Lieferantenrisikomanagement-Programm aufbauen: Schritt-für-Schritt-Leitfaden (2026)

Lieferantenrisikomanagement-Programm aufbauen: Schritt-für-Schritt-Leitfaden (2026)

Ein Lieferantenrisikomanagement-Programm (VRM-Programm) ist die organisatorische Infrastruktur, die bestimmt, wie Risiken aus dem gesamten Lieferantenportfolio identifiziert, bewertet, überwacht und gesteuert werden. Ohne ein solches Programm sind Lieferantenbewertungen Ad-hoc-Maßnahmen ohne einheitliche Standards, ohne Nachverfolgung und ohne Möglichkeit, gegenüber Auditoren oder Aufsichtsbehörden Compliance nachzuweisen.

Dieser Leitfaden erklärt, wie Sie ein VRM-Programm von Grund auf aufbauen – von der Governance-Struktur bis zum kontinuierlichen Monitoring – mit praxisnahen Vorlagen und Ausrichtung auf die EU-Vorschriften NIS2 und DORA.

---

Warum Unternehmen ein formales VRM-Programm benötigen

Ein durchschnittliches Unternehmen verwaltet heute 286 Lieferanten – ein Anstieg gegenüber 237 im Jahr 2024 ¹. Jede Lieferantenbeziehung schafft potenzielle Angriffsfläche: Ein Lieferant mit Zugang zu Ihren Systemen oder Daten kann zum Ausgangspunkt eines Sicherheitsvorfalls, eines Compliance-Verstoßes oder einer Betriebsstörung werden.

Das Ausmaß des Drittpartei-Risikos ist keine Theorie:

• 15 % aller Datenschutzverletzungen involvieren laut dem Verizon 2024 Data Breach Investigations Report eine Drittpartei
• Nur 15 % der Risikoverantwortlichen haben ein hohes Vertrauen in ihre eigenen Drittpartei-Risikodaten ¹
• Nur 22 % der Unternehmen verfügen über vollständig definierte Kennzahlen zur Messung ihrer TPRM-Programme ¹
• Lediglich 13 % der TPRM-Teams haben vollständig ausgereifte Automatisierungsfähigkeiten ¹

Das Ergebnis: Die meisten Unternehmen verwalten ein großes und wachsendes Lieferantenportfolio mit unreifen, manuellen Prozessen, die nicht skalieren.

Ein formales VRM-Programm schafft Konsistenz (jeder Lieferant wird nach denselben Kriterien bewertet), Nachvollziehbarkeit (dokumentierte Nachweise für Aufsichtsbehörden) und Effizienz (klare Verantwortlichkeiten, automatisierte Workflows, vorhersehbare Zeitpläne).

---

Die 7 Komponenten eines ausgereiften VRM-Programms

Ein vollständiges Lieferantenrisikomanagement-Programm besteht aus sieben miteinander verbundenen Komponenten:

Komponente	Inhalt
1. Governance	Richtlinie, Verantwortlichkeiten, Risikobereitschaft, funktionsübergreifendes Team
2. Lieferantenregister	Vollständige, gepflegte Dokumentation aller Lieferantenbeziehungen
3. Risikostufung	Klassifizierung der Lieferanten nach inhärentem Risikoniveau
4. Due Diligence & Bewertung	Vorvertragliche und periodische Risikobeurteilung
5. Vertragsmanagement	Sicherheits- und Compliance-Pflichten in Lieferantenverträgen
6. Kontinuierliches Monitoring	Laufende Überwachung zwischen formalen Bewertungen
7. Reporting & Eskalation	Kennzahlen, Dashboards und Sichtbarkeit auf Vorstandsebene

---

Schritt 1: Governance etablieren

Governance ist das Fundament, das alle anderen Komponenten zum Funktionieren bringt. Ohne klare Verantwortlichkeiten und Richtlinien bleibt das Lieferantenrisikomanagement informell – abhängig von Einzelpersonen statt von Prozessen.

Richtlinie und Risikobereitschaft definieren

Erstellen Sie eine VRM-Richtlinie, die folgende Fragen beantwortet:

• Welche Lieferanten fallen in den Anwendungsbereich?
• Was ist die Risikobereitschaft des Unternehmens – ab welchem Restrisiko ist eine Führungsentscheidung erforderlich?
• Wer trägt die Gesamtverantwortung für das Lieferantenrisikomanagement?
• Wie häufig müssen Lieferanten neu bewertet werden?
• Welche Konsequenzen hat es, wenn ein Lieferant die Mindeststandards nicht erfüllt?

Funktionsübergreifendes Team aufbauen

VRM kann nicht allein beim Bereich Informationssicherheit angesiedelt sein. Bilden Sie ein funktionsübergreifendes Team mit klaren Rollen:

Rolle	Verantwortlichkeit
CISO / Informationssicherheit	Bewertungskriterien und Sicherheitsstandards definieren
Einkauf / Finanzen	Lieferantenregister pflegen; Bewertungen bei Vertragsabschluss anstoßen
Recht / Compliance	Vertragsklauseln; DV-Verträge und Auditrechte
IT / Infrastruktur	Technische Zugangsrisiken bewerten; lieferantengelieferte Systeme überwachen
Fachverantwortliche	Kritikalität klassifizieren; Risikoentscheidungen genehmigen

Risikobereitschaft festlegen

Die Risikobereitschaft legt fest, wie viel Lieferantenrisiko das Unternehmen ohne Eskalation akzeptiert:

• Niedriges Restrisiko: automatische Freigabe
• Mittleres Restrisiko: Freigabe mit dokumentierten Auflagen
• Hohes Restrisiko: Freigabe durch CISO oder Geschäftsführung erforderlich
• Kritisches Restrisiko: Ablehnung oder vollständige Behebung vor Onboarding

---

Schritt 2: Lieferantenregister aufbauen und pflegen

Was nicht erfasst ist, kann nicht gesteuert werden. Das Lieferantenregister ist das zentrale Verzeichnis aller Drittanbieter-Beziehungen und bildet die Grundlage für Stufung, Bewertungsplanung und Reporting.

Initialerfassung

Daten aus mindestens drei Quellen zusammenführen:

1. Kreditorenbuchhaltung / Einkaufssystem – jeder Lieferant, der Zahlungen erhält
2. IT-Asset-Management – jeder Lieferant mit Softwarelizenz, API-Integration oder Systemzugang
3. Vertragsarchiv – jeder Lieferant mit unterzeichnetem Vertrag

Im Register für jeden Lieferanten erfassen:

Feld	Zweck
Lieferantenname + Rechtseinheit	Eindeutige Identifikation
Erbrachte Leistungen	Umfang der Beziehung
Datenzugangsebene	Grundlage für inhärente Risikobewertung
Systemintegration	Konnektivitätsrisiko
Fachverantwortlicher	Accountability
Vertragsablauf	Auslöser für Neubewertung
Aktuelles Risikoniveau	Erforderliche Bewertungstiefe
Letztes Bewertungsdatum	Monitoringrhythmus
Nächstes Bewertungsdatum	Vorausplanung

Register aktuell halten

Ein Lieferantenregister veraltet schnell. Neue Lieferanten werden ohne Benachrichtigung des Risikoteams eingebunden; bestehende Lieferanten erweitern ihren Leistungsumfang ohne Neubewertung; alte Verträge laufen aus ohne strukturiertes Offboarding.

Verfall verhindern, indem Registeraktualisierungen in bestehende Prozesse eingebettet werden:

• Einkaufsgenehmigung: kein neuer Lieferant ohne Registrierung durch das Risikoteam
• Vertragsverlängerungen: Neubewertung vor Unterzeichnung der Verlängerung
• Offboarding: Löschung aus dem Register erst nach Bestätigung, dass alle Zugänge widerrufen wurden

---

Schritt 3: Lieferanten nach inhärentem Risiko stufen

Die Risikostufung bestimmt, wie tiefgehend eine Bewertung erforderlich ist. Dasselbe 80-Fragen-Fragebogen-Paket für einen kritischen Cloud-Infrastrukturanbieter und einen risikoarmen Büromateriallieferanten anzuwenden, verschwendet Ressourcen und mindert die Bereitschaft der Lieferanten zur Zusammenarbeit.

Stufungsmethodik

Jeden Lieferanten nach vier inhärenten Risikofaktoren bewerten (Skala 1–4):

Faktor	1 — Niedrig	2 — Mittel	3 — Hoch	4 — Kritisch
Datensensitivität	Nur öffentliche Daten	Interne Geschäftsdaten	Vertrauliche / personenbezogene Daten	Besondere Kategorien / regulierte Daten
Datenvolumen	Keins	Begrenzt	Moderat	Großvolumige Verarbeitung
Systemzugang	Kein Zugang	Nur Lesezugang	Schreibzugang	Admin / privilegierter Zugang
Leistungskritikalität	Nett zu haben	Betriebliche Unterstützung	Geschäftswichtig	Geschäftskritisch

Stufenzuweisung nach Gesamtpunktzahl:

Punkte	Stufe	Bewertungsart
4–7	Stufe 3 — Niedriges Risiko	Leichter Fragebogen (20–30 Punkte)
8–11	Stufe 2 — Standardrisiko	Standardbewertung (40–60 Fragen + Dokumentenprüfung)
12–16	Stufe 1 — Hohes/Kritisches Risiko	Vollständige Bewertung (80+ Fragen + Dokumentenprüfung + Evidenzverifizierung)

Lieferanten neu stufen, wenn sich ihr Leistungsumfang ändert – ein Wechsel von Lesezugang zu Adminrechten ist ein wesentliches Ereignis, das eine Neubewertung erfordert.

---

Schritt 4: Due Diligence und Bewertungen durchführen

Die Bewertung ist der operative Kern des VRM-Programms. Für jeden Lieferanten richtet sich die Tiefe nach seiner Risikostufe.

Vorvertragliche Bewertung

Vor dem Onboarding jedes neuen Lieferanten mindestens:

1. Fragebogen – Sicherheitsmaßnahmen, Compliance-Zertifizierungen, Datenschutzpraktiken
2. Dokumentenprüfung – Zertifikate (ISO 27001, SOC 2), Auditberichte, Penetrationstestergebnisse
3. Risikobewertung – inhärentes Risiko × Wirksamkeit der Kontrollen = Restrisiko
4. Genehmigungsentscheidung – dokumentiert vom zuständigen Genehmiger gemäß Risikobereitschaftsrichtlinie

Bewertungsbereiche für Stufe-1-Lieferanten:

• Informationssicherheitsmaßnahmen (Zugriffsmanagement, Verschlüsselung, Patch-Management, Incident Response)
• Compliance-Zertifizierungen (ISO 27001, SOC 2 Typ II, DSGVO, NIS2/DORA-Status)
• Datenverarbeitung (Datenspeicherort, Unterauftragsverarbeiter, Aufbewahrung und Löschung)
• Business Continuity (BCP/DR, RTO/RPO, geografische Redundanz)
• Finanzielle Stabilität (Versicherung, Bonität, Schlüsselpersonenrisiko)
• Unterauftragnehmer-Management (Viert-Partei-Risiko)

Periodischer Neubewertungsrhythmus

Stufe	Häufigkeit der Neubewertung
Stufe 1 (Kritisch)	Jährlich
Stufe 2 (Standard)	Alle 18–24 Monate
Stufe 3 (Niedriges Risiko)	Alle 3 Jahre oder bei Vertragsverlängerung

Auslöseereignisse, die unabhängig vom Zeitplan eine sofortige Neubewertung erfordern:

• Lieferant meldet einen Sicherheitsvorfall, der Ihre Daten betrifft
• Lieferant wird übernommen oder fusioniert
• Wesentliche Änderung der Leistungen, des Datenzugangs oder der Infrastruktur
• Lieferant verliert eine wesentliche Zertifizierung
• Medienberichte über Datenpanne, finanzielle Notlage oder Regulierungsmaßnahmen

Die vollständige Bewertungsvorlage nach Domäne finden Sie unter Lieferantenrisikobewertung — Vorlage.

---

Schritt 5: Lieferantenverträge steuern

Bewertungen decken Risiken auf – Verträge schaffen die durchsetzbaren Standards, die sie steuern. Ohne klare Vertragsklauseln führt selbst ein kritischer Befund zu keiner bindenden Verpflichtung des Lieferanten zur Behebung.

Mindestvertragliche Anforderungen für alle Lieferanten

Jeder Lieferantenvertrag sollte enthalten:

• Auftragsverarbeitungsvertrag (AV-Vertrag) – gemäß DSGVO Artikel 28 für jeden Lieferanten, der personenbezogene Daten verarbeitet
• Sicherheitspflichten – Mindest-Sicherheitsstandards, die der Lieferant einhalten muss
• Meldepflicht bei Sicherheitsvorfällen – der Lieferant muss Sie innerhalb einer definierten Frist (typischerweise 24–72 Stunden) über einen Sicherheitsvorfall informieren
• Auditrechte – Ihr Recht, die Sicherheitsmaßnahmen des Lieferanten zu prüfen oder Drittprüfberichte anzufordern

Erweiterte Klauseln für Stufe-1-Lieferanten

Für kritische Lieferanten zusätzlich:

• Unterauftragsverarbeiter-Genehmigung – Änderungen an der Unterauftragsverarbeiterliste bedürfen Ihrer Zustimmung
• Konzentrationsrisiko – Benachrichtigungsrecht, falls der Lieferant eine übermäßige Abhängigkeit von einem einzigen Infrastrukturanbieter entwickelt
• Exit-Bestimmungen – wie Daten zurückgegeben oder gelöscht werden und welche Übergangsunterstützung bei Beendigung der Beziehung geleistet wird
• Behebungsfristen – konkrete Fristen für die Behebung identifizierter Sicherheitslücken

DORA-spezifische Vertragsanforderungen

Für Finanzunternehmen im Anwendungsbereich von DORA müssen IKT-Anbieterverträge gemäß Artikel 28–30 enthalten:

• Anforderungen an den Leistungsumstand und Berichtspflichten
• Regelungen zu Business Continuity und Disaster Recovery
• Vollständige Datenzugangs- und Auditierbarkeitspflichten
• Exit-Klauseln, die die betriebliche Resilienz beim Wechsel sicherstellen

---

Schritt 6: Kontinuierliches Monitoring implementieren

Punktuelle Bewertungen sind am Tag nach ihrer Durchführung bereits veraltet. Ein formales Monitoring-Programm sichert die Übersicht zwischen den Bewertungen.

Monitoring-Aktivitäten nach Stufe

Aktivität	Stufe 1 (Kritisch)	Stufe 2 (Standard)	Stufe 3 (Niedrig)
Vollständige Neubewertung	Jährlich	18–24 Monate	3 Jahre / Vertragsverlängerung
Zertifikatsablauf-Monitoring	Kontinuierlich	Bei Verlängerung	Bei Verlängerung
Sicherheitsnachrichten / Bedrohungsmonitoring	Kontinuierlich	Vierteljährlich	Bei Bedarf
Prüfung von Meldungen zu Sicherheitsvorfällen	Alle Vorfälle	Wesentliche Vorfälle	Nur kritische
Prüfung von Unterauftragsverarbeiteränderungen	Alle Änderungen	Wesentliche Änderungen	Nicht erforderlich
Bonität / Finanzcheck	Jährlich	Bei Verlängerung	Nicht erforderlich

Was zu überwachen ist

Zertifikatsstatus: ISO-27001- und SOC-2-Zertifikate laufen ab. Ein abgelaufenes Zertifikat bedeutet, dass die Maßnahmen des Lieferanten im aktuellen Zeitraum nicht unabhängig geprüft wurden.

Sicherheitsvorfälle und Warnmeldungen: Sicherheitsbulletins des Lieferanten abonnieren und auf öffentliche Berichte über Datenpannen, CVE-Meldungen in lieferantengelieferter Software und Regulierungsmaßnahmen achten.

Viert-Partei-Änderungen: Ihre Stufe-1-Lieferanten haben ihrerseits Lieferanten. Eine Änderung bei den Unterauftragnehmern Ihres kritischen Lieferanten ist ein wesentliches Risikoereignis für Ihre Organisation.

Regulatorischer Compliance-Status: NIS2- und DORA-Compliance-Anforderungen entwickeln sich weiter. Verfolgen Sie, ob Ihre Stufe-1-Lieferanten die für sie geltenden Vorschriften weiterhin erfüllen.

---

Schritt 7: Reporting und Eskalation

Ein VRM-Programm ohne Reporting hat keine organisatorische Sichtbarkeit und keinen Mechanismus zur Verbesserung. Bauen Sie Reporting von Anfang an in das Programm ein.

Operative Kennzahlen (für das Sicherheits-/Risikoteam)

• Gesamtzahl der Lieferanten nach Stufe
• Anteil der Lieferanten mit aktuellen (nicht abgelaufenen) Bewertungen
• Durchschnittliche Bewertungszykluszeit (Tage von Initiierung bis Abschluss)
• Offene Befunde nach Schweregrad und Lieferantenstufe
• Zertifikate, die in den nächsten 90 Tagen ablaufen

Strategische Kennzahlen (für Geschäftsführung und Vorstand)

• Risikoverteilung im Lieferantenportfolio (% Niedrig / Mittel / Hoch / Kritisch)
• Stufe-1-Lieferanten mit offenen hohen/kritischen Befunden
• Anzahl neu eingebundener vs. offgeboardeter Lieferanten pro Quartal
• Regulatorische Compliance-Position (NIS2 / DORA / ISO 27001 Anforderungen erfüllt)
• Zeit bis zur Behebung von Lieferantenbefunden

Eskalationsauslöser

Definieren Sie, welche Situationen eine sofortige Eskalation über das VRM-Team hinaus erfordern:

• Jeder Stufe-1-Lieferant mit einem kritischen Restrisiko-Befund
• Sicherheitsvorfall bei einem Stufe-1-Lieferanten, der Ihre Daten betrifft
• Lieferant behebt einen hohen Befund nicht innerhalb der vereinbarten Frist
• Verlust einer wesentlichen Zertifizierung durch einen kritischen Lieferanten

---

EU-Regulatorische Anforderungen

NIS2 (Artikel 21(2)(d))

Im Anwendungsbereich von NIS2 müssen Organisationen Risikomanagementmaßnahmen implementieren, die die Sicherheit der Lieferkette adressieren. Dies entspricht folgenden Programmanforderungen:

• Lieferantenregister: dokumentiertes Verzeichnis der Drittanbieter-Beziehungen mit Kritikalitätseinstufung
• Vorvertragliche Bewertung: durchgeführt, bevor Lieferanten mit Zugang zu kritischen Systemen eingebunden werden
• Vertragliche Sicherheitsanforderungen: Mindeststandards schriftlich in Verträge aufgenommen
• Laufendes Monitoring: nicht nur punktuell; kontinuierliche Überwachung kritischer Lieferanten
• Meldekette bei Vorfällen: Lieferanten müssen Sie über sicherheitsrelevante Vorfälle informieren

Die nationalen NIS2-Behörden erwarten, dass Organisationen ein dokumentiertes, systematisches Drittpartei-Risikomanagement nachweisen können – nicht Ad-hoc-Bewertungen.

DORA (Artikel 28–30)

Finanzunternehmen im Anwendungsbereich von DORA haben die detailliertesten Drittpartei-Risikoanforderungen Europas zu erfüllen:

• IKT-Drittanbieter-Register: dokumentiertes Verzeichnis aller IKT-Anbieterverträge pflegen
• Vorvertragliche Risikobewertung: vor der Einbindung jedes IKT-Anbieters erforderlich
• Konzentrationsrisikomanagement: übermäßige Abhängigkeit von einzelnen Anbietern identifizieren und steuern
• Kritische IKT-Anbieter: verschärfte Due Diligence und ggf. Meldepflichten gegenüber EBA/ESA
• Exit-Strategien: dokumentierte Pläne zum geordneten Ausstieg aus kritischen Lieferantenbeziehungen

ISO 27001:2022 (Anhang A 5.19–5.21)

ISO-27001-zertifizierte Organisationen müssen ein Lieferantensicherheitsmanagement nachweisen:

• 5.19 — Informationssicherheit in Lieferantenbeziehungen: Richtlinien zur Steuerung des Lieferantenrisikos
• 5.20 — Informationssicherheit in Lieferantenvereinbarungen: vertragliche Anforderungen
• 5.21 — Informationssicherheit in der IKT-Lieferkette: Steuerung der Informationssicherheit bei Unterauftragnehmern

---

Häufige Fehler beim Aufbau eines VRM-Programms

Mit Bewertungen beginnen, bevor die Governance steht. Ohne Risikobereitschaftsrichtlinie und klare Verantwortlichkeiten liefern Bewertungen Befunde, für die niemand Entscheidungsbefugnis hat.

Register nur aus einer Quelle aufbauen. In der Kreditorenbuchhaltung fehlen SaaS-Tools, die per Firmenkreditkarte bezahlt wurden. In IT-Systemen fehlen Beratungsunternehmen mit Datenzugang. Aus allen drei Quellen schöpfen.

Einheitliche Stufung anwenden. Wenn jeder Lieferant „Stufe 1" ist, wird das Team überwältigt und kritische Lieferanten erhalten nicht die erforderliche Bewertungstiefe.

Verträge als juristische Formalität behandeln. Verträge sind der Durchsetzungsmechanismus für Ihre Risikoanforderungen. Ein Sicherheitsbefund ohne vertragliche Behebungspflicht ist ein Befund ohne Abhilfe.

Bewertung mit Monitoring verwechseln. Ein Lieferant, der vor 18 Monaten eine Bewertung bestanden hat, kann seit 3 Monaten kompromittiert sein. Bewertung und Monitoring sind eigenständige, sich ergänzende Aktivitäten.

Keine Sichtbarkeit auf Führungsebene. Ein VRM-Programm ohne Reporting auf Vorstandsebene kann kein Budget, keine Personalstellen und keine Eskalationsbefugnis sichern, wenn es diese benötigt.

---

Wie Orbiq Ihr VRM-Programm unterstützt

Ein VRM-Programm manuell zu betreiben – Fragebögen per E-Mail, Risikomanagement in Tabellenkalkulationen, manuelle Zertifikatsüberwachung – skaliert nicht über 20–30 Lieferanten hinaus. Bei durchschnittlich 286 Lieferanten schaffen manuelle Prozesse operative Engpässe und Compliance-Lücken.

Die Orbiq Vendor Assurance Platform liefert die Infrastruktur, um Ihr Programm skalierbar zu betreiben:

• Lieferantenregister und Risikostufung – zentrales, stets aktuelles Register mit automatischer Risikoklassifizierung
• Automatisierte Bewertungs-Workflows – Fragebogenpakete versenden, Erinnerungen verwalten und Abschluss verfolgen – ohne manuelle Nachverfolgung
• KI-gestützte Risikoanalyse – Lücken und Inkonsistenzen in Lieferantenantworten ohne manuellen Aufwand identifizieren
• Zertifikatsmonitoring – Benachrichtigungen, wenn Lieferantenzertifikate demnächst ablaufen
• Vertrags- und AV-Vertrag-Tracking – vertragliche Pflichten und bevorstehende Verlängerungen im Blick behalten
• Kontinuierliches Monitoring – Echtzeit-Benachrichtigungen bei Sicherheitsereignissen, Zertifikatsänderungen und Unterauftragsverarbeiteraktualisierungen
• Revisionssichere Berichterstellung – NIS2- und DORA-konforme Dokumentation automatisch generiert

---

Quellen & Referenzen

---

Weiterführende Artikel:

• Lieferantenrisikomanagement — Umfassender Leitfaden
• Lieferantenrisikobewertung — Vorlage
• Drittanbieter-Risikobewertung — Schritt für Schritt
• Lieferantenrisikomanagement-Tools — Vergleich 2026
• Drittparteien-Risikomanagement-Software — Kaufratgeber
• Orbiq Vendor Assurance Platform

Footnotes

1. Secureframe, „100+ Essential Third-Party Risk Statistics and Trends [2026 Update]" — https://secureframe.com/blog/third-party-risk-statistics ↩ ↩² ↩³ ↩⁴