Glossarbegriff
TPRM
Auch: Third-Party Risk Management, Drittanbieter-Risikomanagement
Disziplin und Tool-Kategorie zur Steuerung von Risiken aus externen Anbietern (SaaS, Cloud, Outsourcing, Beratung). Pflicht-Disziplin unter DORA Art. 28-30 für Finanzunternehmen und unter NIS2 Art. 21 Buchstabe d für wesentliche/wichtige Einrichtungen.
Kern-Prozesse: Onboarding-Prüfung (Eignung, Compliance, Sicherheits-Posture), kontinuierliche Überwachung, Risiko-Bewertung pro Vertrag (kritisch/wichtig/unterstützend), Vertrags-Klauseln, Exit-Planung, Concentration-Risk-Steuerung, Audit-Trail.
Tools: Marktführer-Stand-alone: OneTrust GRC, ServiceNow GRC, MetricStream, ProcessUnity, Prevalent, Aravo, BitSight, SecurityScorecard, Panorays. Differenzierung: GRC-Plattformen mit TPRM-Modul vs. Stand-alone TPRM mit GRC-Integrationen.
In der Praxis
Praxis: viele Unternehmen unterschätzen die Tiefe von DORA Art. 28-30. Informationsregister, Pflichtklauseln (Art. 30), getestete Exit-Strategie, Concentration-Risk-Analyse sind alle prüfungs-pflichtig. TPRM-Tools allein reichen nicht; Entscheidungs-Doku pro Vertrag (Decision Memo) ist Pflicht-Begleitartefakt.
Verwandte Begriffe
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
NIS2
EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit. Löst NIS1 ab, erweitert den Anwendungsbereich auf rund 30.000 deutsche Unternehmen in 18 Sektoren, führt persönliche Haftung der Geschäftsleitung ein und verlangt zehn Mindestmaßnahmen nach Art. 21.
Supply Chain Risk
Risiken aus der Software- und Hardware-Lieferkette: kompromittierte Open-Source-Pakete, Build-Pipeline-Angriffe, Updates mit Backdoors, Sub-Lieferanten ohne Audit-Trail. Pflicht-Adressierung in NIS2 Art. 21 Buchstabe d und DORA Art. 28 (Sub-Outsourcing).
ICT Third-Party Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, MSPs, MSSPs. Unter DORA Art. 28 explizit reguliert; jeder kritische Lieferant muss in einem Register stehen und einer dokumentierten Eignungsprüfung folgen.
TIA
Bewertung des Schutzniveaus im Empfängerland bei Datenübermittlungen in Drittländer nach Schrems II. Pflicht bei SCC, BCR und Art-49-Ausnahmen. Output: Entscheidung, ob Transfer ohne, mit oder gar nicht durchgeführt werden darf.
TISAX
Prüfstandard und Austauschplattform des VDA für Informationssicherheit in der Automobilindustrie. ISA-Katalog (Information Security Assessment) ist das Prüfraster, ENX betreibt die Plattform.
TLPT (Threat-Led Penetration Testing)
Ein behördlich begleiteter, intelligenz-gesteuerter Penetrationstest, den DORA für signifikante Finanzunternehmen alle drei Jahre fordert. TLPT folgt dem TIBER-EU-Framework und ist deutlich intensiver als ein klassischer Pentest.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).