Vendor
Monitoring.
Vendor Monitoring beobachtet Lieferantenrisiken fortlaufend. Es ergänzt Fragebögen durch externe Signale, Sicherheitsratings, Ereignisse, Standort- und Lieferketteninformationen.
Lieferanten ändern sich täglich.
Ein jährlicher Fragebogen zeigt einen Zeitpunkt. Vendor Monitoring zeigt Bewegung: neue exponierte Dienste, schlechtere TLS-Konfigurationen, Datenlecks, kritische Ereignisse, Standortstörungen oder Veränderungen im digitalen Fussabdruck.
Der Nutzen entsteht, wenn technische Aussensicht, Selbstauskünfte, Vertragsanforderungen und Risikobehandlung zusammengeführt werden. Sonst bleibt ein Rating nur eine Zahl ohne Entscheidung.
Security Ratings beobachten externe Hygiene. Questionnaire-Plattformen sammeln Nachweise. TPRM-Suiten steuern Risiko, Verträge und Massnahmen. Vendor Monitoring verbindet diese Signale zu einer laufenden Sicht auf kritische Drittparteien.
Für DORA, NIS2 und regulierte Lieferketten zählt nicht nur die Bewertung. Wichtig sind Kritikalität, Eskalation, Nachweisführung, Ausnahmebehandlung und ein belastbarer Prozess bei Verschlechterung.
Kontinuierlich schlägt jährlich.
Die Matrix trennt Security-Rating-Plattformen, TPRM-Suiten, Questionnaire-Netzwerke und Supply-Chain-Intelligence.
| Hersteller | Produkt | Einordnung | Betrieb | Digital Footprint und External Scanning | Continuous Monitoring und Real-Time Alerts | Risk Scoring und Rating-Methodik |
|---|---|---|---|---|---|---|
| BitSight Technologies, Inc. | BitSight Third-Party Risk Management & Security Ratings | Spezialisierter Security Rating & TPRM Pioneer | SaaS (Cloud Native) | Passives, unterbrechungsfreies Scanning lokaler/globaler IP-Bereiche, DNS & Zertifikate | Täglich aktualisiertes Monitoring von Sicherheitsänderungen & Schwachstellen-Exposition | Quantitatives Rating-System (300–820 Score, analog zu FICO Credit Scores) |
| SecurityScorecard Inc. | SecurityScorecard Ratings & TPRM Platform | Spezialisierter Security Rating & TPRM Anbieter | SaaS (Cloud Native) | Nicht-invasives Scanning von 10 Risikofaktoren (Patching, DNS, IP Reputation, Web App etc.) | Continuous Real-Time Alerts bei Verschlechterung des Sicherheits-Ratings | Einfaches Buchstabensystem (A-F Ratings) mit detailliertem Risk Vector Breakdown |
| UpGuard Inc. | UpGuard Vendor Risk | Specialized Vendor Risk & Attack Surface Management | SaaS (Cloud Native) | Automatisches tägliches Scanning von IP-Ranges, Zertifikaten, DNS & Datenlecks | Echtzeit-Benachrichtigungen bei Konfigurationsmängeln & Datenlecks | Datenbasierte, transparente Risikobewertung (0–950 Score) auf 6 Risikokategorien |
| Panorays Ltd. | Panorays Third-Party Security Risk Management Platform | KI-gestützte TPRM- & Continuous Monitoring Platform | SaaS | Kombiniert passives Cyber-Footprinting mit Geschäftskontext-Analyse | Kontinuierliche Überwachung dynamischer Risikoveränderungen im Lieferantennetzwerk | Kontextbezogenes Risk DNA Scoring unter Einbezug der Geschäftsbeziehung |
| Black Kite Inc. | Black Kite Cyber Risk Intelligence (TPRM) | Cyber Risk Quantification & TPRM Specialist | SaaS (Cloud Native) | Non-invasive Scans nach 20 universellen Cyber-Risikokategorien | Kontinuierliche Überwachung von Ransomware-Anfälligkeit & Compliance-Abweichungen | FAIR-basiertes quantitatives Risikomodell (monetäre Verlustberechnung in $) |
| RiskRecon (Mastercard) | RiskRecon Third-Party Security Risk Management | Enterprise Third-Party Risk Rating Platform | SaaS | Detailliertes, nicht-invasives Discovery aller öffentlich erreichbaren IT-Assets | Kontinuierliche Überwachung der IT-Hygiene mit täglicher Priorisierung | Risikobasierte Leistungsbewertung (Rating 1–10) basierend auf Auswirkung & Fehlerhäufigkeit |
| Prevalent Inc. | Prevalent Vendor Risk Management Platform | Integrated TPRM & Vendor Intelligence Suite | SaaS | Integriertes externes Passiv-Scanning gekoppelt mit kontinuierlichen Feeds | Erfassung von Cyber-, Finanz-, Reputations- & Rechtsrisiken in Echtzeit | Ganzheitliches Risk Scoring (Kombination aus Cyber, Legal, Financial & ESG) |
| OneTrust LLC | OneTrust Third-Party Risk Management | Trust & GRC Enterprise Suite | SaaS (Cloud Native) | Ingestion externer Threat- & Rating-Feeds (z. B. via SecurityScorecard / BitSight) | Kontinuierliches Monitoring von Lieferanten-Änderungen & Compliance-Status | Kombiniertes Risiko-Scoring aus Datenschutz-, Security- & Operational-Parametern |
| ProcessUnity Inc. | ProcessUnity Cybersecurity Performance Management | Enterprise GRC & Third-Party Risk Management | SaaS | Ingestion externer Attack Surface & Threat Intelligence Daten | Kontinuierliche Risikoüberwachung & dynamische Neubewertung bei Vorfällen | Standardisierte Risikobewertung auf Basis des CyberGRX Exchange Datenmodells |
| Whistic Inc. | Whistic Vendor Security Network & AI Assessment | Specialized Vendor Assessment & Network Platform | SaaS | Ingestion externer Security Ratings zur Anreicherung von Profilen | Kontinuierliches Tracking von Profil-Updates & Security Posture Changes | Transparenter Whistic Score gekoppelt mit AI-basierten Kontroll-Analysen |
| Supply Wisdom Inc. | Supply Wisdom Continuous Risk Intelligence | Continuous Supply Chain & Location Risk Specialist | SaaS | Kontinuierliches Monitoring von Digital-, Financial-, ESG- & Location-Risk | Echtzeit-Frühwarnsystem (24/7 Monitoring) bei geopolitischen & Cyber-Events | Multi-Domain Risk Scoring (Cyber, Financial, ESG, Operational, Legal) |
| Resilinc Corporation | Resilinc Supply Chain Resiliency & Vendor Monitoring | Supply Chain Event & Vendor Monitoring Specialist | SaaS | Erfassung von Lieferanten-Standorten, Sub-Tiers & logistischen Knotenpunkten | 24/7 EventWatch AI Monitoring von Cyber-Vorfällen, Unwettern & Insolvenzen | Multi-Tier Impact Scoring zur Ermittlung von Betriebsunterbrechungs-Risiken |
Was die Plattformen sichtbar machen.
BitSight Technologies, Inc.
BitSight Third-Party Risk Management & Security Ratings
Frühere Namen / Kontext: BitSight
Passives, unterbrechungsfreies Scanning lokaler/globaler IP-Bereiche, DNS & Zertifikate
Täglich aktualisiertes Monitoring von Sicherheitsänderungen & Schwachstellen-Exposition
Quantitatives Rating-System (300–820 Score, analog zu FICO Credit Scores)
KI-gestützte Fragebogen-Validierung & Integration mit Lieferanten-Portalen
Dark Web Intelligence zur Früherkennung gezielter Bedrohungen & Leaks
Weltweit etabliertes Security-Rating mit hoher Akzeptanz bei Versicherern & Aufsichtsräten
Reine Aussensicht spiegelt interne organisatorische Schutzmassnahmen nicht vollständig wider
SecurityScorecard Inc.
SecurityScorecard Ratings & TPRM Platform
Frühere Namen / Kontext: SecurityScorecard
Nicht-invasives Scanning von 10 Risikofaktoren (Patching, DNS, IP Reputation, Web App etc.)
Continuous Real-Time Alerts bei Verschlechterung des Sicherheits-Ratings
Einfaches Buchstabensystem (A-F Ratings) mit detailliertem Risk Vector Breakdown
Automatisierter Import & KI-Analyse von Fragebögen (SIG, CAIQ, Custom)
Integrierte Threat Intelligence & Signal-Überwachung auf Breach-Plattformen
Sehr anschauliches A-F-Rating mit direkter Lieferanten-Einbindung zur Behebung
Aussensicht erzeugt gelegentlich False Positives bei zugewiesenen IP-Adressbereichen
UpGuard Inc.
UpGuard Vendor Risk
Frühere Namen / Kontext: UpGuard / CyberRisk
Automatisches tägliches Scanning von IP-Ranges, Zertifikaten, DNS & Datenlecks
Echtzeit-Benachrichtigungen bei Konfigurationsmängeln & Datenlecks
Datenbasierte, transparente Risikobewertung (0–950 Score) auf 6 Risikokategorien
KI-powered Security Profile & automatisierte Fragebogen-Exchanges
Dark Web Leak Monitoring & Erkennung freigelegter Anmeldedaten
Sehr schnelle Inbetriebnahme, hoher Bedienkomfort & lückenlose Transparenz der Scores
Fokus primär auf digitale Angriffsflächen, weniger auf physische/finanzielle Betriebsrisiken
Panorays Ltd.
Panorays Third-Party Security Risk Management Platform
Frühere Namen / Kontext: Panorays
Kombiniert passives Cyber-Footprinting mit Geschäftskontext-Analyse
Kontinuierliche Überwachung dynamischer Risikoveränderungen im Lieferantennetzwerk
Kontextbezogenes Risk DNA Scoring unter Einbezug der Geschäftsbeziehung
KI-automatisierte Fragebögen mit dynamischem Vor-Ausfüllen & Plausibilitätscheck
Monitoring von Dark-Web-Aktivitäten & aufgetauchten Sicherheitsvorfällen
Ausgezeichnete Kombination aus automatischem Aussenscan und Kontext-Fragebögen
Konfiguration des spezifischen Kontext-Modells erfordert initiale Abstimmung
Black Kite Inc.
Black Kite Cyber Risk Intelligence (TPRM)
Frühere Namen / Kontext: CyberSpective
Non-invasive Scans nach 20 universellen Cyber-Risikokategorien
Kontinuierliche Überwachung von Ransomware-Anfälligkeit & Compliance-Abweichungen
FAIR-basiertes quantitatives Risikomodell (monetäre Verlustberechnung in $)
KI-Automatisierung von Standard-Fragebögen & Dokumenten-Parsing
Ransomware Susceptibility Index (RSI) & Dark Web Threat Intelligence
Bietet als einziger Anbieter finanzielle Risikofaktor-Quantifizierung (FAIR) für Vendor Risk
Komplexität der finanziellen Risikoberechnung erfordert CISO-/Risk-Verständnis
RiskRecon (Mastercard)
RiskRecon Third-Party Security Risk Management
Frühere Namen / Kontext: RiskRecon
Detailliertes, nicht-invasives Discovery aller öffentlich erreichbaren IT-Assets
Kontinuierliche Überwachung der IT-Hygiene mit täglicher Priorisierung
Risikobasierte Leistungsbewertung (Rating 1–10) basierend auf Auswirkung & Fehlerhäufigkeit
Integration von Fragebögen und Kombination mit objektiv gemessenen Befunden
Erfassung von Sicherheitspatches, SSL-Mängeln & aktiven Bedrohungssignalen
Sehr geringe False-Positive-Rate durch manuell verifizierte Zuordnung von Assets
Reiner Fokus auf technische Cyber-Hygiene, keine direkte Abfrage von BCM/Compliance-Dokumenten
Prevalent Inc.
Prevalent Vendor Risk Management Platform
Frühere Namen / Kontext: Prevalent / 3GRC
Integriertes externes Passiv-Scanning gekoppelt mit kontinuierlichen Feeds
Erfassung von Cyber-, Finanz-, Reputations- & Rechtsrisiken in Echtzeit
Ganzheitliches Risk Scoring (Kombination aus Cyber, Legal, Financial & ESG)
Automatisierter Austausch & Bibliothek vorgefertigter Lieferanten-Assessments
Integriertes Dark Web Monitoring & weltweite Breach- / Event-Meldungen
Sehr breiter Ansatz: Deckt Cyber-, Finanz-, Reputations- & Operational-Vendor-Risks ab
Benutzeroberfläche bei sehr umfangreichen Multi-Modul-Suiten teils verschachtelt
OneTrust LLC
OneTrust Third-Party Risk Management
Frühere Namen / Kontext: OneTrust TPRM / Vendorpedia
Ingestion externer Threat- & Rating-Feeds (z. B. via SecurityScorecard / BitSight)
Kontinuierliches Monitoring von Lieferanten-Änderungen & Compliance-Status
Kombiniertes Risiko-Scoring aus Datenschutz-, Security- & Operational-Parametern
Automatisierte Fragebogen-Verteilung, Vendorpedia-Datenbank & AI Automation
Ingestion externer Incident- & Breach-Feeds zur Risikobewertung
Exzellente Verbindung von Datenschutz-Auditierung (Auftragsverarbeitung) mit TPRM
Technisches Cyber-Scanning ist nicht nativ, sondern erfordert Partner-Integrationen
ProcessUnity Inc.
ProcessUnity Cybersecurity Performance Management
Frühere Namen / Kontext: ProcessUnity / CyberGRX / CyberRisk
Ingestion externer Attack Surface & Threat Intelligence Daten
Kontinuierliche Risikoüberwachung & dynamische Neubewertung bei Vorfällen
Standardisierte Risikobewertung auf Basis des CyberGRX Exchange Datenmodells
Zugriff auf vorgefertigte, validierte Assessments tausender globaler Lieferanten
Integration von Threat Feeds & Incident-Meldungen
Zugriff auf den CyberGRX Risk Exchange beschleunigt Vendor-Onboarding enorm
Hoher Einführungs- und Konfigurationsaufwand für massgeschneiderte Enterprise-Workflows
Whistic Inc.
Whistic Vendor Security Network & AI Assessment
Frühere Namen / Kontext: Whistic
Ingestion externer Security Ratings zur Anreicherung von Profilen
Kontinuierliches Tracking von Profil-Updates & Security Posture Changes
Transparenter Whistic Score gekoppelt mit AI-basierten Kontroll-Analysen
Whistic Smart Response (KI-gestützte Fragebogen-Beantwortung & Auswertung)
Monitoring freigegebener Sicherheitsdokumente auf Inaktualität
Sehr hohe Effizienz bei der Vermeidung doppelter Fragebögen durch das Whistic Network
Fokus primär auf Dokumenten- & Questionnaire-Austausch, weniger auf tiefen Netzhalt-Scan
Supply Wisdom Inc.
Supply Wisdom Continuous Risk Intelligence
Frühere Namen / Kontext: Supply Wisdom
Kontinuierliches Monitoring von Digital-, Financial-, ESG- & Location-Risk
Echtzeit-Frühwarnsystem (24/7 Monitoring) bei geopolitischen & Cyber-Events
Multi-Domain Risk Scoring (Cyber, Financial, ESG, Operational, Legal)
Ergänzt klassische Fragebögen durch KI-gestütztes Continuous Monitoring
Tiefgehende Real-Time Media-, Dark Web- & Regulatory Breach Analysis
Abdeckung aller Risikodimensionen (Financial, ESG, Geopolitik, Cyber) in Echtzeit
Führt selbst keine Tiefen-Scans von IP-Adressen/Netzwerken durch (aggregiert Feeds)
Resilinc Corporation
Resilinc Supply Chain Resiliency & Vendor Monitoring
Frühere Namen / Kontext: Resilinc
Erfassung von Lieferanten-Standorten, Sub-Tiers & logistischen Knotenpunkten
24/7 EventWatch AI Monitoring von Cyber-Vorfällen, Unwettern & Insolvenzen
Multi-Tier Impact Scoring zur Ermittlung von Betriebsunterbrechungs-Risiken
Lieferanten-Mapping-Fragebögen & automatisierte Risiko-Validierung
Monitoring weltweiter Nachrichten, Regulatory Filings & Dark Web Leaks
Unübertroffenes Mapping tiefster Multi-Tier-Lieferketten und Standortabhängigkeiten
Schwerpunkt liegt stark auf operativer Lieferketten-Resilienz und LkSG, weniger auf reiner IT-Cyber-Hygiene
Kandidaten für später.
Einige Werkzeuge sind relevant, aber in der aktuellen Quelle noch nicht ausreichend belastbar als vollständige Vendor-Monitoring- oder Security-Rating-Plattform eingeordnet.
- RiskledgerBritischer Anbieter für netzwerkbasiertes Third-Party Risk Management und Vendor Collaboration.
- Venminder PlatformSpezialisierte Enterprise-TPRM-Plattform mit starkem Fokus auf Finanzen und Banken-Regulierung.
- DiliTrust Governance / TPRMEuropäischer Anbieter für Corporate Governance und Lieferanten-Risiko-Audits.
- Cera/DACS Vendor RiskDACH-spezifische Nischenlösungen zur Einhaltung von DORA- und NIS2-Lieferkettenanforderungen.
Mit echten Lieferanten testen.
- Kritische Lieferanten, Cloud-Dienstleister und Outsourcing-Partner getrennt bewerten.
- Security Rating, Fragebogen und Vertragsanforderung miteinander abgleichen.
- Änderungen im externen Footprint mit Eskalation und Owner testen.
- Falsch-positive Ratings und fehlende Lieferantenmitwirkung bewusst einplanen.
- Reporting so prüfen, dass Einkauf, Legal, Risk und CISO dieselbe Entscheidung sehen.
Security Tool Navigator · Gebiet 12
Im Gebiet Third Party und Supply Chain einordnen.
Diese Werkzeugklasse gehört zum Gebiet Third Party und Supply Chain. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.