Im Kontext von TPRM (Third-Party Risk Management) versteht man unter Sub-Supplier-Governance die Überwachung und Steuerung der gesamten Lieferkette hinter der IT-Drittpartei als direktem Vertragspartner.
Es geht darum, Transparenz und Kontrolle über die sogenannten Viertparteien (Fourth Parties) zu erlangen – also jene Sub-Unternehmer, die dein direkter Dienstleister einsetzt, um seine Leistung für dich zu erbringen.
Kernaspekte:
- Transparenz: Wissen, welche Sub-Unternehmer an kritischen Prozessen beteiligt sind (Supply Chain Mapping)
- Durchreichung von Pflichten: Sicherstellen, dass Sicherheits- und Compliance-Vorgaben (z. B. DORA, NIS-2, CRA) vertraglich vom Hauptdienstleister an seine Sub-Unternehmer weitergegeben werden
- Risikoüberwachung: Bewertung, ob durch einen Sub-Unternehmer Konzentrationsrisiken entstehen (z. B. wenn viele deiner Dienstleister denselben Cloud-Unterbau nutzen)
