Begriffe sauber trennen
| Begriff | Schwerpunkt |
|---|---|
| Lieferantenmanagement | Auswahl, Leistung, Kosten und Entwicklung von Lieferanten |
| Lieferantenrisikomanagement (TPRM) | Risiken durch Lieferanten und andere Dritte |
| Lieferantenbewertung | Regelmäßige Beurteilung nach festen Kriterien |
| Due Diligence | Sorgfaltsprüfung vor oder während einer Geschäftsbeziehung |
Dritte sind nicht nur Lieferanten. Auch Dienstleister, Händler, Partner und Berater zählen dazu.
Die Risikobereiche
- Informationssicherheit: Kann ein Angriff auf den Lieferanten Sie treffen?
- Compliance und Sanktionen: Ist der Lieferant gelistet oder in Verstöße verwickelt?
- Finanzen: Droht eine Insolvenz, die Ihre Versorgung stoppt?
- Datenschutz: Verarbeitet der Lieferant personenbezogene Daten für Sie?
- Resilienz: Wie schnell ersetzen Sie ihn, und hängen viele Lieferanten am selben Anbieter?
- ESG und Menschenrechte: Wie steht es um Umwelt, Arbeitsbedingungen und Länderrisiko?
Der Lebenszyklus
- Planen und auswählenLegen Sie vor der Auswahl fest, welche Anforderungen ein Lieferant erfüllen muss.
- Due DiligencePrüfen Sie vor dem Vertrag Stammdaten, Sanktionslisten, Sicherheit und Nachweise.
- VertragRegeln Sie Meldepflichten, Prüfrechte, Unterauftragnehmer und den Ausstieg.
- ÜberwachenBeobachten Sie laufend, was sich ändert: Zertifikate, Vorfälle, öffentliche Konfiguration.
- Neu bewertenBewerten Sie im festgelegten Rhythmus und nach wichtigen Ereignissen neu.
- BeendenSorgen Sie für Rückgabe oder Löschung Ihrer Daten und entziehen Sie alle Zugänge.
Woran Sie ein gutes Programm erkennen
- Eine vollständige Liste der Lieferanten, nicht nur der großen.
- Eine Einstufung nach Risiko, die bestimmt, wie tief Sie prüfen.
- Klare Verantwortung je Lieferant.
- Belege mit Datum und Quelle für jede Aussage.
- Kennzahlen wie: Anteil kritischer Lieferanten mit aktueller Bewertung, überfällige Befunde, ablaufende Nachweise.
- Ein regelmäßiger Bericht an die Geschäftsführung.
Erste Schritte
- Liste ziehenExportieren Sie alle Kreditoren der letzten zwölf Monate aus der Buchhaltung.
- Wichtige markierenMarkieren Sie Lieferanten mit Zugriff auf Daten oder Systeme und solche, ohne die nichts läuft.
- EinstufenStufen Sie diese Lieferanten nach Daten, Zugriff, Bedeutung und Ersatz ein.
- Nachweise anfordernFordern Sie bei kritischen Lieferanten Selbstauskunft, Fragebogen und Zertifikate an.
- Rhythmus festlegenLegen Sie fest, wann Sie wen wieder prüfen, und tragen Sie die Termine ein.
Rechtlicher Rahmen
- Österreich: Sicherheit der Lieferkette nach § 32 Abs. 4 lit. d NISG 2026, in Kraft seit 1.10.2026.
- EU: dieselbe Pflicht in Art. 21 Abs. 2 lit. d und Abs. 3 der NIS-2-Richtlinie.
- Finanzsektor: IKT-Drittparteienrisiko nach Art. 28 bis 30 DORA, anwendbar seit 17.1.2025.
- Datenschutz: Auftragsverarbeiter mit hinreichenden Garantien und Vertrag nach Art. 28 DSGVO.
- Nachhaltigkeit: EU-Lieferkettenrichtlinie (CSDDD), Umsetzung bis 26.7.2028, Anwendung ab 26.7.2029 (Art. 37 Abs. 1).
Checkliste: TPRM-Grundlagen
Diese Punkte gehören in jedes Programm, egal wie groß.
- Vollständige Liste aller Lieferanten und Dienstleister.
- Einstufung nach Risiko mit dokumentierten Kriterien.
- Anforderungen je Stufe: Fragen, Nachweise, Rhythmus.
- Verantwortliche Person je Lieferant.
- Prüfung vor dem Vertrag, Überwachung danach.
- Befunde mit Frist und Nachverfolgung.
- Regelmäßiger Bericht an die Geschäftsführung.
- Ausstieg geregelt: Daten zurück, Zugänge entzogen.
Sie dürfen diese Liste frei übernehmen und anpassen.
Häufige Fragen
Was ist der Unterschied zwischen TPRM und Lieferantenmanagement?
Lieferantenmanagement steuert Leistung, Kosten und Zusammenarbeit. TPRM schaut auf die Risiken, die ein Lieferant für Sie bedeutet. In der Praxis greifen beide ineinander.
Brauchen kleine Unternehmen TPRM?
Ja, in passender Größe. Schon eine Liste mit Einstufung und Nachweisen für die wichtigsten Lieferanten senkt das Risiko.
Was heißt Viertparteien-Risiko?
Das Risiko durch die Lieferanten Ihrer Lieferanten, etwa einen gemeinsamen Cloud-Anbieter. Fällt er aus, trifft es viele Ihrer Lieferanten zugleich.
Quellen
- NISG 2026, § 32 Abs. 4 lit. d, BGBl. I Nr. 94/2025
- NIS-2-Richtlinie, Art. 21, Richtlinie (EU) 2022/2555
- DORA, Art. 28 bis 30 und Art. 64, Verordnung (EU) 2022/2554
- DSGVO, Art. 28, Verordnung (EU) 2016/679
- CSDDD, Art. 37, Richtlinie (EU) 2024/1760, Fassung vom 18.3.2026
Rechtsquellen geprüft am 31.10.2026. Rechtsinformation, keine Rechtsberatung. Für Ihren Einzelfall fragen Sie bitte eine Fachperson.