TPRM-Modul der Cybervize-Plattform

TPRM-Software für Lieferantenrisiken und das Auslagerungsregister

Lieferanten bewerten, Verträge registerfähig führen, Subunternehmer-Ketten offenlegen, Konzentrationsrisiko täglich berechnen und den Ausstieg planen. Aufgebaut entlang der EBA-Outsourcing-Anforderungen, in einer Datenbasis mit ISMS, BCM und Assessment. Hosting in Deutschland.

Kostenlose Demo buchen

Was das TPRM-Modul abdeckt

Lieferantenrisiko ist eine Nachweisfrage: Wer ist kritisch, warum, was steht im Vertrag und was passiert, wenn der Dienstleister ausfällt? Das Modul beantwortet das aus gepflegten Daten statt aus einer Excel-Liste, die niemand aktuell hält.

Kritikalität mit nachvollziehbarer Rechnung

Sieben Pflichtfaktoren pro Lieferant: vier Auswirkungen von 1 bis 5 (finanziell, Kontinuität, operationell und rechtlich, Reputation) und vier Ja-Nein-Fragen (genehmigte Tätigkeiten, interne Kontrollfunktion, Genehmigungspflicht, BRRD-Kritikalität). Daraus errechnet das System die Einstufung Standard, wichtig oder kritisch, mit fester Eskalationslogik: Genehmigungspflicht oder BRRD führt immer zu kritisch. Die KI schlägt Bewertungen mit Begründung je Faktor vor, entschieden wird von Menschen.

Auslagerungsregister, das die Prüfung übersteht

Pro Vertrag 19 Pflichtfelder, darunter Art der Vereinbarung, Funktionskategorie, Kündigungsfristen, Länder der Datenverarbeitung, Jahreskosten, Substituierbarkeit und Reintegrationszeit. Daraus entsteht ein exportierbarer Register-Stand als JSON oder CSV für die Aufsicht; Meldungen an Behörden werden mit Zeitstempel und Notiz dokumentiert. Verträge durchlaufen den Stand Entwurf, aktiv, auslaufend, abgelaufen.

KI-Vertragsanalyse als Screening

Die KI liest das Vertrags-PDF und extrahiert SLA-Zusagen, Haftungsgrenzen, Auditrechte, Datenschutzklauseln und Exit-Regelungen, geprüft gegen Ihre konfigurierbaren Anforderungsrichtlinien. Jedes Ergebnis geht ins manuelle Review, wo es bestätigt oder korrigiert wird. Das ist ein Screening-Werkzeug und ersetzt keine juristische Prüfung.

Subunternehmer-Ketten bis in die Tiefe

Mehrstufige Ketten mit server-berechneter Kettentiefe und automatischer Zykluserkennung, damit Ringbeziehungen auffallen statt unbemerkt zu bleiben. Änderungen in der Kette laufen als Antrag mit Genehmigung, Einspruch oder Rückzug, nicht als stille Anpassung.

Due Diligence und Auditnachweise

Strukturierte Prüfung von Geschäftsmodell, Finanzkraft, Eigentümerstruktur und Regulierungsstatus, für kritische Funktionen erweitert um Notfallplanung, interne Kontrollen und ESG. Ergebnis: bestanden, bestanden mit Auflagen, nicht bestanden. Fremdnachweise wie ISO 27001, SOC 2 oder Pentest-Berichte werden gegen Scope-Abdeckung, Aktualität, anerkannte Standards und Einzelauditrecht validiert.

Monitoring, Konzentration und Exit

Periodische Reviews mit KPI, KCI und SLA, deren Schwellen richtungsabhängig geprüft werden, plus automatische Review-Planung. Das Konzentrationsverhältnis wird täglich je Lieferant berechnet und in Stufen von niedrig bis kritisch geführt. Exit-Strategien halten Auslöser, Ressourcen- und Kostenschätzung, Dauer und die Verknüpfung zum BCM-Plan fest.

Regulatorischer Rahmen des TPRM-Moduls

Das Modul ist entlang der EBA-Outsourcing-Anforderungen gebaut, Paragraf für Paragraf. Was Entwurf ist, nennen wir Entwurf.

EBA-Outsourcing-Anforderungen (CP/2025/12, Entwurf): Kritikalität §33 bis §37, Verträge §63 bis §67, Konzentration §76, Due Diligence §80 bis §83, Subunternehmer §88 bis §96, Audits §97 bis §108, Monitoring §111 bis §116, Exit §117 bis §119
NIS-2-Lieferkettenpflicht als Anlass: Lieferantenrisiken sind mit Assets, Risiken und Vorfällen im ISMS-Modul verknüpft und damit belegbar
Fremdnachweise als Prüfobjekte: ISO 27001, SOC 2, TISAX und Pentest-Berichte werden auf Geltungsbereich, Aktualität und anerkannte Standards geprüft
DSGVO-Bezug: Länder der Datenverarbeitung sind Pflichtfeld im Register, Auftragsverarbeitung und Drittlandtransfer werden dokumentiert
Weitere Vorgaben, etwa sektorspezifische Anforderungen, lassen sich nach demselben Muster einbinden: Katalog laden, Zuordnung pflegen, aktivieren

Für wen das TPRM-Modul gebaut ist

Drei Konstellationen, in denen die Lieferantenliste in Excel zur Haftungsfrage wird.

Auslagerungsbeauftragte und Compliance

Verantworten das Register gegenüber der Aufsicht und müssen jederzeit exportfähig sein. 19 Pflichtfelder je Vertrag, Register-Stand auf Knopfdruck, dokumentierte Behördenmeldung mit Zeitstempel statt Sammelmappe aus Verträgen und Mails.

Risikoverantwortliche im Konzern

Sehen einzelne Lieferanten, aber nicht das Klumpenrisiko dahinter. Tägliches Konzentrationsverhältnis je Lieferant, Substituierbarkeit von einfach bis unmöglich und Subunternehmer-Ketten mit Tiefenberechnung machen sichtbar, woran der Betrieb wirklich hängt.

CISO mit NIS-2-Lieferkettenpflicht

Muss belegen, dass Lieferantenrisiken gesteuert werden, nicht nur behauptet. Kritische Bewertungen erzeugen automatisch Bedrohungsszenarien im BCM-Modul, Lieferanten-Risiken hängen an Assets und Vorfällen im ISMS. Der Nachweis entsteht im Betrieb.

TPRM ist ein Modul der Cybervize-Plattform

Das TPRM-Modul teilt Datenbasis, Berechtigungsmodell und Audit-Trail mit den Modulen ISMS (ISO 27001), BCM (ISO 22301) und Assessment. Genau daraus entstehen die Querverbindungen: Ein kritisch bewerteter Lieferant erzeugt ein Bedrohungsszenario im BCM, Exit-Strategien hängen an BCM-Plänen, und der Asset-Abhängigkeitsgraph des ISMS zeigt, welche Systeme an diesem Dienstleister hängen. Lizenzierung modular: Sie können mit TPRM starten und bei Bedarf erweitern.

Komplette Plattform-Übersicht

Häufige Fragen zum TPRM-Modul

Wie entsteht das Auslagerungsregister und wie kommt es zur Aufsicht?▼

Das Register entsteht nicht als eigenes Dokument, sondern aus den gepflegten Verträgen: Jeder Vertrag trägt die 19 Pflichtfelder, vom Typ der Vereinbarung über Kündigungsfristen und Funktionskategorie bis zu Datenverarbeitungsländern, Jahreskosten, Substituierbarkeit und Reintegrationszeit. Daraus erzeugt die Plattform einen exportierbaren Register-Stand als JSON oder CSV. Meldungen an die Aufsicht werden mit Zeitstempel und Notiz am Vertrag dokumentiert, sodass später nachvollziehbar ist, wer wann was gemeldet hat.

Wie wird die Kritikalität berechnet, und was genau macht die KI dabei?▼

Die Einstufung folgt einer festen Rechnung, nicht einem Bauchgefühl: vier Auswirkungsfaktoren von 1 bis 5 (finanziell, Kontinuität, operationell und rechtlich, Reputation) und vier Ja-Nein-Faktoren (genehmigte Tätigkeiten, interne Kontrollfunktion, Genehmigungspflicht, BRRD-Kritikalität). Die Eskalation ist festgelegt: Genehmigungspflicht oder BRRD-Kritikalität führt zwingend zur Stufe kritisch, hohe Auswirkung zur Stufe wichtig. Die KI schlägt je Faktor eine Bewertung mit Begründung vor, damit niemand vor einem leeren Formular sitzt. Die Entscheidung trifft die verantwortliche Person, und die Begründung bleibt am Datensatz nachlesbar.

EBA CP/2025/12 ist ein Entwurf. Was heißt das für uns?▼

Es heißt, dass wir die Anforderungen des Konsultationspapiers bereits abbilden, während der finale Text noch aussteht. Der Vorteil: Wer heute nach dieser Struktur arbeitet, führt Register, Kritikalitätsbewertung und Ketten schon in der Form, auf die der Markt zuläuft. Ändert sich am finalen Text etwas, ist das für die Plattform Datenpflege am Katalog und keine Neuentwicklung, weil Anforderungen als Datensatz eingebunden sind. Wir kennzeichnen den Entwurfsstatus bewusst, statt ein fertiges Regelwerk zu behaupten.

Wie tief werden Subunternehmer-Ketten abgebildet?▼

Mehrstufig, mit vom Server berechneter Kettentiefe je Glied. Das System erkennt Zyklen automatisch, also Ringbeziehungen, in denen Dienstleister sich gegenseitig als Subunternehmer führen. Änderungen an der Kette sind kein stiller Eintrag, sondern laufen als Antrag mit Genehmigung, Einspruch oder Rückzug. So bleibt nachvollziehbar, wer wann welchen Subunternehmer eingebracht hat, und Sie sehen die Kette, nicht nur den Vertragspartner an der Oberfläche.

Wie wird das Konzentrationsrisiko berechnet?▼

Täglich, je Lieferant, als Konzentrationsverhältnis zwischen 0 und 1, das in Stufen von niedrig bis kritisch geführt wird. Ergänzt wird es um die Substituierbarkeit von einfach bis unmöglich. Die Kombination beantwortet die Frage, die im Ernstfall zählt: Wie viel Betrieb hängt an diesem einen Dienstleister, und wie schnell könnten wir ihn ersetzen? Für die Exit-Planung stehen daneben Auslöser, Ressourcen- und Kostenschätzung, geschätzte Dauer und die Verknüpfung zum BCM-Plan.

Was passiert, wenn ein Lieferant als kritisch bewertet wird?▼

Die Bewertung bleibt nicht im TPRM-Modul stehen. Ein kritisch bewerteter Lieferant erzeugt automatisch ein Bedrohungsszenario im BCM-Modul, sodass der Ausfall in der Kontinuitätsplanung landet statt in einer Nebenakte. Lieferanten-Risiken werden mit Risiken und Assets im ISMS-Modul verknüpft, und die modulübergreifende Impact-Analyse zeigt, welche Assets, Risiken und Vorfälle an diesem Dienstleister hängen. Genau dafür teilen sich die Module eine Datenbasis.

Grundlagen in der Wissensbasis

Vertiefung ohne Verkaufsabsicht: die Fachgrundlagen aus der Cybervize-Wissensbasis.

Mitgliedschaften, Programme und Partnerschaften

TPRM-Software für Lieferantenrisiken und das Auslagerungsregister

Kostenlose Demo buchen

Regulatorischer Rahmen des TPRM-Moduls

Das Modul ist entlang der EBA-Outsourcing-Anforderungen gebaut, Paragraf für Paragraf. Was Entwurf ist, nennen wir Entwurf.

EBA-Outsourcing-Anforderungen (CP/2025/12, Entwurf): Kritikalität §33 bis §37, Verträge §63 bis §67, Konzentration §76, Due Diligence §80 bis §83, Subunternehmer §88 bis §96, Audits §97 bis §108, Monitoring §111 bis §116, Exit §117 bis §119

NIS-2-Lieferkettenpflicht als Anlass: Lieferantenrisiken sind mit Assets, Risiken und Vorfällen im ISMS-Modul verknüpft und damit belegbar

Fremdnachweise als Prüfobjekte: ISO 27001, SOC 2, TISAX und Pentest-Berichte werden auf Geltungsbereich, Aktualität und anerkannte Standards geprüft

DSGVO-Bezug: Länder der Datenverarbeitung sind Pflichtfeld im Register, Auftragsverarbeitung und Drittlandtransfer werden dokumentiert

Weitere Vorgaben, etwa sektorspezifische Anforderungen, lassen sich nach demselben Muster einbinden: Katalog laden, Zuordnung pflegen, aktivieren

TPRM ist ein Modul der Cybervize-Plattform

Komplette Plattform-Übersicht

Häufige Fragen zum TPRM-Modul

Wie entsteht das Auslagerungsregister und wie kommt es zur Aufsicht?▼

Wie wird die Kritikalität berechnet, und was genau macht die KI dabei?▼

EBA CP/2025/12 ist ein Entwurf. Was heißt das für uns?▼

Wie tief werden Subunternehmer-Ketten abgebildet?▼

Wie wird das Konzentrationsrisiko berechnet?▼

Was passiert, wenn ein Lieferant als kritisch bewertet wird?▼