Das Risiko
endet nicht an der Firmengrenze.
Third Party und Supply Chain behandelt Risiken aus Lieferanten, Dienstleistern und eingekaufter Software. Verantwortung lässt sich auslagern, die Rechenschaft nicht. Die Werkzeugklassen helfen, Lieferanten zu bewerten, laufend zu beobachten und Nachweise auszutauschen, ersetzen aber keine Vertragsgestaltung und keine Exit-Planung.
Drei Ebenen, 7 Werkzeugklassen.
Eine Plattform kann mehrere Ebenen abdecken. Für die Auswahl zählt, welche Aufgabe sie verlässlich erfüllt und wer die Ergebnisse verantwortet.
Lieferanten erfassen und einstufen.
TPRM und Vendor Risk führen Inventar, Kritikalität, Fragebögen und Massnahmen. Evidence Exchange vereinfacht den Austausch von Nachweisen.
Veränderungen früh sehen.
Security Ratings und Vendor Monitoring liefern Aussensicht und Hinweise. Sie sind Indikatoren, keine Prüfung.
Herkunft und Abhängigkeiten durchleuchten.
Supply Chain Risk erfasst Risiken über mehrere Lieferstufen. Software Supply Chain und Dependency Monitoring sichern Herkunft, Integrität und Abhängigkeiten der eingesetzten Software.
Alle Werkzeugklassen im Gebiet.
Vendor Risk und TPRM
Vendor-Risk- und TPRM-Werkzeuge im Vergleich: Lieferantenbewertung, Fragebögen, Monitoring und Prüfpunkte vor der Auswahl.
Security Ratings
Security Ratings bewerten von aussen sichtbare Sicherheitsindikatoren einer Organisation oder eines Lieferanten.
Vendor Monitoring
Vendor-Monitoring-Werkzeuge im Vergleich: Sicherheitslage von Lieferanten laufend überwachen.
Supply Chain Risk
Supply-Chain-Risk-Werkzeuge im Vergleich: Risiken entlang der Lieferkette erkennen und managen.
Software Supply Chain
Software-Supply-Chain-Security im Werkzeugvergleich: Quellcode, Abhängigkeiten, Build und Deployment absichern, mit Nachweis von Herkunft und Integrität.
Dependency Monitoring
Dependency Monitoring im Werkzeugvergleich: Bibliotheken, Versionen, Lizenzen und Schwachstellen überwachen und nach tatsächlicher Nutzung priorisieren.
Evidence Exchange
Evidence-Exchange-Plattformen im Vergleich: Sicherheitsnachweise, Zertifikate und Fragebogenantworten strukturiert mit Kunden und Lieferanten austauschen.
CIO und CISO entscheiden nicht dasselbe.
CISO: Schutzwirkung
Der CISO braucht eine risikobasierte Sicht auf die kritischen Lieferanten.
- Welche Lieferanten haben Zugriff auf Systeme oder Daten?
- Wie schnell erfahren wir von einem Vorfall beim Lieferanten?
- Wer entscheidet über Ausnahmen?
CIO: Betriebsfähigkeit
Der CIO verantwortet Verträge, Abhängigkeiten und Ausstiegsfähigkeit.
- Welche Dienste sind ohne Alternative?
- Ist ein Wechsel technisch und vertraglich möglich?
- Welche Unterauftragnehmer stehen dahinter?
Was dieses Gebiet nicht abdeckt.
Third Party behandelt Risiken ausserhalb der eigenen Organisation. Governance führt das Gesamtrisiko, Application Security prüft eigene Software, und Resilience plant den Ausfall kritischer Dienstleister mit ein.
Orientierung, keine Produktempfehlung.
Die Einordnung stützt sich auf Standards, Rahmenwerke und Rechtsgrundlagen. Produktangaben stehen auf den einzelnen Werkzeugseiten.
Stand: 10. Oktober 2026 · Nächste planmässige Prüfung: 10. Januar 2027 · Produktangaben und regulatorische Anwendbarkeit sind vor einer konkreten Entscheidung erneut zu prüfen.