Fertigungsdienstleister.

Management: Identifikation, Bewertung und Überwachung von Drittanbietern. Vor Vertragsabschluss erfolgt Due Diligence, es gelten klare Sicherheits- und Datenschutzanforderungen, Auditrechte, vertragliche Incident- und Beendigungsregelungen. Kontinuierliche Überwachung, Zugriffskontrollen und Notfallpläne ergänzen die Maßnahmen. Mögliche Residualrisiken: Festlegung von Akzeptanzgrenzen und geeigneten Maßnahmen zur Risikominderung.

Rechtlicher Rahmen: Datenschutz (DSGVO, BDSG), Auftragsverarbeitung, Lieferkettengesetz, IT-Sicherheitsvorschriften und EU-NIS2. Gute Praxis umfasst klare Verträge, Standardvertragsklauseln, regelmäßige Audits und definierte Berichtswege.

Governance: klare Verantwortlichkeiten, Rollen, Schulungen, Kennzahlen, regelmäßige Bewertungen und dokumentierte Prozesse. Das Ziel ist eine frühzeitige Erkennung, Begrenzung und schnelle Reaktion im Ereignisfall.