Cybervize
TPRM-Modul der Sicherheitsplattform OdySecure von Cybervize

TPRM-Software für Lieferantenrisiken und das Auslagerungsregister

Lieferanten bewerten, Verträge registerfähig führen, Subunternehmer-Ketten offenlegen, Konzentrationsrisiko täglich berechnen und den Ausstieg planen. Aufgebaut entlang der EBA-Outsourcing-Anforderungen, in einer Datenbasis mit ISMS, BCM und Assessment. Hosting in Deutschland.

Kostenlose Demo buchen

So sieht das Lieferantenregister aus

Jeder Lieferant mit Kategorie, Risikostufe, Score, laufenden Verträgen und Bewertungen. Aus der Software, nicht nachgebaut.

Lieferantenregister in OdySecure: sieben Lieferanten mit Kategorie, Risikostufe, Risiko-Score, Status, Verträgen und Bewertungen

Was das TPRM-Modul abdeckt

Lieferantenrisiko ist eine Nachweisfrage: Wer ist kritisch, warum, was steht im Vertrag und was passiert, wenn der Dienstleister ausfällt? Das Modul beantwortet das aus gepflegten Daten statt aus einer Excel-Liste, die niemand aktuell hält.

Kritikalität mit nachvollziehbarer Rechnung

Acht Pflichtfaktoren pro Lieferant: vier Auswirkungen von 1 bis 5 (finanziell, Kontinuität, operationell und rechtlich, Reputation) und vier Ja-Nein-Fragen (genehmigte Tätigkeiten, interne Kontrollfunktion, Genehmigungspflicht, BRRD-Kritikalität). Daraus errechnet das System die Einstufung Standard, wichtig oder kritisch, mit fester Eskalationslogik: Genehmigungspflicht oder BRRD führt immer zu kritisch. Die KI schlägt Bewertungen mit Begründung je Faktor vor, entschieden wird von Menschen.

Auslagerungsregister, das die Prüfung übersteht

Pro Vertrag 19 Pflichtfelder, darunter Art der Vereinbarung, Funktionskategorie, Kündigungsfristen, Länder der Datenverarbeitung, Jahreskosten, Substituierbarkeit und Reintegrationszeit. Daraus entsteht ein exportierbarer Register-Stand als JSON oder CSV für die Aufsicht; Meldungen an Behörden werden mit Zeitstempel und Notiz dokumentiert. Verträge durchlaufen den Stand Entwurf, aktiv, auslaufend, abgelaufen.

KI-Vertragsanalyse als Screening

Die KI liest das Vertrags-PDF und extrahiert SLA-Zusagen, Haftungsgrenzen, Auditrechte, Datenschutzklauseln und Exit-Regelungen, geprüft gegen Ihre konfigurierbaren Anforderungsrichtlinien. Jedes Ergebnis geht ins manuelle Review, wo es bestätigt oder korrigiert wird. Das ist ein Screening-Werkzeug und ersetzt keine juristische Prüfung.

Subunternehmer-Ketten bis in die Tiefe

Mehrstufige Ketten mit server-berechneter Kettentiefe und automatischer Zykluserkennung, damit Ringbeziehungen auffallen statt unbemerkt zu bleiben. Änderungen in der Kette laufen als Antrag mit Genehmigung, Einspruch oder Rückzug, nicht als stille Anpassung.

Due Diligence und Auditnachweise

Strukturierte Prüfung von Geschäftsmodell, Finanzkraft, Eigentümerstruktur und Regulierungsstatus, für kritische Funktionen erweitert um Notfallplanung, interne Kontrollen und ESG. Ergebnis: bestanden, bestanden mit Auflagen, nicht bestanden. Fremdnachweise wie ISO 27001, SOC 2 oder Pentest-Berichte werden gegen Scope-Abdeckung, Aktualität, anerkannte Standards und Einzelauditrecht validiert.

Monitoring, Konzentration und Exit

Periodische Reviews mit KPI, KCI und SLA, deren Schwellen richtungsabhängig geprüft werden, plus automatische Review-Planung. Das Konzentrationsverhältnis wird täglich je Lieferant berechnet und in Stufen von niedrig bis kritisch geführt. Exit-Strategien halten Auslöser, Ressourcen- und Kostenschätzung, Dauer und die Verknüpfung zum BCM-Plan fest.

Kein eigener CISO?

Im vCISO-Mandat arbeitet Ihr vCISO mit OdySecure, die Plattform ist enthalten. Ab 3.600 €/Monat.

Erstgespräch vereinbaren vCISO im Detail
Mehr zum TPRM-Modul

Regulatorischer Rahmen des TPRM-Moduls

Das Modul ist entlang der EBA-Outsourcing-Anforderungen gebaut, Paragraf für Paragraf. Was Entwurf ist, nennen wir Entwurf. Die Begründung dafür, Lieferanten überhaupt zu steuern, hängt aber nicht an der Finanzaufsicht: ISO 22301 bindet Partner und Lieferanten an die zeitkritischen Tätigkeiten und verlangt, sie in Kontinuitätslösungen und Notfallplanung einzubeziehen. Das gilt für ein Krankenhaus so wie für eine Bank.

  • EBA-Outsourcing-Anforderungen (CP/2025/12, Entwurf): Kritikalität §33 bis §37, Verträge §63 bis §67, Konzentration §76, Due Diligence §80 bis §83, Subunternehmer §88 bis §96, Audits §97 bis §108, Monitoring §111 bis §116, Exit §117 bis §119
  • NIS-2-Lieferkettenpflicht als Anlass: Lieferantenrisiken sind mit Assets, Risiken und Vorfällen im ISMS-Modul verknüpft und damit belegbar
  • Fremdnachweise als Prüfobjekte: ISO 27001, SOC 2, TISAX und Pentest-Berichte werden auf Geltungsbereich, Aktualität und anerkannte Standards geprüft
  • DSGVO-Bezug: Länder der Datenverarbeitung sind Pflichtfeld im Register, Auftragsverarbeitung und Drittlandtransfer werden dokumentiert
  • Weitere Vorgaben, etwa sektorspezifische Anforderungen, lassen sich nach demselben Muster einbinden: Katalog laden, Zuordnung pflegen, aktivieren
50Rahmenwerke als Katalog in der Plattform:Normen und Frameworks, regulatorische Vorgaben, Anforderungsdatensätze je Eintrag.Zur vollständigen Übersicht

Für wen das TPRM-Modul gebaut ist

Drei Konstellationen, in denen die Lieferantenliste in Excel zur Haftungsfrage wird.

Auslagerungsbeauftragte und Compliance

Verantworten das Register gegenüber der Aufsicht und müssen jederzeit exportfähig sein. 19 Pflichtfelder je Vertrag, Register-Stand auf Knopfdruck, dokumentierte Behördenmeldung mit Zeitstempel statt Sammelmappe aus Verträgen und Mails.

Risikoverantwortliche im Konzern

Sehen einzelne Lieferanten, aber nicht das Klumpenrisiko dahinter. Tägliches Konzentrationsverhältnis je Lieferant, Substituierbarkeit von einfach bis unmöglich und Subunternehmer-Ketten mit Tiefenberechnung machen sichtbar, woran der Betrieb hängt.

CISO mit NIS-2-Lieferkettenpflicht

Muss belegen, dass Lieferantenrisiken gesteuert werden, nicht nur behauptet. Kritische Bewertungen erzeugen automatisch Bedrohungsszenarien im BCM-Modul, Lieferanten-Risiken hängen an Assets und Vorfällen im ISMS. Der Nachweis entsteht im Betrieb.

Häufige Fragen zum TPRM-Modul

Wie entsteht das Auslagerungsregister und wie kommt es zur Aufsicht?▼
Das Register entsteht nicht als eigenes Dokument, sondern aus den gepflegten Verträgen: Jeder Vertrag trägt die 19 Pflichtfelder, vom Typ der Vereinbarung über Kündigungsfristen und Funktionskategorie bis zu Datenverarbeitungsländern, Jahreskosten, Substituierbarkeit und Reintegrationszeit. Daraus erzeugt die Plattform einen exportierbaren Register-Stand als JSON oder CSV. Meldungen an die Aufsicht werden mit Zeitstempel und Notiz am Vertrag dokumentiert, sodass später nachvollziehbar ist, wer wann was gemeldet hat.
Wie wird die Kritikalität berechnet, und was genau macht die KI dabei?▼
Die Einstufung folgt einer festen Rechnung, nicht einem Bauchgefühl: vier Auswirkungsfaktoren von 1 bis 5 (finanziell, Kontinuität, operationell und rechtlich, Reputation) und vier Ja-Nein-Faktoren (genehmigte Tätigkeiten, interne Kontrollfunktion, Genehmigungspflicht, BRRD-Kritikalität). Die Eskalation ist festgelegt: Genehmigungspflicht oder BRRD-Kritikalität führt zwingend zur Stufe kritisch, hohe Auswirkung zur Stufe wichtig. Die KI schlägt je Faktor eine Bewertung mit Begründung vor, damit niemand vor einem leeren Formular sitzt. Die Entscheidung trifft die verantwortliche Person, und die Begründung bleibt am Datensatz nachlesbar.
EBA CP/2025/12 ist ein Entwurf. Was heißt das für uns?▼
Es heißt, dass wir die Anforderungen des Konsultationspapiers bereits abbilden, während der finale Text noch aussteht. Der Vorteil: Wer heute nach dieser Struktur arbeitet, führt Register, Kritikalitätsbewertung und Ketten schon in der Form, auf die der Markt zuläuft. Ändert sich am finalen Text etwas, ist das für die Plattform Datenpflege am Katalog und keine Neuentwicklung, weil Anforderungen als Datensatz eingebunden sind. Wir kennzeichnen den Entwurfsstatus bewusst, statt ein fertiges Regelwerk zu behaupten.
Wie tief werden Subunternehmer-Ketten abgebildet?▼
Mehrstufig, mit vom Server berechneter Kettentiefe je Glied. Das System erkennt Zyklen automatisch, also Ringbeziehungen, in denen Dienstleister sich gegenseitig als Subunternehmer führen. Änderungen an der Kette sind kein stiller Eintrag, sondern laufen als Antrag mit Genehmigung, Einspruch oder Rückzug. So bleibt nachvollziehbar, wer wann welchen Subunternehmer eingebracht hat, und Sie sehen die Kette, nicht nur den Vertragspartner an der Oberfläche.
Wie wird das Konzentrationsrisiko berechnet?▼
Täglich, je Lieferant, als Konzentrationsverhältnis zwischen 0 und 1, das in Stufen von niedrig bis kritisch geführt wird. Ergänzt wird es um die Substituierbarkeit von einfach bis unmöglich. Die Kombination beantwortet die Frage, die im Ernstfall zählt: Wie viel Betrieb hängt an diesem einen Dienstleister, und wie schnell könnten wir ihn ersetzen? Für die Exit-Planung stehen daneben Auslöser, Ressourcen- und Kostenschätzung, geschätzte Dauer und die Verknüpfung zum BCM-Plan.
Was passiert, wenn ein Lieferant als kritisch bewertet wird?▼
Die Bewertung bleibt nicht im TPRM-Modul stehen. Ein kritisch bewerteter Lieferant erzeugt automatisch ein Bedrohungsszenario im BCM-Modul, sodass der Ausfall in der Kontinuitätsplanung landet statt in einer Nebenakte. Lieferanten-Risiken werden mit Risiken und Assets im ISMS-Modul verknüpft, und die modulübergreifende Impact-Analyse zeigt, welche Assets, Risiken und Vorfälle an diesem Dienstleister hängen. Genau dafür teilen sich die Module eine Datenbasis.

TPRM ist ein Modul von OdySecure

Das TPRM-Modul teilt Datenbasis, Berechtigungsmodell und Audit-Trail mit den Modulen ISMS (ISO 27001), BCM (ISO 22301) und Assessment. Genau daraus entstehen die Querverbindungen: Ein kritisch bewerteter Lieferant erzeugt ein Bedrohungsszenario im BCM, Exit-Strategien hängen an BCM-Plänen, und der Asset-Abhängigkeitsgraph des ISMS zeigt, welche Systeme an diesem Dienstleister hängen. Lizenzierung modular: Sie können mit TPRM starten und bei Bedarf erweitern.

Komplette Plattform-Übersicht

Grundlagen in der Wissensbasis

Vertiefung ohne Verkaufsabsicht: die Fachgrundlagen aus der Cybervize-Wissensbasis.

Mitgliedschaften, Programme und Partnerschaften

  • BSI Allianz für Cyber-Sicherheit
  • CISPA Helmholtz-Zentrum für Informationssicherheit
  • TeleTrusT - Bundesverband IT-Sicherheit
  • IT Security Made in Germany - TeleTrusT