Sicherheit der digitalen Lieferkette

Third-Party-Risk-Management (TPRM) umfasst die Identifikation, Bewertung und laufende Steuerung von Risiken aus Beziehungen zu Lieferanten und Dienstleistern. Dazu gehören eine Bestandsaufnahme aller Drittparteien, ihre Klassifizierung nach Kritikalität, die Bewertung ihrer Sicherheitspraktiken sowie vertragliche und organisatorische Kontrollen über den gesamten Lebenszyklus – von der Beschaffung bis zum Exit. Ziel ist Transparenz darüber, welche Anbieter kritische Funktionen unterstützen und wie belastbar deren Sicherheitsniveau tatsächlich ist.

Die Lieferkette ist heute ausdrücklich reguliert. NIS2 (Richtlinie (EU) 2022/2555) verlangt in Art. 21(2)(d) Maßnahmen zur Lieferkettensicherheit für die Beziehungen zu direkten Lieferanten und Diensteanbietern; Art. 21(3) fordert, die Schwachstellen jedes direkten Lieferanten und die Qualität seiner Cybersicherheitspraktiken zu berücksichtigen (inkl. der koordinierten Risikobewertungen nach Art. 22). Für den Finanzsektor regelt DORA (Verordnung (EU) 2022/2554, anwendbar seit 17.01.2025) das IKT-Drittparteienrisiko in Kapitel V – u. a. Strategie und Informationsregister (Art. 28), Konzentrationsrisiko (Art. 29) und vertragliche Mindestbestimmungen (Art. 30). Der Cyber Resilience Act erweitert die Pflichten auf Produkte mit digitalen Elementen und deren Komponenten. In der Praxis operationalisieren die ISO/IEC-27001-Controls A.5.19–A.5.23 diese Anforderungen für Lieferantenbeziehungen und Cloud-Nutzung.

Für die Bewertung von Cloud-Providern hat die Cloud Security Alliance ein etabliertes Verfahren geschaffen. Die Cloud Controls Matrix (CCM) ist ein Control-Framework für Cloud Computing mit 197 Control-Objectives in 17 Domänen. Der zugehörige Consensus Assessment Initiative Questionnaire (CAIQ) übersetzt diese Controls in Ja/Nein-Fragen (v4.0: 261 Fragen), mit denen ein Anbieter seine vorhandenen Sicherheits-Controls dokumentiert; ab Version 4.1 sind CCM und CAIQ zusammengeführt. Über das STAR-Register (Security, Trust, Assurance and Risk) wird der ausgefüllte CAIQ öffentlich einsehbar: STAR Level 1 ist ein kostenfreies Self-Assessment (jährlich aktualisiert), Level 2 ein kostenpflichtiges Drittanbieter-Audit – als STAR Attestation (SOC 2) bzw. STAR Certification (ISO/IEC 27001). So lässt sich beurteilen, ob ein Dienst sicher genug für den eigenen Einsatzzweck ist.

KI-Dienste erfordern eine eigene Bewertungslogik. Die CSA AI Controls Matrix (AICM) v1.1 ist ein herstellerunabhängiges Kontroll-Framework für cloudbasierte KI-Systeme mit 247 Control-Objectives in 18 Sicherheitsdomänen; sie baut auf der CCM auf und ist mit CCM v4.1 synchronisiert. Eine dedizierte Domäne „Model Security“ adressiert mit 13 KI-spezifischen Controls Themen wie Model Poisoning, Prompt-Injection, unautorisierten Modellzugriff und den Schutz der Model Weights. Die Controls unterscheiden fünf Rollen (u. a. Model Provider, Application Provider, AI Customer) und liefern Mappings auf ISO 42001, ISO/IEC 27001, NIST AI RMF bzw. NIST AI 600-1, BSI AIC4 und den EU AI Act. Der begleitende AI-CAIQ (v1.1: 320 Fragen) dient – wie der CAIQ im Cloud-Bereich – als Fragenkatalog für Self- und Drittparteien-Assessments.

Ein Fragebogen ist eine Momentaufnahme – Sicherheit dagegen ein Zustand über die Zeit. Ein belastbares Assessment beginnt mit der Kritikalitätseinstufung des Anbieters, gefolgt von der Auswertung der CAIQ- bzw. AICM-Antworten sowie vorliegender Zertifikate und Audit-Berichte. Da STAR-Level-1-Selbstauskünfte jährlich aktualisiert werden, lässt sich die Compliance-Posture eines Anbieters fortlaufend nachverfolgen; für kritische Funktionen ergänzen DORA-Anforderungen wie Konzentrationsanalyse (Art. 29) und Exit-Strategien (Art. 28(8)) das Bild. Aus punktuellen Fragebögen wird so ein kontinuierlicher Prozess mit definierten Auslösern für Neubewertungen.

VamiSec unterstützt beim Aufbau eines TPRM-Programms und bei der konkreten Bewertung einzelner Anbieter. Wir strukturieren Lieferanten- und Provider-Assessments entlang etablierter Kataloge (CAIQ/CCM für Cloud, AICM für KI), automatisieren wiederkehrende Security-Questionnaires und ordnen die Ergebnisse den regulatorischen Anforderungen aus NIS2, DORA und ISO/IEC 27001 zu. Auf Wunsch begleiten wir die Vorbereitung auf STAR- oder ISO-27001-Audits und richten ein kontinuierliches Monitoring der kritischen Drittparteien ein – herstellerneutral und nachvollziehbar dokumentiert.