Dienstleistersteuerung

Dienstleistersteuerung (englisch Third-Party Risk Management) bezeichnet den Prozess, mit dem eine Organisation die Informationssicherheits- und Compliance-Risiken externer Dienstleister, Cloud-Anbieter und Lieferanten über den gesamten Lebenszyklus der Geschäftsbeziehung steuert. Sie beginnt mit der risikoorientierten Auswahl und Eingangsprüfung (Due Diligence), setzt sich in vertraglichen Sicherheitsvereinbarungen fort und mündet in eine kontinuierliche Überwachung der vereinbarten Schutzmaßnahmen. Ziel ist es, dass Sicherheitsanforderungen, die intern gelten, auch entlang der Liefer- und Wertschöpfungskette durchgesetzt werden und Risiken nicht über Dritte in die eigene Organisation getragen werden.

Im Zentrum steht eine Risikobewertung des einzelnen Dienstleisters: Welche Daten und Systeme verarbeitet er, welchen Schutzbedarf haben diese, und welche Auswirkungen hätte ein Ausfall oder eine Kompromittierung? Auf dieser Grundlage werden Anforderungen festgelegt und nachgewiesen, etwa durch Zertifikate (ISO/IEC 27001), Prüfberichte (SOC 2, IDW PS 951), TISAX-Label oder Sicherheitsfragebogen. Kritisch ist auch die Frage der Sub-Dienstleister (Vierte-Parteien-Risiken) sowie die Konzentration auf wenige große Anbieter, die im Störfall zu Klumpenrisiken führen kann.

Mit der NIS2-Richtlinie und ihrer Umsetzung im deutschen Recht wird die Sicherheit der Lieferkette zur ausdrücklichen Pflicht: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen Maßnahmen zum Management von Risiken in der Lieferkette ergreifen und überwachen. Für Finanzunternehmen konkretisiert die DORA-Verordnung die Steuerung von IKT-Drittdienstleistern bis hin zu Pflichtinhalten der Verträge und einem Informationsregister. Eine wirksame Dienstleistersteuerung ist damit zugleich Baustein des ISMS, des Business Continuity Managements und der regulatorischen Compliance.