Vendor
Risk.
Vendor Risk Management steuert Risiken aus Lieferantenbeziehungen. Es verbindet Kritikalität, Onboarding, Assessments, Security Ratings, Nachweise, Massnahmen und Eskalation zu einem belastbaren Drittparteienprozess.
Risiko beginnt vor dem Vertrag.
Vendor Risk ist mehr als ein Lieferantenfragebogen. Es entscheidet, welche Drittpartei kritisch ist, welche Nachweise nötig sind, welche Restrisiken akzeptiert werden und wann eine Geschäftsbeziehung zusätzliche Kontrollen braucht.
Stark wird der Prozess, wenn Bewertung, externe Signale, Verträge, Datenschutz, Outsourcing, Massnahmenverfolgung und Reassessment zusammenlaufen.
Vendor Monitoring beobachtet Veränderungen. Security Ratings liefern externe technische Signale. TPRM und Vendor Risk steuern den vollständigen Lebenszyklus: Onboarding, Tiering, Assessment, Freigabe, Massnahmen und laufende Überwachung.
Für DORA, NIS2 und regulierte Lieferketten zählt, ob kritische Dienstleister erkennbar sind, Nachweise aktuell bleiben und Abweichungen zu einer Entscheidung führen.
Fragebogen ist kein Risikomodell.
Die Matrix trennt Security-Rating-Plattformen, integrierte TPRM-Suiten, Questionnaire-Netzwerke, GRC-Module und DACH-nahe Compliance-Werkzeuge.
| Hersteller | Produkt | Einordnung | Betrieb | Lieferanten-Onboarding und Tiering | Risiko-Identifikation und Assessment (Questionnaires / KI) | Kontinuierliche Überwachung und Threat Feeds |
|---|---|---|---|---|---|---|
| BitSight Technologies, Inc. | BitSight Vendor Risk Management & Security Ratings | Spezialisierter Security Rating & TPRM Specialist | SaaS (Cloud Native) | Automatisiertes Triage- & Tiering-System basierend auf Geschäftskritizität | KI-gestützte Validierung von Standard-Fragebögen & Import historischer Nachweise | Täglich aktualisierte Passiv-Scans, Threat Feeds & Dark-Web-Analysen |
| SecurityScorecard Inc. | SecurityScorecard Ratings & VRM Platform | Spezialisierter Security Rating & TPRM Anbieter | SaaS (Cloud Native) | Automatisierte Einstufung von Zulieferern nach kritischen Geschäftsbereichen | KI-Analyse von Fragebögen (SIG, CAIQ, Custom) mit automatisierter Evidenzprüfung | Continuous Real-Time Scanning über 10 Risikovektoren & Signal-Überwachung |
| Prevalent Inc. (Mitratech) | Prevalent Vendor Risk Management Platform | Integrated TPRM & Third-Party Risk Suite | SaaS (Cloud Native) | Automatisierte Risk-Tiering-Matrizen beim Lieferanten-Onboarding | Umfangreiche Bibliothek vorkonfigurierter Assessments (SIG, Higher Education, Custom) | Integriertes Continuous Monitoring von Cyber-, Finanz- & Rechtsrisiken |
| OneTrust LLC | OneTrust Third-Party Risk Management | Enterprise Privacy & Vendor GRC Suite | SaaS (Cloud Native) | Integrierter Workflow für Lieferantenanfrage, Intake & automatisches Risk-Tiering | Zugriff auf Vendorpedia-Datenbank mit vorgefertigten Lieferanten-Profilen & KI-Analyse | Ingestion externer Rating-Feeds (z. B. BitSight, SecurityScorecard) & News-Feeds |
| ProcessUnity Inc. | ProcessUnity Vendor Risk Management | Enterprise VRM & Risk Exchange Platform | SaaS (Cloud Native) | Hochkonfigurierbare Intake-Formulare mit dynamischer Risk-Level-Zuweisung | Zugang zum CyberGRX Risk Exchange mit validierten Lieferanten-Assessments | Kontinuierliche Risikoüberwachung & Ereignis-basierte Alert-Trigger |
| UpGuard Inc. | UpGuard Vendor Risk | Specialized Vendor Risk & Attack Surface Management | SaaS (Cloud Native) | Schnelles Erfassen von Lieferanten & automatische Kritizitäts-Klassifizierung | KI-gestützte Sicherheits-Profile & automatisierter Fragebogen-Austausch | Tägliches automatisches Scanning von IP-Ranges, Zertifikaten, DNS & Leaks |
| Panorays Ltd. | Panorays Third-Party Risk Management | KI-gestützte VRM- & Continuous Monitoring Platform | SaaS | Automatisiertes Tiering basierend auf der Art der geteilten Daten/Zugriffe | Kombiniert passives Cyber-Footprinting mit KI-dynamischen Fragebögen | Kontinuierliches Monitoring veränderlicher Angriffsflächen im Lieferantennetzwerk |
| Black Kite Inc. | Black Kite Cyber Risk Intelligence (VRM) | Quantified Cyber Risk & Vendor Intelligence | SaaS (Cloud Native) | Integriertes Vendor-Onboarding mit automatischem Klassifizierungsschema | KI-Analyse von Fragebögen und Dokumenten-Parsing zur Befundverfolgung | Kontinuierliches Scannen von 20 Cyber-Risikokategorien & Ransomware-Symptomen |
| RiskRecon (Mastercard) | RiskRecon Third-Party Risk Management | Enterprise Third-Party Rating Platform | SaaS | Automatische Zuordnung öffentlich erreichbarer IT-Assets zu Lieferanten | Ergänzung externer Befunde mit Kundeneigenen Fragebögen & Audit-Material | Tägliche automatische Überprüfung der Cyber-Hygiene (Patching, Encryption etc.) |
| ServiceNow Inc. | ServiceNow Vendor Risk Management (VRM) | Enterprise GRC & Service Operations Suite | SaaS | Nahtlos integriertes Vendor Onboarding verknüpft mit Procurement & CMDB | Automatisierte Zuweisung von Assessments über das Vendor Assessment Portal | Ingestion externer Rating-Feeds (BitSight, SecurityScorecard) via Store-Apps |
| MetricStream Inc. | MetricStream Third-Party Risk Management | Enterprise GRC Suite | SaaS | End-to-End Onboarding-Workflow mit automatischer Triage & Due Diligence | KI-gestützte Beantwortung & Auswertung umfangreicher Assessments | Kontinuierliche Anreicherung durch externe Risk Feeds & Threat Feeds |
| Archer Technologies | Archer Third Party Risk Management | Enterprise GRC Suite | SaaS / On-Premises | Detaillierter Erfassungs- & Genehmigungsprozess beim Lieferanten-Onboarding | Umfassende Fragenkataloge für Cyber-, BCM-, Finanz- & Rechtsrisiken | Anbindung an externe Rating- & Threat-Intelligence-Provider via Connectors |
| otris software AG | otris compliance (Lieferanten- & Vertrages-Risiko Modul) | DACH GRC / Compliance & Contract Suite | SaaS / On-Premises | Strukturierte Erfassung von Lieferantenstämmen & Verknüpfung mit Verträgen | Standardisierte Abfrage von Compliance-Vorgaben & Datenschutz-Attesten | Automatische Fristenkontrolle & Wiedervorlage bei Zertifikatsablauf (ISO, SOC) |
| Whistic Inc. | Whistic Vendor Security Network | Specialized Vendor Assessment Platform | SaaS | Lieferanten-Einladung und sofortiger Abgleich im Whistic Profile Network | Whistic Smart Response (KI-gestützte Auswertung von Sicherheitsdokumenten) | Automatische Alerts bei Aktualisierung freigegebener Lieferantenprofile |
| Diligent Corporation | Diligent Third-Party Risk Management (3rdRisk) | Enterprise GRC Suite & KI-native TPRM-Plattform | SaaS | Vendor-Erfassung manuell, per Bulk-Import oder API & KI-gestützte Segmentierung nach inhärentem Risiko | KI-gestützte Fragebögen (Assessment Populator), SOC-2-Analyse & Dokumentenanalyse von Verträgen und Zertifikaten | Kontinuierliches Monitoring mit automatischen Alerts, externen Risk Ratings & Länderrisiko-Profilen |
Was die Plattformen steuern.
BitSight Technologies, Inc.
BitSight Vendor Risk Management & Security Ratings
Frühere Namen / Kontext: BitSight
Automatisiertes Triage- & Tiering-System basierend auf Geschäftskritizität
KI-gestützte Validierung von Standard-Fragebögen & Import historischer Nachweise
Täglich aktualisierte Passiv-Scans, Threat Feeds & Dark-Web-Analysen
Quantitatives Rating-System (300–820 Score, korreliert mit Vorfalls-Wahrscheinlichkeit)
Kollaborativer Action-Plan & direkte Lieferanten-Einbindung zur Behebung
Weltweit führendes Security-Rating mit hoher Akzeptanz bei Aufsichtsräten & Versicherern
Reine Aussensicht spiegelt interne kompensierende Sicherheitskontrollen nicht wider
SecurityScorecard Inc.
SecurityScorecard Ratings & VRM Platform
Frühere Namen / Kontext: SecurityScorecard
Automatisierte Einstufung von Zulieferern nach kritischen Geschäftsbereichen
KI-Analyse von Fragebögen (SIG, CAIQ, Custom) mit automatisierter Evidenzprüfung
Continuous Real-Time Scanning über 10 Risikovektoren & Signal-Überwachung
Anschauliches A-F Buchstabensystem mit detailliertem Risk Vector Breakdown
Direktes Partner-Portal zur geführten Behebung von Sicherheitsmängeln
Sehr anschauliche Visualisierung & einfache Kommunikation von Lieferanten-Risiken
Aussensicht erzeugt gelegentlich Zuordnungsfehler bei dynamischen IP-Gatter-Bereichen
Prevalent Inc. (Mitratech)
Prevalent Vendor Risk Management Platform
Frühere Namen / Kontext: 3GRC / Prevalent
Automatisierte Risk-Tiering-Matrizen beim Lieferanten-Onboarding
Umfangreiche Bibliothek vorkonfigurierter Assessments (SIG, Higher Education, Custom)
Integriertes Continuous Monitoring von Cyber-, Finanz- & Rechtsrisiken
Kombiniertes Risk-Scoring aus internen Fragebogenergebnissen und Telemetrie
Integrierte Remediation Workflows mit automatisierter Aufgaben-Eskalation
Ganzheitlicher Ansatz: Verbindet Cyber-Risiken mit finanziellen & rechtlichen Faktoren
Bei reinen IT-Security-Teams durch die Funktionsbreite teilweise aufwendig in der Administration
OneTrust LLC
OneTrust Third-Party Risk Management
Frühere Namen / Kontext: OneTrust Vendorpedia
Integrierter Workflow für Lieferantenanfrage, Intake & automatisches Risk-Tiering
Zugriff auf Vendorpedia-Datenbank mit vorgefertigten Lieferanten-Profilen & KI-Analyse
Ingestion externer Rating-Feeds (z. B. BitSight, SecurityScorecard) & News-Feeds
Mehrdimensionaler Risk Score (Datenschutz, Cybersecurity, Betriebs- & BCM-Risiko)
Automatisierte Massnahmen-Nachverfolgung und Audit-Workflows für Prüfer
Exzellente Verzahnung von Datenschutz-Compliance (Auftragsverarbeitung) mit VRM
Nativer technischer Aussenscan erfordert die Einbindung externer Rating-Partner
ProcessUnity Inc.
ProcessUnity Vendor Risk Management
Frühere Namen / Kontext: CyberGRX / ProcessUnity
Hochkonfigurierbare Intake-Formulare mit dynamischer Risk-Level-Zuweisung
Zugang zum CyberGRX Risk Exchange mit validierten Lieferanten-Assessments
Kontinuierliche Risikoüberwachung & Ereignis-basierte Alert-Trigger
Quantitatives Predictive Risk Scoring basierend auf Bedrohungslage & Asset-Kritizität
Schliessung von Kontrolllücken durch strukturierte Behebungs-Pipelines
Sehr hohes Onboarding-Tempo durch Zugriff auf den CyberGRX Risk Exchange Katalog
Hohe Komplexität und Einführungsaufwand für massgeschneiderte Enterprise-Prozesse
UpGuard Inc.
UpGuard Vendor Risk
Frühere Namen / Kontext: UpGuard / CyberRisk
Schnelles Erfassen von Lieferanten & automatische Kritizitäts-Klassifizierung
KI-gestützte Sicherheits-Profile & automatisierter Fragebogen-Austausch
Tägliches automatisches Scanning von IP-Ranges, Zertifikaten, DNS & Leaks
Datenbasierte, transparente Risikobewertung (0–950 Score) über 6 Kategorien
Interaktiver Risk Remediation Hub & kollaboratives Portal zur Mängelbehebung
Sehr schnelle Inbetriebnahme, übersichtliche Oberfläche & hohe Kostentransparenz
Fokus primär auf digitale Angriffsflächen, weniger auf physische/finanzielle Risiken
Panorays Ltd.
Panorays Third-Party Risk Management
Frühere Namen / Kontext: Panorays
Automatisiertes Tiering basierend auf der Art der geteilten Daten/Zugriffe
Kombiniert passives Cyber-Footprinting mit KI-dynamischen Fragebögen
Kontinuierliches Monitoring veränderlicher Angriffsflächen im Lieferantennetzwerk
Kontextbezogenes "Risk DNA" Scoring unter Berücksichtigung des Geschäftskontexts
Automatisch generierte Remediation-Pläne mit konkreten Anweisungen an Zulieferer
Einzigartige Verknüpfung aus technischem Aussenscan und geschäftskontextbezogenen Fragen
Erfordert initiale Kalibrierung des Geschäftskontext-Modells
Black Kite Inc.
Black Kite Cyber Risk Intelligence (VRM)
Frühere Namen / Kontext: CyberSpective
Integriertes Vendor-Onboarding mit automatischem Klassifizierungsschema
KI-Analyse von Fragebögen und Dokumenten-Parsing zur Befundverfolgung
Kontinuierliches Scannen von 20 Cyber-Risikokategorien & Ransomware-Symptomen
Monetäre Risikobewertung (FAIR-Modell) & Ransomware Susceptibility Index (RSI)
Automatische Ticket-Erstellung und Eskalation an Lieferanten
Einziger Spezialist mit monetärer Risikobewertung (FAIR) für den finanziellen Vendor-Impact
Mathematische Komplexität des FAIR-Modells erfordert geschultes Risikoverständnis
RiskRecon (Mastercard)
RiskRecon Third-Party Risk Management
Frühere Namen / Kontext: RiskRecon
Automatische Zuordnung öffentlich erreichbarer IT-Assets zu Lieferanten
Ergänzung externer Befunde mit Kundeneigenen Fragebögen & Audit-Material
Tägliche automatische Überprüfung der Cyber-Hygiene (Patching, Encryption etc.)
Objektives Rating-System (1–10 Score) basierend auf Fehlerhäufigkeit & Impact
Integrierte Remediation-Führung zur gezielten Bereinigung nachgewiesener Lücken
Nahezu fehlerfreie Zuordnung öffentlicher Assets durch verifizierte Datenpflege
Reiner Fokus auf technische Cyber-Hygiene; keine Abfrage interner BCM-Prozesse
ServiceNow Inc.
ServiceNow Vendor Risk Management (VRM)
Frühere Namen / Kontext: ServiceNow GRC / Third-Party Risk
Nahtlos integriertes Vendor Onboarding verknüpft mit Procurement & CMDB
Automatisierte Zuweisung von Assessments über das Vendor Assessment Portal
Ingestion externer Rating-Feeds (BitSight, SecurityScorecard) via Store-Apps
Aggregiertes Enterprise Vendor Risk Scoring gekoppelt mit CMDB-Asset-Criticality
Automatische Ticket-Erstellung (Issues & Tasks) direkt im ITIL/ITSM-Workflow
Lückenlose Einbettung des Lieferantenrisikos in operative ITIL- & Beschaffungsprozesse
Hoher Implementierungsaufwand und Enterprise-Kostenstruktur
MetricStream Inc.
MetricStream Third-Party Risk Management
Frühere Namen / Kontext: MetricStream CyberGRC
End-to-End Onboarding-Workflow mit automatischer Triage & Due Diligence
KI-gestützte Beantwortung & Auswertung umfangreicher Assessments
Kontinuierliche Anreicherung durch externe Risk Feeds & Threat Feeds
KI-basierte Risiko-Quantifizierung und dynamische Scorecard-Berechnung
Integrierte Remediation Action-Plans und Korrekturmassnahmen-Tracking
Extrem hohe Skalierbarkeit für weltweite Konzerne mit hochkomplexer Governance
Für mittelständische Organisationen oft überdimensioniert
Archer Technologies
Archer Third Party Risk Management
Frühere Namen / Kontext: RSA Archer Third Party Governance
Detaillierter Erfassungs- & Genehmigungsprozess beim Lieferanten-Onboarding
Umfassende Fragenkataloge für Cyber-, BCM-, Finanz- & Rechtsrisiken
Anbindung an externe Rating- & Threat-Intelligence-Provider via Connectors
Hochkonfigurierbare Enterprise Risk Matrix zur konsolidierten Bewertung
Integriertes Issue- & Exception-Management für abweichende Befunde
Maximale Konfigurierbarkeit für hochregulierte Banken- & Konzernstrukturen
Veraltet wirkende Benutzeroberfläche und hoher Administrationsaufwand
otris software AG
otris compliance (Lieferanten- & Vertrages-Risiko Modul)
Frühere Namen / Kontext: documentsOS / otris corporate
Strukturierte Erfassung von Lieferantenstämmen & Verknüpfung mit Verträgen
Standardisierte Abfrage von Compliance-Vorgaben & Datenschutz-Attesten
Automatische Fristenkontrolle & Wiedervorlage bei Zertifikatsablauf (ISO, SOC)
Risikoklassifizierung gekoppelt mit Vertrags- & Haftungswerten
Integrierte Massnahmenverwaltung für Abweichungen & Audit-Nachweise
Nahtlose Kopplung von Vertragsmanagement, Compliance & Lieferantenrisiko (Made in Germany)
Kein echtes automatisches IP/Netzwerk-Scanning integriert (erfordert Partner-Tools)
Whistic Inc.
Whistic Vendor Security Network
Frühere Namen / Kontext: Whistic
Lieferanten-Einladung und sofortiger Abgleich im Whistic Profile Network
Whistic Smart Response (KI-gestützte Auswertung von Sicherheitsdokumenten)
Automatische Alerts bei Aktualisierung freigegebener Lieferantenprofile
Transparenter Whistic Score gekoppelt mit KI-basierten Kontroll-Analysen
Direktes Feedback an Lieferanten zur Klärung unbeantworteter Kontrollen
Vermeidet doppelte Fragebögen durch das herstellereigene Vendor Security Network
Hauptaugenmerk liegt auf Dokumentenaustausch; kein tiefes passives IP-Scanning
Kandidaten für später.
Einige Werkzeuge sind relevant, aber in der aktuellen Quelle noch nicht ausreichend belastbar als vollständige Vendor-Risk-Management-Plattform eingeordnet.
- RiskledgerBritischer Spezialist für kollaboratives Third-Party Risk Management und Vendor Networks.
- Venminder PlatformSpezialisierte Enterprise-TPRM-Plattform mit starkem Fokus auf Banken und Finanzen.
- Aravo SolutionsEnterprise-Lieferanten-Governance und Third-Party Management Suite.
- DACS / Cera Vendor RiskDACH-orientierte Speziallösungen zur Erfüllung von DORA- und NIS2-Lieferkettenanforderungen.
Mit echten Drittparteien testen.
- Kritische, wichtige und normale Lieferanten getrennt onboarden.
- Fragebogen, Zertifikat, Security Rating und Vertragsanforderung zusammen bewerten.
- Massnahmen, Ausnahmeentscheidungen und Reassessment-Termine nachvollziehbar steuern.
- Integration zu GRC, Datenschutz, Einkauf, Vertragsmanagement und CMDB prüfen.
- Reporting so testen, dass CISO, Risk, Einkauf und Legal dieselbe Entscheidung sehen.
Security Tool Navigator · Gebiet 12
Im Gebiet Third Party und Supply Chain einordnen.
Diese Werkzeugklasse gehört zum Gebiet Third Party und Supply Chain. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.