Ein umfassender Leitfaden für CISOs und Compliance-Verantwortliche im Jahr 2026

Drittparteienrisiken sind für europäische Organisationen von einem Randthema zu einem Titelthema geworden. DORA ist für Finanzunternehmen seit Januar 2025 durchsetzbar, und NIS2 wird derzeit in der gesamten Europäischen Union in nationales Recht umgesetzt, in Frankreich durch die Loi Résilience. Für CISOs, Compliance-Direktoren und Einkaufsleiter bedeutet das vor allem eines: Wie ein Unternehmen mit den Risiken seiner Lieferanten und Dienstleister umgeht, ist keine interne Präferenz mehr. Es ist eine dokumentierte, prüfbare Pflicht.

Dieser Leitfaden fasst das Wesentliche des Managements von Drittparteienrisiken, bekannt als TPRM, zusammen und erklärt, wie NIS2 und DORA prägen, was von Organisationen heute erwartet wird.

Was TPRM tatsächlich bedeutet

TPRM bezeichnet den strukturierten Prozess, die Risiken zu identifizieren, zu bewerten und zu überwachen, die Anbieter, Lieferanten und Dienstleister in eine Organisation tragen. Er umfasst die Cybersicherheitslage, aber auch operative Resilienz, Datenschutz und vertragliche Verantwortlichkeit. Ein reifes TPRM-Programm leistet drei Dinge gut. Es führt ein klares Inventar jeder Drittpartei und der von ihr berührten Systeme. Es bewertet jede anhand eines einheitlichen Kriterienkatalogs. Und es verfolgt Probleme bis zur Lösung, mit einem benannten Verantwortlichen und einer Frist.

Wo NIS2 einzuordnen ist

NIS2 weitet den Anwendungsbereich der europäischen Cybersicherheitsregulierung auf achtzehn Sektoren aus, weit über die ursprünglich von der ersten NIS-Richtlinie erfassten Betreiber hinaus. Artikel 21 verpflichtet wesentliche und wichtige Einrichtungen, die Lieferkettensicherheit ausdrücklich zu managen, sodass Organisationen die Anbieteraufsicht nicht mehr informell oder gelegentlich betreiben können. In Frankreich setzt die Loi Résilience NIS2 gemeinsam mit DORA und der Richtlinie über die Resilienz kritischer Einrichtungen in einem einzigen Gesetzgebungsakt um, ein besonderer nationaler Ansatz, den jedes auf dem französischen Markt tätige Unternehmen verstehen sollte.

Wo DORA einzuordnen ist

DORA gilt für zwanzig Kategorien regulierter Finanzunternehmen und verfolgt bei Drittparteienrisiken einen deutlich vorschreibenderen Ansatz als NIS2. Sie verlangt ein vollständiges Informationsregister, das jeden IKT-Dienstleister abdeckt, der kritische oder wichtige Funktionen unterstützt, einschließlich Unterauftragnehmern, Datenstandorten und Exit-Strategien. Außerdem verlangt sie fortlaufende Tests der operativen Resilienz und klare Kriterien, welche Dienstleister als kritisch gelten.

Warum kontinuierliche Aufsicht jetzt wichtig ist

Beide Frameworks drängen Organisationen weg vom jährlichen Fragebogen und hin zu kontinuierlichem Monitoring. Aufsichtsbehörden nennen unvollständige Register und veraltete Bewertungen bereits als Schwerpunkte der Durchsetzung im Jahr 2026. Eine vor zwölf Monaten abgeschlossene Bewertung sagt einem Vorstand sehr wenig über die aktuelle Exposition eines Dienstleisters.

Genau hier bleiben viele Organisationen stecken. Ein lebendes Register der Dienstleister aufzubauen und zu pflegen, Bewertungen konsistent durchzuführen und Nachweise auf Abruf zu erstellen, ist manuell schwer zu leisten, sobald ein Anbieterportfolio über eine Handvoll Namen hinauswächst.

Wenn Ihr Team Struktur in diesen Prozess bringen möchte, ohne die Personalstärke zu erhöhen, lohnt es sich zu sehen, wie eine spezialisierte Plattform das löst. Eine kurze Demo mit Cynapze zu buchen ist ein einfacher Weg, um zu sehen, wie ein kontinuierlich aktualisiertes TPRM-Programm in der Praxis aussieht.

Erste Schritte

Organisationen, die diese Arbeit beginnen, sollten mit einem ehrlichen Inventar jeder genutzten Drittpartei starten, so unbedeutend sie auch scheinen mag. Danach erlaubt die Einstufung der Dienstleister nach Kritikalität, die Aufmerksamkeit dorthin zu lenken, wo sie am meisten zählt, statt jeden Anbieter gleich zu behandeln. Schließlich macht die Gewohnheit, zu dokumentieren, wer wann bewertet wurde und was festgestellt wurde, Compliance zu einem Nebenprodukt guter Praxis statt zu einer separaten Hektik vor einem Audit.

Fazit

TPRM, NIS2 und DORA laufen auf dieselbe Erwartung zu: Organisationen müssen ihre Drittparteien kennen, sie einheitlich bewerten und dies belegen können. Das ist ein deutlicher Wandel gegenüber der bisherigen Arbeitsweise vieler Unternehmen, aber auch eine Chance, ein Programm aufzubauen, das das Unternehmen weit über das hinaus schützt, was eine einzelne Regulierung verlangt. Teams, die jetzt mit klarer Verantwortung und den richtigen Werkzeugen beginnen, stehen beim nächsten Audit oder Vorfall deutlich besser da.

Um zu sehen, wie Cynapze Ihr Programm für Drittparteienrisiken vom ersten Tag an unterstützen kann, buchen Sie eine Demo mit unserem Team.