---
title: "Lieferantenrisikomanagement-Programm aufbauen (2026)"
description: "Wie Sie ein strukturiertes Lieferantenrisikomanagement-Programm aufbauen: Governance, Lieferantenregister, Risikostufung, Due-Diligence, Vertragsmanagement, kontinuierliches Monitoring."
canonical: https://www.orbiqhq.com/de/lieferantenrisikomanagement/lieferantenrisikomanagement-programm
html: https://www.orbiqhq.com/de/lieferantenrisikomanagement/lieferantenrisikomanagement-programm
publisher: Orbiq GmbH
language: en
---
# Lieferantenrisikomanagement-Programm aufbauen (2026)

Wie Sie ein strukturiertes Lieferantenrisikomanagement-Programm aufbauen: Governance, Lieferantenregister, Risikostufung, Due-Diligence, Vertragsmanagement, kontinuierliches Monitoring.


Ein Lieferantenrisikomanagement-Programm (VRM-Programm) ist die organisatorische Infrastruktur, die bestimmt, wie Risiken aus dem gesamten Lieferantenportfolio identifiziert, bewertet, überwacht und gesteuert werden. Ohne ein solches Programm sind Lieferantenbewertungen Ad-hoc-Maßnahmen ohne einheitliche Standards, ohne Nachverfolgung und ohne Möglichkeit, gegenüber Auditoren oder Aufsichtsbehörden Compliance nachzuweisen.

Dieser Leitfaden erklärt, wie Sie ein VRM-Programm von Grund auf aufbauen – von der Governance-Struktur bis zum kontinuierlichen Monitoring – mit praxisnahen Vorlagen und Ausrichtung auf die EU-Vorschriften NIS2 und DORA.

---

## Warum Unternehmen ein formales VRM-Programm benötigen

Ein durchschnittliches Unternehmen verwaltet heute **286 Lieferanten** – ein Anstieg gegenüber 237 im Jahr 2024 [^1]. Jede Lieferantenbeziehung schafft potenzielle Angriffsfläche: Ein Lieferant mit Zugang zu Ihren Systemen oder Daten kann zum Ausgangspunkt eines Sicherheitsvorfalls, eines Compliance-Verstoßes oder einer Betriebsstörung werden.

Das Ausmaß des Drittpartei-Risikos ist keine Theorie:

- **15 % aller Datenschutzverletzungen** involvieren laut dem Verizon 2024 Data Breach Investigations Report eine Drittpartei
- Nur **15 % der Risikoverantwortlichen** haben ein hohes Vertrauen in ihre eigenen Drittpartei-Risikodaten [^1]
- Nur **22 % der Unternehmen** verfügen über vollständig definierte Kennzahlen zur Messung ihrer TPRM-Programme [^1]
- Lediglich **13 % der TPRM-Teams** haben vollständig ausgereifte Automatisierungsfähigkeiten [^1]

Das Ergebnis: Die meisten Unternehmen verwalten ein großes und wachsendes Lieferantenportfolio mit unreifen, manuellen Prozessen, die nicht skalieren.

Ein formales VRM-Programm schafft Konsistenz (jeder Lieferant wird nach denselben Kriterien bewertet), Nachvollziehbarkeit (dokumentierte Nachweise für Aufsichtsbehörden) und Effizienz (klare Verantwortlichkeiten, automatisierte Workflows, vorhersehbare Zeitpläne).

---

## Die 7 Komponenten eines ausgereiften VRM-Programms

Ein vollständiges Lieferantenrisikomanagement-Programm besteht aus sieben miteinander verbundenen Komponenten:

| Komponente | Inhalt |
|-----------|--------|
| **1. Governance** | Richtlinie, Verantwortlichkeiten, Risikobereitschaft, funktionsübergreifendes Team |
| **2. Lieferantenregister** | Vollständige, gepflegte Dokumentation aller Lieferantenbeziehungen |
| **3. Risikostufung** | Klassifizierung der Lieferanten nach inhärentem Risikoniveau |
| **4. Due Diligence & Bewertung** | Vorvertragliche und periodische Risikobeurteilung |
| **5. Vertragsmanagement** | Sicherheits- und Compliance-Pflichten in Lieferantenverträgen |
| **6. Kontinuierliches Monitoring** | Laufende Überwachung zwischen formalen Bewertungen |
| **7. Reporting & Eskalation** | Kennzahlen, Dashboards und Sichtbarkeit auf Vorstandsebene |

---

## Schritt 1: Governance etablieren

Governance ist das Fundament, das alle anderen Komponenten zum Funktionieren bringt. Ohne klare Verantwortlichkeiten und Richtlinien bleibt das Lieferantenrisikomanagement informell – abhängig von Einzelpersonen statt von Prozessen.

### Richtlinie und Risikobereitschaft definieren

Erstellen Sie eine **VRM-Richtlinie**, die folgende Fragen beantwortet:

- Welche Lieferanten fallen in den Anwendungsbereich?
- Was ist die Risikobereitschaft des Unternehmens – ab welchem Restrisiko ist eine Führungsentscheidung erforderlich?
- Wer trägt die Gesamtverantwortung für das Lieferantenrisikomanagement?
- Wie häufig müssen Lieferanten neu bewertet werden?
- Welche Konsequenzen hat es, wenn ein Lieferant die Mindeststandards nicht erfüllt?

### Funktionsübergreifendes Team aufbauen

VRM kann nicht allein beim Bereich Informationssicherheit angesiedelt sein. Bilden Sie ein funktionsübergreifendes Team mit klaren Rollen:

| Rolle | Verantwortlichkeit |
|------|-------------------|
| **CISO / Informationssicherheit** | Bewertungskriterien und Sicherheitsstandards definieren |
| **Einkauf / Finanzen** | Lieferantenregister pflegen; Bewertungen bei Vertragsabschluss anstoßen |
| **Recht / Compliance** | Vertragsklauseln; DV-Verträge und Auditrechte |
| **IT / Infrastruktur** | Technische Zugangsrisiken bewerten; lieferantengelieferte Systeme überwachen |
| **Fachverantwortliche** | Kritikalität klassifizieren; Risikoentscheidungen genehmigen |

### Risikobereitschaft festlegen

Die Risikobereitschaft legt fest, wie viel Lieferantenrisiko das Unternehmen ohne Eskalation akzeptiert:

- **Niedriges Restrisiko**: automatische Freigabe
- **Mittleres Restrisiko**: Freigabe mit dokumentierten Auflagen
- **Hohes Restrisiko**: Freigabe durch CISO oder Geschäftsführung erforderlich
- **Kritisches Restrisiko**: Ablehnung oder vollständige Behebung vor Onboarding

---

## Schritt 2: Lieferantenregister aufbauen und pflegen

Was nicht erfasst ist, kann nicht gesteuert werden. Das Lieferantenregister ist das zentrale Verzeichnis aller Drittanbieter-Beziehungen und bildet die Grundlage für Stufung, Bewertungsplanung und Reporting.

### Initialerfassung

Daten aus mindestens drei Quellen zusammenführen:

1. **Kreditorenbuchhaltung / Einkaufssystem** – jeder Lieferant, der Zahlungen erhält
2. **IT-Asset-Management** – jeder Lieferant mit Softwarelizenz, API-Integration oder Systemzugang
3. **Vertragsarchiv** – jeder Lieferant mit unterzeichnetem Vertrag

Im Register für jeden Lieferanten erfassen:

| Feld | Zweck |
|------|-------|
| Lieferantenname + Rechtseinheit | Eindeutige Identifikation |
| Erbrachte Leistungen | Umfang der Beziehung |
| Datenzugangsebene | Grundlage für inhärente Risikobewertung |
| Systemintegration | Konnektivitätsrisiko |
| Fachverantwortlicher | Accountability |
| Vertragsablauf | Auslöser für Neubewertung |
| Aktuelles Risikoniveau | Erforderliche Bewertungstiefe |
| Letztes Bewertungsdatum | Monitoringrhythmus |
| Nächstes Bewertungsdatum | Vorausplanung |

### Register aktuell halten

Ein Lieferantenregister veraltet schnell. Neue Lieferanten werden ohne Benachrichtigung des Risikoteams eingebunden; bestehende Lieferanten erweitern ihren Leistungsumfang ohne Neubewertung; alte Verträge laufen aus ohne strukturiertes Offboarding.

Verfall verhindern, indem Registeraktualisierungen in bestehende Prozesse eingebettet werden:
- **Einkaufsgenehmigung**: kein neuer Lieferant ohne Registrierung durch das Risikoteam
- **Vertragsverlängerungen**: Neubewertung vor Unterzeichnung der Verlängerung
- **Offboarding**: Löschung aus dem Register erst nach Bestätigung, dass alle Zugänge widerrufen wurden

---

## Schritt 3: Lieferanten nach inhärentem Risiko stufen

Die Risikostufung bestimmt, wie tiefgehend eine Bewertung erforderlich ist. Dasselbe 80-Fragen-Fragebogen-Paket für einen kritischen Cloud-Infrastrukturanbieter und einen risikoarmen Büromateriallieferanten anzuwenden, verschwendet Ressourcen und mindert die Bereitschaft der Lieferanten zur Zusammenarbeit.

### Stufungsmethodik

Jeden Lieferanten nach vier inhärenten Risikofaktoren bewerten (Skala 1–4):

| Faktor | 1 — Niedrig | 2 — Mittel | 3 — Hoch | 4 — Kritisch |
|--------|------------|-----------|---------|-------------|
| **Datensensitivität** | Nur öffentliche Daten | Interne Geschäftsdaten | Vertrauliche / personenbezogene Daten | Besondere Kategorien / regulierte Daten |
| **Datenvolumen** | Keins | Begrenzt | Moderat | Großvolumige Verarbeitung |
| **Systemzugang** | Kein Zugang | Nur Lesezugang | Schreibzugang | Admin / privilegierter Zugang |
| **Leistungskritikalität** | Nett zu haben | Betriebliche Unterstützung | Geschäftswichtig | Geschäftskritisch |

**Stufenzuweisung nach Gesamtpunktzahl:**

| Punkte | Stufe | Bewertungsart |
|--------|-------|--------------|
| 4–7 | **Stufe 3 — Niedriges Risiko** | Leichter Fragebogen (20–30 Punkte) |
| 8–11 | **Stufe 2 — Standardrisiko** | Standardbewertung (40–60 Fragen + Dokumentenprüfung) |
| 12–16 | **Stufe 1 — Hohes/Kritisches Risiko** | Vollständige Bewertung (80+ Fragen + Dokumentenprüfung + Evidenzverifizierung) |

Lieferanten neu stufen, wenn sich ihr Leistungsumfang ändert – ein Wechsel von Lesezugang zu Adminrechten ist ein wesentliches Ereignis, das eine Neubewertung erfordert.

---

## Schritt 4: Due Diligence und Bewertungen durchführen

Die Bewertung ist der operative Kern des VRM-Programms. Für jeden Lieferanten richtet sich die Tiefe nach seiner Risikostufe.

### Vorvertragliche Bewertung

Vor dem Onboarding jedes neuen Lieferanten mindestens:

1. **Fragebogen** – Sicherheitsmaßnahmen, Compliance-Zertifizierungen, Datenschutzpraktiken
2. **Dokumentenprüfung** – Zertifikate (ISO 27001, SOC 2), Auditberichte, Penetrationstestergebnisse
3. **Risikobewertung** – inhärentes Risiko × Wirksamkeit der Kontrollen = Restrisiko
4. **Genehmigungsentscheidung** – dokumentiert vom zuständigen Genehmiger gemäß Risikobereitschaftsrichtlinie

**Bewertungsbereiche für Stufe-1-Lieferanten:**
- Informationssicherheitsmaßnahmen (Zugriffsmanagement, Verschlüsselung, Patch-Management, Incident Response)
- Compliance-Zertifizierungen (ISO 27001, SOC 2 Typ II, DSGVO, NIS2/DORA-Status)
- Datenverarbeitung (Datenspeicherort, Unterauftragsverarbeiter, Aufbewahrung und Löschung)
- Business Continuity (BCP/DR, RTO/RPO, geografische Redundanz)
- Finanzielle Stabilität (Versicherung, Bonität, Schlüsselpersonenrisiko)
- Unterauftragnehmer-Management (Viert-Partei-Risiko)

### Periodischer Neubewertungsrhythmus

| Stufe | Häufigkeit der Neubewertung |
|-------|----------------------------|
| Stufe 1 (Kritisch) | Jährlich |
| Stufe 2 (Standard) | Alle 18–24 Monate |
| Stufe 3 (Niedriges Risiko) | Alle 3 Jahre oder bei Vertragsverlängerung |

**Auslöseereignisse, die unabhängig vom Zeitplan eine sofortige Neubewertung erfordern:**
- Lieferant meldet einen Sicherheitsvorfall, der Ihre Daten betrifft
- Lieferant wird übernommen oder fusioniert
- Wesentliche Änderung der Leistungen, des Datenzugangs oder der Infrastruktur
- Lieferant verliert eine wesentliche Zertifizierung
- Medienberichte über Datenpanne, finanzielle Notlage oder Regulierungsmaßnahmen

Die vollständige Bewertungsvorlage nach Domäne finden Sie unter [Lieferantenrisikobewertung — Vorlage](/de/lieferantenrisikomanagement/lieferantenrisikobewertung-vorlage).

---

## Schritt 5: Lieferantenverträge steuern

Bewertungen decken Risiken auf – Verträge schaffen die durchsetzbaren Standards, die sie steuern. Ohne klare Vertragsklauseln führt selbst ein kritischer Befund zu keiner bindenden Verpflichtung des Lieferanten zur Behebung.

### Mindestvertragliche Anforderungen für alle Lieferanten

Jeder Lieferantenvertrag sollte enthalten:
- **Auftragsverarbeitungsvertrag (AV-Vertrag)** – gemäß DSGVO Artikel 28 für jeden Lieferanten, der personenbezogene Daten verarbeitet
- **Sicherheitspflichten** – Mindest-Sicherheitsstandards, die der Lieferant einhalten muss
- **Meldepflicht bei Sicherheitsvorfällen** – der Lieferant muss Sie innerhalb einer definierten Frist (typischerweise 24–72 Stunden) über einen Sicherheitsvorfall informieren
- **Auditrechte** – Ihr Recht, die Sicherheitsmaßnahmen des Lieferanten zu prüfen oder Drittprüfberichte anzufordern

### Erweiterte Klauseln für Stufe-1-Lieferanten

Für kritische Lieferanten zusätzlich:
- **Unterauftragsverarbeiter-Genehmigung** – Änderungen an der Unterauftragsverarbeiterliste bedürfen Ihrer Zustimmung
- **Konzentrationsrisiko** – Benachrichtigungsrecht, falls der Lieferant eine übermäßige Abhängigkeit von einem einzigen Infrastrukturanbieter entwickelt
- **Exit-Bestimmungen** – wie Daten zurückgegeben oder gelöscht werden und welche Übergangsunterstützung bei Beendigung der Beziehung geleistet wird
- **Behebungsfristen** – konkrete Fristen für die Behebung identifizierter Sicherheitslücken

### DORA-spezifische Vertragsanforderungen

Für Finanzunternehmen im Anwendungsbereich von DORA müssen IKT-Anbieterverträge gemäß Artikel 28–30 enthalten:
- Anforderungen an den Leistungsumstand und Berichtspflichten
- Regelungen zu Business Continuity und Disaster Recovery
- Vollständige Datenzugangs- und Auditierbarkeitspflichten
- Exit-Klauseln, die die betriebliche Resilienz beim Wechsel sicherstellen

---

## Schritt 6: Kontinuierliches Monitoring implementieren

Punktuelle Bewertungen sind am Tag nach ihrer Durchführung bereits veraltet. Ein formales Monitoring-Programm sichert die Übersicht zwischen den Bewertungen.

### Monitoring-Aktivitäten nach Stufe

| Aktivität | Stufe 1 (Kritisch) | Stufe 2 (Standard) | Stufe 3 (Niedrig) |
|----------|-------------------|-------------------|--------------------|
| Vollständige Neubewertung | Jährlich | 18–24 Monate | 3 Jahre / Vertragsverlängerung |
| Zertifikatsablauf-Monitoring | Kontinuierlich | Bei Verlängerung | Bei Verlängerung |
| Sicherheitsnachrichten / Bedrohungsmonitoring | Kontinuierlich | Vierteljährlich | Bei Bedarf |
| Prüfung von Meldungen zu Sicherheitsvorfällen | Alle Vorfälle | Wesentliche Vorfälle | Nur kritische |
| Prüfung von Unterauftragsverarbeiteränderungen | Alle Änderungen | Wesentliche Änderungen | Nicht erforderlich |
| Bonität / Finanzcheck | Jährlich | Bei Verlängerung | Nicht erforderlich |

### Was zu überwachen ist

**Zertifikatsstatus**: ISO-27001- und SOC-2-Zertifikate laufen ab. Ein abgelaufenes Zertifikat bedeutet, dass die Maßnahmen des Lieferanten im aktuellen Zeitraum nicht unabhängig geprüft wurden.

**Sicherheitsvorfälle und Warnmeldungen**: Sicherheitsbulletins des Lieferanten abonnieren und auf öffentliche Berichte über Datenpannen, CVE-Meldungen in lieferantengelieferter Software und Regulierungsmaßnahmen achten.

**Viert-Partei-Änderungen**: Ihre Stufe-1-Lieferanten haben ihrerseits Lieferanten. Eine Änderung bei den Unterauftragnehmern Ihres kritischen Lieferanten ist ein wesentliches Risikoereignis für Ihre Organisation.

**Regulatorischer Compliance-Status**: NIS2- und DORA-Compliance-Anforderungen entwickeln sich weiter. Verfolgen Sie, ob Ihre Stufe-1-Lieferanten die für sie geltenden Vorschriften weiterhin erfüllen.

Speziell entwickelte [Compliance-Monitoring](/de/plattform/kontinuierliches-monitoring)-Lösungen ersetzen die manuelle Tabellenpflege durch Echtzeit-Dashboards, automatisierte Score-Trendanalysen und Ablaufwarnungen für Zertifizierungen.

---

## Schritt 7: Reporting und Eskalation

Ein VRM-Programm ohne Reporting hat keine organisatorische Sichtbarkeit und keinen Mechanismus zur Verbesserung. Bauen Sie Reporting von Anfang an in das Programm ein.

### Operative Kennzahlen (für das Sicherheits-/Risikoteam)

- Gesamtzahl der Lieferanten nach Stufe
- Anteil der Lieferanten mit aktuellen (nicht abgelaufenen) Bewertungen
- Durchschnittliche Bewertungszykluszeit (Tage von Initiierung bis Abschluss)
- Offene Befunde nach Schweregrad und Lieferantenstufe
- Zertifikate, die in den nächsten 90 Tagen ablaufen

### Strategische Kennzahlen (für Geschäftsführung und Vorstand)

- Risikoverteilung im Lieferantenportfolio (% Niedrig / Mittel / Hoch / Kritisch)
- Stufe-1-Lieferanten mit offenen hohen/kritischen Befunden
- Anzahl neu eingebundener vs. offgeboardeter Lieferanten pro Quartal
- Regulatorische Compliance-Position (NIS2 / DORA / ISO 27001 Anforderungen erfüllt)
- Zeit bis zur Behebung von Lieferantenbefunden

### Eskalationsauslöser

Definieren Sie, welche Situationen eine sofortige Eskalation über das VRM-Team hinaus erfordern:
- Jeder Stufe-1-Lieferant mit einem kritischen Restrisiko-Befund
- Sicherheitsvorfall bei einem Stufe-1-Lieferanten, der Ihre Daten betrifft
- Lieferant behebt einen hohen Befund nicht innerhalb der vereinbarten Frist
- Verlust einer wesentlichen Zertifizierung durch einen kritischen Lieferanten

---

## EU-Regulatorische Anforderungen

### NIS2 (Artikel 21(2)(d))

Im Anwendungsbereich von NIS2 müssen Organisationen Risikomanagementmaßnahmen implementieren, die die Sicherheit der Lieferkette adressieren. Dies entspricht folgenden Programmanforderungen:

- **Lieferantenregister**: dokumentiertes Verzeichnis der Drittanbieter-Beziehungen mit Kritikalitätseinstufung
- **Vorvertragliche Bewertung**: durchgeführt, bevor Lieferanten mit Zugang zu kritischen Systemen eingebunden werden
- **Vertragliche Sicherheitsanforderungen**: Mindeststandards schriftlich in Verträge aufgenommen
- **Laufendes Monitoring**: nicht nur punktuell; kontinuierliche Überwachung kritischer Lieferanten
- **Meldekette bei Vorfällen**: Lieferanten müssen Sie über sicherheitsrelevante Vorfälle informieren

Die nationalen NIS2-Behörden erwarten, dass Organisationen ein dokumentiertes, systematisches Drittpartei-Risikomanagement nachweisen können – nicht Ad-hoc-Bewertungen.

### DORA (Artikel 28–30)

Finanzunternehmen im Anwendungsbereich von DORA haben die detailliertesten Drittpartei-Risikoanforderungen Europas zu erfüllen:

- **IKT-Drittanbieter-Register**: dokumentiertes Verzeichnis aller IKT-Anbieterverträge pflegen
- **Vorvertragliche Risikobewertung**: vor der Einbindung jedes IKT-Anbieters erforderlich
- **Konzentrationsrisikomanagement**: übermäßige Abhängigkeit von einzelnen Anbietern identifizieren und steuern
- **Kritische IKT-Anbieter**: verschärfte Due Diligence und ggf. Meldepflichten gegenüber EBA/ESA
- **Exit-Strategien**: dokumentierte Pläne zum geordneten Ausstieg aus kritischen Lieferantenbeziehungen

### ISO 27001:2022 (Anhang A 5.19–5.21)

ISO-27001-zertifizierte Organisationen müssen ein Lieferantensicherheitsmanagement nachweisen:

- **5.19 — Informationssicherheit in Lieferantenbeziehungen**: Richtlinien zur Steuerung des Lieferantenrisikos
- **5.20 — Informationssicherheit in Lieferantenvereinbarungen**: vertragliche Anforderungen
- **5.21 — Informationssicherheit in der IKT-Lieferkette**: Steuerung der Informationssicherheit bei Unterauftragnehmern

---

## Häufige Fehler beim Aufbau eines VRM-Programms

**Mit Bewertungen beginnen, bevor die Governance steht.** Ohne Risikobereitschaftsrichtlinie und klare Verantwortlichkeiten liefern Bewertungen Befunde, für die niemand Entscheidungsbefugnis hat.

**Register nur aus einer Quelle aufbauen.** In der Kreditorenbuchhaltung fehlen SaaS-Tools, die per Firmenkreditkarte bezahlt wurden. In IT-Systemen fehlen Beratungsunternehmen mit Datenzugang. Aus allen drei Quellen schöpfen.

**Einheitliche Stufung anwenden.** Wenn jeder Lieferant „Stufe 1" ist, wird das Team überwältigt und kritische Lieferanten erhalten nicht die erforderliche Bewertungstiefe.

**Verträge als juristische Formalität behandeln.** Verträge sind der Durchsetzungsmechanismus für Ihre Risikoanforderungen. Ein Sicherheitsbefund ohne vertragliche Behebungspflicht ist ein Befund ohne Abhilfe.

**Bewertung mit Monitoring verwechseln.** Ein Lieferant, der vor 18 Monaten eine Bewertung bestanden hat, kann seit 3 Monaten kompromittiert sein. Bewertung und Monitoring sind eigenständige, sich ergänzende Aktivitäten.

**Keine Sichtbarkeit auf Führungsebene.** Ein VRM-Programm ohne Reporting auf Vorstandsebene kann kein Budget, keine Personalstellen und keine Eskalationsbefugnis sichern, wenn es diese benötigt.

---

## Wie Orbiq Ihr VRM-Programm unterstützt

Ein VRM-Programm manuell zu betreiben – Fragebögen per E-Mail, Risikomanagement in Tabellenkalkulationen, manuelle Zertifikatsüberwachung – skaliert nicht über 20–30 Lieferanten hinaus. Bei durchschnittlich 286 Lieferanten schaffen manuelle Prozesse operative Engpässe und Compliance-Lücken.

[Die Orbiq Vendor Assurance Platform](/de/plattform/vendor-assurance-platform) liefert die Infrastruktur, um Ihr Programm skalierbar zu betreiben:

- **Lieferantenregister und Risikostufung** – zentrales, stets aktuelles Register mit automatischer Risikoklassifizierung
- **Automatisierte Bewertungs-Workflows** – Fragebogenpakete versenden, Erinnerungen verwalten und Abschluss verfolgen – ohne manuelle Nachverfolgung
- **KI-gestützte Risikoanalyse** – Lücken und Inkonsistenzen in Lieferantenantworten ohne manuellen Aufwand identifizieren
- **Zertifikatsmonitoring** – Benachrichtigungen, wenn Lieferantenzertifikate demnächst ablaufen
- **Vertrags- und AV-Vertrag-Tracking** – vertragliche Pflichten und bevorstehende Verlängerungen im Blick behalten
- **Kontinuierliches Monitoring** – Echtzeit-Benachrichtigungen bei Sicherheitsereignissen, Zertifikatsänderungen und Unterauftragsverarbeiteraktualisierungen
- **Revisionssichere Berichterstellung** – NIS2- und DORA-konforme Dokumentation automatisch generiert

---

## Quellen & Referenzen

[^1]: Secureframe, „100+ Essential Third-Party Risk Statistics and Trends [2026 Update]" — [https://secureframe.com/blog/third-party-risk-statistics](https://secureframe.com/blog/third-party-risk-statistics)

[^2]: Verizon, „2024 Data Breach Investigations Report" — [https://www.verizon.com/business/resources/reports/dbir/](https://www.verizon.com/business/resources/reports/dbir/)

[^3]: UpGuard, „4-Stage Vendor Risk Management Framework (2026 Edition)" — [https://www.upguard.com/blog/vendor-risk-management-implementation-framework](https://www.upguard.com/blog/vendor-risk-management-implementation-framework)

[^4]: Security Boulevard, „Third-Party Vendor Risk Management: Best Practices for 2026" — [https://securityboulevard.com/2026/02/third-party-vendor-risk-management-best-practices-for-2026/](https://securityboulevard.com/2026/02/third-party-vendor-risk-management-best-practices-for-2026/)

[^5]: Diligent, „Enterprise vendor risk management: A 2026 guide" — [https://www.diligent.com/resources/blog/enterprise-vendor-risk-management](https://www.diligent.com/resources/blog/enterprise-vendor-risk-management)

---

**Weiterführende Artikel:**
- [Lieferantenrisikomanagement — Umfassender Leitfaden](/de/lieferantenrisikomanagement/lieferantenrisikomanagement)
- [Lieferantenrisikobewertung — Vorlage](/de/lieferantenrisikomanagement/lieferantenrisikobewertung-vorlage)
- [Drittanbieter-Risikobewertung — Schritt für Schritt](/de/lieferantenrisikomanagement/drittanbieter-risikobewertung)
- [Lieferantenrisikomanagement-Tools — Vergleich 2026](/de/lieferantenrisikomanagement/lieferantenrisikomanagement-tools)
- [Drittparteien-Risikomanagement-Software — Kaufratgeber](/de/lieferantenrisikomanagement/drittparteien-risikomanagement-software)
- [Orbiq Vendor Assurance Platform](/de/plattform/vendor-assurance-platform)