Drittparteien-Domäne
Die Third-Party-Domäne betrachtet externe Abhängigkeiten aus Leistungs-, Vertrags-, Konzentrations-, Steuerungs- und Exit-Sicht – nicht nur aus Cybersecurity-Sicht.
Die erste Frage ist, ob die kritische Leistung weiter erbracht werden kann und welche vertraglichen, organisatorischen und alternativen Möglichkeiten bestehen.
Gesamten Fall ansehen →Was bei einer externen Abhängigkeit geklärt werden muss
Leistung
Welche Unternehmensziele und kritischen Leistungen hängen vom Dritten ab?
Verpflichtung
Welche Leistungen, Informationen, Eskalationen und Nachweise sind vereinbart?
Abhängigkeit
Wie stark sind Konzentration, Subdienstleister und technische oder organisatorische Bindung?
Ausweichfähigkeit
Welche Alternativen, Übergangsverfahren und Exit-Möglichkeiten bestehen tatsächlich?
Die Fachdomäne liefert Entscheidungsobjekte zurück
Third Party erzeugt bzw. aktualisiert Risks, Requirements, Controls, Evidence, Metrics, Findings, Issues und Actions. Wesentliche Abweichungen werden nicht in der Domain versteckt, sondern an Owner und Management zur Entscheidung zurückgeführt.
Steuern kann nur, wer die relevanten Informationen erhält
Die eigene Verantwortung bleibt auch bei ausgelagerten Leistungen bestehen. Deshalb muss vorab geklärt sein, welche Informationen der Dienstleister im Normalbetrieb und bei Veränderungen liefern muss.
Betrieb & Leistung
Leistungsstatus, wesentliche Störungen, Kapazitäts- oder Qualitätsabweichungen und vereinbarte Kennzahlen.
Änderungen & Lifecycle
Relevante technische oder organisatorische Änderungen, Versionswechsel, Supportende und geplante Migrationen.
Security & Incidents
Relevante Schwachstellen, Sicherheitsereignisse, Ursachen, Auswirkungen und erforderliche Kundenmaßnahmen.
Subdienstleister & Abhängigkeiten
Wesentliche Unterauftragnehmer, Standorte, Konzentrationen und Änderungen in der Leistungskette.
Assurance
Prüfberichte, Zertifikate, Test- oder Kontrollnachweise und nachvollziehbare Behandlung wesentlicher Findings.
Recovery & Exit
Wiederherstellungsfähigkeit, Testergebnisse, Datenexport, Übergabe von Wissen und realistische Exit-Möglichkeiten.