HodeiShield®

Wie bewerte ich TPRM-Plattformen für meine Branche?

Von HodeitekVeröffentlicht

Für Verantwortliche für Sicherheit und Compliance, die ein Werkzeug für Drittparteirisiken kaufen, vergleichen oder ersetzen wollen und vor der Demo wissen möchten, was ihre Regelung verlangt.

Beginnen Sie bei der Regelung, die für Sie gilt, nicht bei der Funktionsliste. Prüfen Sie für jede Vorschrift (DORA, NIS2, ENS, HIPAA, CMMC 2.0, SAMA oder ECC), was sie zu Dritten verlangt, welche Nachweise sie erwartet und ob die Plattform diese mit Verantwortlichem und Datum führt. Testen Sie danach mit Ihren eigenen Lieferanten, bevor Sie kaufen.

Checkliste als PDF herunterladenCheckliste zur Bewertung von TPRM-Plattformen nach Branche. PDF, direkter Download ohne Formular

Kriterien, die für jede Branche gelten

Bevor Sie die einzelnen Vorschriften ansehen, gelten immer sechs Fragen. Keine hängt von der Marke des Werkzeugs ab, und alle lassen sich in einer Demo mit Ihren Daten testen.

Was Sie in der Plattform prüfen sollten

  • Ein Inventar der Dritten mit internem Verantwortlichen, Kritikalität, Vertragsdaten und Subunternehmern.
  • Nachweise mit Verantwortlichem, Gültigkeitsdatum und Status, wobei abgelaufene Nachweise nicht mehr zählen.
  • Wie Lieferanteninformationen gewonnen werden: Fragebogen, Dokumente, externer Scan, SBOM. Jeder Weg misst etwas anderes.
  • Wie Bewertung oder Risiko berechnet werden: sichtbare Eingaben, dokumentierte Methode und als Schätzung gekennzeichnete Werte.
  • Änderungsprotokoll, Export Ihrer Daten und eine API, damit Sie das Werkzeug wieder verlassen können.
  • Wo die Daten gehostet werden, welche Unterauftragsverarbeiter beteiligt sind und was die Plattform nicht leistet. Keine macht Sie allein konform.

DORA: Finanzunternehmen in der EU

DORA ist die Verordnung (EU) 2022/2554 und gilt seit dem 17. Januar 2025. Artikel 28 stellt klar, dass das Unternehmen auch bei Auslagerung verantwortlich bleibt, verlangt eine Strategie für IKT-Drittparteirisiken und in Absatz 3 ein Informationsregister über alle vertraglichen Vereinbarungen. Artikel 29 verlangt die Bewertung des Konzentrationsrisikos, Artikel 30 legt Mindestvertragsinhalte fest (mit Ausstiegsplänen sowie Zugangs- und Prüfrechten für kritische oder wichtige Funktionen) und Artikel 31 regelt die Benennung kritischer Anbieter, die dann unter EU-Aufsicht stehen.

Das Format des Registers legt die Durchführungsverordnung (EU) 2024/2956 fest.

Was Sie in der Plattform prüfen sollten

  • Ein Register mit LEI, Rechtsordnung, unterstützter Funktion und Kritikalität je Anbieter und je Vertrag.
  • Export im Format der amtlichen Vorlagen (die Leitfäden der Aufsichtsbehörden nennen xBRL-CSV-Pakete), wobei die Einreichung über den offiziellen Kanal bei Ihnen bleibt.
  • Verfolgung von Ausstiegsplan, Prüfrecht und Unterauftragskette je Vertrag.
  • Eine Konzentrationsansicht: wie viele Funktionen vom selben Anbieter abhängen.

Quelle: Verordnung (EU) 2022/2554 (DORA), Artikel 28 bis 31, auf EUR-Lex (öffnet sich in einem neuen Tab); Durchführungsverordnung (EU) 2024/2956, Vorlagen für das Informationsregister, auf EUR-Lex (öffnet sich in einem neuen Tab)

NIS2: wesentliche und wichtige Einrichtungen in der EU

Die Richtlinie (EU) 2022/2555 verlangt in Artikel 21 Absatz 2 Buchstabe d Maßnahmen für die Sicherheit der Lieferkette, einschließlich der sicherheitsbezogenen Aspekte der Beziehung zu jedem unmittelbaren Lieferanten. Artikel 21 Absatz 3 fügt hinzu, dass die spezifischen Schwachstellen jedes Lieferanten und die Gesamtqualität seiner Produkte und Cybersicherheitspraktiken zu berücksichtigen sind. Artikel 20 macht das Leitungsorgan für die Billigung und Überwachung dieser Maßnahmen verantwortlich.

Für DNS-, Cloud-, Rechenzentrums-, Managed-Service- und weitere bestimmte Anbietertypen ergänzt die Durchführungsverordnung (EU) 2024/2690 technische Anforderungen.

Was Sie in der Plattform prüfen sollten

  • Bewertung je Lieferant mit Schwachstellen und Sicherheitspraktiken, nicht nur ein allgemeiner Fragebogen.
  • Klauseln zur Vorfallmeldung des Lieferanten an Sie, mit Fristenverfolgung.
  • Berichte, die das Leitungsorgan billigen und prüfen kann.
  • Vorfallbehandlung mit den Fristen von Artikel 23: 24 Stunden, 72 Stunden und ein Monat.

Quelle: Richtlinie (EU) 2022/2555 (NIS2), Artikel 20, 21 und 23, auf EUR-Lex (öffnet sich in einem neuen Tab); Durchführungsverordnung (EU) 2024/2690, technische und methodische Anforderungen, auf EUR-Lex (öffnet sich in einem neuen Tab)

ENS: spanischer öffentlicher Sektor und seine Lieferanten

Das Real Decreto 311/2022 gilt für den öffentlichen Sektor und nach Artikel 2 Absatz 3 auch für die Systeme privater Einrichtungen, die einer öffentlichen Stelle Dienste oder Lösungen liefern. In Anhang II verlangt die Maßnahme op.ext.1 vor der Nutzung externer Ressourcen eine Dienstgütevereinbarung, op.ext.2 ein laufendes System zur Messung ihrer Einhaltung und op.ext.3 den Schutz der Lieferkette.

Die ersten beiden gelten in der mittleren und hohen Kategorie; op.ext.3 gilt in der hohen Kategorie.

Was Sie in der Plattform prüfen sollten

  • Dass sie die Systemkategorie (Basis, mittel, hoch) unterscheidet und zeigt, welche op.ext-Maßnahmen gelten.
  • Dienstgütevereinbarungen je Lieferant und regelmäßige Messung ihrer Einhaltung.
  • Auswirkungs- und Risikoanalyse für einen Vorfall in der Lieferkette, mit Eindämmungsmaßnahmen.
  • Den ENS-Konformitätsstatus des Lieferanten selbst, wenn er eine öffentliche Stelle bedient.

Quelle: Real Decreto 311/2022 (ENS), Artikel 2 und Anhang II, Maßnahmen op.ext, im BOE (spanisch) (öffnet sich in einem neuen Tab)

HIPAA: US-Gesundheitswesen und Business Associates

Nach HIPAA ist Business Associate, wer im Auftrag einer Covered Entity geschützte Gesundheitsinformationen erstellt, empfängt, verwaltet oder übermittelt. Die Security Rule (45 CFR 164.308(b) und 164.314(a)) erlaubt einem Business Associate den Umgang mit ePHI nur mit ausreichenden vertraglichen Zusicherungen. Die Abschnitte 164.502(e) und 164.504(e) regeln dasselbe für die Privacy Rule, einschließlich der Zusicherungen, die der Business Associate von seinen eigenen Subunternehmern einholen muss.

Ein Business Associate muss die Covered Entity über eine Verletzung ohne unangemessene Verzögerung und spätestens 60 Kalendertage nach der Entdeckung benachrichtigen (164.410).

Was Sie in der Plattform prüfen sollten

  • Eine Kennzeichnung, welche Dritten mit Gesundheitsinformationen in Berührung kommen, und der Stand des Business-Associate-Vertrags jedes Dritten, mit Daten.
  • Ein Verzeichnis der Subunternehmer des Business Associate und ihrer Zusicherungen.
  • Verfolgung der Klauseln zur Meldung von Verletzungen und der 60-Tage-Frist.
  • Wenn die Plattform selbst Gesundheitsinformationen speichert, ist sie Business Associate: Fordern Sie den Vertrag an, bevor Sie Daten laden.

Quelle: 45 CFR 164.308(b), Verträge mit Business Associates, auf eCFR (öffnet sich in einem neuen Tab); 45 CFR 164.314(a), Verträge mit Business Associates (Security Rule), auf eCFR (öffnet sich in einem neuen Tab); 45 CFR 164.502(e), Weitergabe an Business Associates, auf eCFR (öffnet sich in einem neuen Tab); 45 CFR 164.504(e), Inhalt der Verträge mit Business Associates, auf eCFR (öffnet sich in einem neuen Tab); 45 CFR 164.410, Meldung durch einen Business Associate, auf eCFR (öffnet sich in einem neuen Tab)

CMMC 2.0: die US-Lieferkette der Verteidigung

Das CMMC-Programm steht in 32 CFR Part 170. Abschnitt 170.23 verpflichtet den Hauptauftragnehmer, die Anforderungen einzuhalten und seine Subunternehmer zur Einhaltung zu verpflichten, mit einem Mindestniveau je nach verarbeiteten Informationen: Level 1 für Bundesvertragsinformationen ohne CUI und mindestens Level 2, sobald CUI vorliegt. Die Abschnitte 170.16(c) und 170.17(c) ergänzen, dass ein Cloud-Anbieter, der CUI verarbeitet, FedRAMP-Moderate-zugelassen sein oder gleichwertige Anforderungen erfüllen muss.

Was Sie in der Plattform prüfen sollten

  • Ein Feld je Lieferant für die Art der verarbeiteten Informationen (FCI oder CUI) und das geforderte CMMC-Level.
  • Einen Nachweis, dass Sie die Anforderungen im Vertrag weitergegeben haben (Flow-down).
  • Den Stand jedes Subunternehmers gegenüber dem geforderten Level, mit Datum des letzten Nachweises.
  • Wenn Sie CUI in das Werkzeug laden, dass sein Hosting die Cloud-Anforderung von 170.16(c) erfüllt.

Quelle: 32 CFR 170.23, Anwendung auf Subunternehmer, auf eCFR (öffnet sich in einem neuen Tab); 32 CFR Part 170 (CMMC-Programm), auf eCFR (öffnet sich in einem neuen Tab)

SAMA und NCA ECC: Finanz- und Nationalsektor Saudi-Arabiens

Das SAMA Cyber Security Framework widmet Dritten die Domäne 3.4 mit drei Unterdomänen: 3.4.1 Vertrags- und Lieferantenmanagement, 3.4.2 Auslagerung und 3.4.3 Cloud Computing. Die Essential Cybersecurity Controls der NCA (ECC-2:2024) enthalten die Domäne 4, Cybersicherheit bei Dritten und Cloud Computing.

Was Sie in der Plattform prüfen sollten

  • Dass die Rahmenwerkbibliothek SAMA und ECC enthält und die Ausgabe nennt (die von uns geprüfte ist ECC-2:2024).
  • Ein Inventar der Dritten mit Zugang zu Systemen oder Daten und Vertragsklauseln je Lieferant.
  • Eine Kennzeichnung für Auslagerungs- und Cloud-Anbieter, die bei SAMA eine eigene Unterdomäne haben.
  • Nachweise je Kontrolle, mit Verantwortlichem und Datum, um der Aufsicht zu antworten.

Quelle: SAMA Cyber Security Framework, Domäne 3.4 «Third Party Cyber Security», im SAMA Rulebook (öffnet sich in einem neuen Tab); NCA Essential Cybersecurity Controls (ECC-2:2024), Domäne 4 (öffnet sich in einem neuen Tab)

Werkzeugtypen und wo HodeiShield einzuordnen ist

Es gibt vier Familien, und keine ist abstrakt besser: Plattformen für Fragebögen und Nachweiserhebung, externe Sicherheitsbewertungsdienste, GRC-Suiten mit Lieferantenmodul und integrierte Plattformen, die Lieferantennachweise, Risikoquantifizierung und Multi-Framework-Compliance verbinden. HodeiShield gehört zur vierten und ist eine Option unter mehreren.

Laut seiner Dokumentation berechnet es einen Lieferantenscore von 0 bis 100 mit Abhängigkeiten in einem Graphen, Auswirkungsradius und einem Konzentrationsindex (HHI); führt einen externen Scan durch (offene Ports, CVEs, bekannte Datenpannen), gleicht Lieferanten-SBOMs (CycloneDX oder SPDX) mit OSV.dev ab und bietet ein Portal, in dem der Lieferant Fragebögen über einen Einmal-Link ohne Konto beantwortet. Es quantifiziert die FAIR-Exposition in Euro mit einem simulierten Unsicherheitsband (unkalibriert). Es misst 17 Rahmenwerke, darunter NIS2, ENS, DORA, HIPAA, CMMC 2.0, SAMA CSF und Saudi ECC-1:2018, als an seinen Kontrollen gemessene Abdeckung, nicht als Zertifizierung.

Grenzen: Dokumentarische Nachweise werden hochgeladen oder verlinkt, nicht automatisch aus der Cloud geholt. Es erzeugt das DORA-Informationsregister als xBRL-CSV-Paket, die Einreichung übernehmen Sie.

So führen Sie den Vergleich durch

Laden Sie bei zwei oder drei Kandidaten dieselben zehn echten Lieferanten in jede Plattform, darunter den kritischsten und den mit den meisten Subunternehmern. Lassen Sie jedes Werkzeug das erzeugen, was Ihre Aufsicht oder Ihr Prüfer verlangen würde: das Register, den Nachweis für eine Kontrolle und die Frist für einen Vorfall. Bewerten Sie mit der Liste im PDF und notieren Sie, was jedes Werkzeug nicht leistet.

Häufige Fragen

Was ist eine TPRM-Plattform?
Software, um Dritte zu inventarisieren, ihre Sicherheitsnachweise zu erheben und zu überwachen, ihr Risiko zu messen und die Aufzeichnungen zu führen, die Aufsichtsbehörden verlangen. TPRM steht für Drittparteirisikomanagement.
Macht mich eine TPRM-Plattform DORA- oder NIS2-konform?
Nein. Die Verantwortung bleibt beim Unternehmen (DORA Artikel 28) und bei NIS2 beim Leitungsorgan (Artikel 20). Das Werkzeug ordnet Daten und Fristen; die Entscheidungen treffen Sie.
Was ist der Unterschied zwischen externem Scan und Fragebogen?
Der Scan misst, was von außen sichtbar ist, etwa offene Ports oder bekannte Datenpannen. Der Fragebogen erfasst, was der Lieferant über seine internen Kontrollen erklärt. Beide ergänzen sich, und keiner belegt allein, dass eine Kontrolle wirkt.
Mit welchen Lieferanten fange ich an?
Mit denen, die kritische oder wichtige Funktionen unterstützen (DORA), Gesundheitsinformationen (HIPAA) oder CUI (CMMC) berühren und keine Alternative haben. Danach erweitern Sie nach Kritikalität.
Was, wenn mehrere Vorschriften gleichzeitig gelten?
Suchen Sie eine Zuordnung zwischen Rahmenwerken, damit derselbe Nachweis wiederverwendet werden kann, und prüfen Sie, ob jede Entsprechung nachvollziehbar ist. Eine Antwort für zwei Rahmenwerke zählt nur, wenn die Entsprechung stimmt.
Was frage ich zum Speicherort meiner Daten?
Hosting-Region, Unterauftragsverarbeiter, Verschlüsselung, Sicherungen und wie Sie Ihre Daten beim Ausstieg zurückerhalten. Je nach Regelung gibt es zusätzliche Anforderungen, etwa die Cloud-Anforderung von 170.16(c) bei CMMC.

Checkliste zur Bewertung von TPRM-Plattformen nach Branche

Die gemeinsamen Kriterien und die für DORA, NIS2, ENS, HIPAA, CMMC 2.0 und SAMA oder ECC in einer druckbaren Liste, mit der Quelle jeder Vorschrift und Platz für Notizen.

Checkliste als PDF herunterladen

PDF, direkter Download ohne Formular

Verwandter Leitfaden

Wie erreiche ich NIS2-Konformität mit Software?Wenn NIS2 Ihre Hauptregelung ist, lesen Sie, was Software für die Compliance leisten kann und was nicht.

Quellen

  1. Verordnung (EU) 2022/2554 (DORA), Artikel 28 bis 31, auf EUR-Lex (öffnet sich in einem neuen Tab)
  2. Durchführungsverordnung (EU) 2024/2956, Vorlagen für das Informationsregister, auf EUR-Lex (öffnet sich in einem neuen Tab)
  3. Richtlinie (EU) 2022/2555 (NIS2), Artikel 20, 21 und 23, auf EUR-Lex (öffnet sich in einem neuen Tab)
  4. Durchführungsverordnung (EU) 2024/2690, technische und methodische Anforderungen, auf EUR-Lex (öffnet sich in einem neuen Tab)
  5. Real Decreto 311/2022 (ENS), Artikel 2 und Anhang II, Maßnahmen op.ext, im BOE (spanisch) (öffnet sich in einem neuen Tab)
  6. 45 CFR 164.308(b), Verträge mit Business Associates, auf eCFR (öffnet sich in einem neuen Tab)
  7. 45 CFR 164.314(a), Verträge mit Business Associates (Security Rule), auf eCFR (öffnet sich in einem neuen Tab)
  8. 45 CFR 164.502(e), Weitergabe an Business Associates, auf eCFR (öffnet sich in einem neuen Tab)
  9. 45 CFR 164.504(e), Inhalt der Verträge mit Business Associates, auf eCFR (öffnet sich in einem neuen Tab)
  10. 45 CFR 164.410, Meldung durch einen Business Associate, auf eCFR (öffnet sich in einem neuen Tab)
  11. 32 CFR 170.23, Anwendung auf Subunternehmer, auf eCFR (öffnet sich in einem neuen Tab)
  12. 32 CFR Part 170 (CMMC-Programm), auf eCFR (öffnet sich in einem neuen Tab)
  13. SAMA Cyber Security Framework, Domäne 3.4 «Third Party Cyber Security», im SAMA Rulebook (öffnet sich in einem neuen Tab)
  14. NCA Essential Cybersecurity Controls (ECC-2:2024), Domäne 4 (öffnet sich in einem neuen Tab)

Testen Sie die Liste mit Ihren Lieferanten

In einer Demo laden wir Beispiellieferanten in HodeiShield und gehen diese Liste Punkt für Punkt durch, auch was nicht abgedeckt ist. Es antwortet Ihnen eine Person von Hodeitek.

Demo anfragen