Evidenzaustauschen.
Evidence Exchange stellt Sicherheitsnachweise für Kunden und Lieferanten strukturiert bereit, etwa Zertifikate, Kontrollbeschreibungen, Fragebogenantworten und aktuelle Prüfberichte. Es reduziert Wiederholungen, aber nicht die Verantwortung für die Aussage.
Gezielt
einsetzen.
Aktuelle Sicherheitsnachweise kontrolliert bereitstellen und ihre Aussagegrenzen sichtbar halten.
Ein Trust Center ist keine Risikoprüfung. Sensible Evidenz braucht Zielgruppe, Gültigkeit, Version, NDA-Logik und einen Weg für Rückfragen oder Abweichungen.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| Whistic · Trust Center | Security Evidence Exchange | SaaS-Anbieter und Kundenprüfungen | Freigabe, Aktualität und Datensichtbarkeit |
| SafeBase · Trust Center | Security Review Automation | B2B SaaS und Sales Security | Dokumentenpflege und Zugriffsmodell |
| Conveyor · AI Security Questionnaire Automation | Questionnaires und Evidenz | Security und Vertrieb | Menschliche Freigabe von Antworten |
| HyperComply · HyperComply | Evidenz und Questionnaire Workflow | B2B SaaS | Datenqualität und Reviewprozess |
| Vanta · Trust Center | Compliance Evidence Sharing | Vanta-Kunden und SaaS | Abgrenzung zu tiefem TPRM |
| Drata · Trust Center | Compliance Portal | Drata-Kunden | Aktualität von Nachweisen |
| OneTrust · Third-Party Management | Evidenz und Vendor Workflows | GRC-Programme | Scope und Berechtigungen |
| Prevalent · Vendor Risk Management | Vendor Assessments | Beschaffung und Risk Teams | Lieferantenbeteiligung und Datenmodell |
| SecurityScorecard · Security Questionnaires | Rating plus Evidenz | Third-Party-Cyberprogramme | Aussensicht von Evidenz trennen |
| ProcessUnity · Risk Exchange | Questionnaires und Evidence | Enterprise TPRM | Onboarding und Nachweispflege |
In drei Schritten
zum Trust Center.
- Nachweise inventarisieren: Zertifikate, Prüfberichte (z. B. ISAE 3402, SOC 2), Richtlinien und Standardantworten mit Owner und Ablaufdatum erfassen.
- Zugriff stufen: öffentlich, nach Registrierung, nach NDA. Sensible Berichte nur mit Protokoll, wer was wann gesehen hat.
- Antwortbibliothek pflegen: Standardfragen (z. B. SIG, CAIQ) einmal fachlich freigeben, danach wiederverwenden und bei Änderungen am Kontrollsystem aktualisieren.
- Durchlaufzeit pro Kundenfragebogen
- Anteil Nachweise mit gültigem Datum und Owner
- Anzahl Rückfragen, die eine Abweichung offenlegen
ISO/IEC 27001:2022 Annex A 5.19–5.22 regeln Lieferantenbeziehungen; die Gegenseite braucht dafür belastbare Nachweise.
DORA (Art. 28–30) verlangt von Finanzunternehmen in der EU ein Management des IKT-Drittparteienrisikos; in der Schweiz regeln FINMA-RS 2018/3 (Outsourcing) und FINMA-RS 2023/1 (operationelle Risiken und Resilienz, Banken) vergleichbare Erwartungen.
Ein Trust Center beschleunigt den Nachweis, nicht die Entscheidung. Veraltete oder ungeprüfte Antworten schaden mehr als eine ehrliche Lücke.
Nachweis statt
Versprechen.
- Evidenz nach Zielgruppe, Gültigkeit und Schutzbedarf segmentieren.
- Fragebogenantworten nur mit verantworteter Freigabe veröffentlichen.
- Abweichungen, NDA und Rückfragen im Prozess nachverfolgen.
Vendor Risk und TPRM · Control & Evidence Management · Audit Management
Produktfunktionen sind Herstellerangaben. Die Eignung zeigt erst ein kontrollierter Test im eigenen Scope.
Security Tool Navigator · Gebiet 12
Im Gebiet Third Party und Supply Chain einordnen.
Diese Werkzeugklasse gehört zum Gebiet Third Party und Supply Chain. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.