GRC-Software für Drittparteienrisiken:
55 Anbieter mit KI-Einordnung.

Was ist TPRM-Software für Drittparteien- und Lieferkettenrisiken?

TPRM-Software (Third-Party oder Vendor Risk Management) begleitet Dienstleister, Lieferanten und Geschäftspartner von der Due Diligence über Fragebögen, Nachweise und laufende Überwachung bis zum Ende der Geschäftsbeziehung. Bei Banken gehören Auslagerungsmanagement nach AT 9 MaRisk und IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA samt Informationsregister dazu. In den USA liegen 13 der belegten Sitze, mehr als in jedem anderen Land. Auf Deutschland, Österreich und die Schweiz entfallen sieben der 55 Anbieter.

• Ohne konkreten KI-Beleg im geprüften Quellenumfang: 2 Einträge
• Nur angekündigte oder in Entwicklung befindliche Funktionen: 1 Eintrag
• Belegte KI-Anwendungsfälle nach Thema, ein Eintrag kann mehrfach zählen: Auswertung von Nachweisen und Angaben der Lieferanten (26) · Bewertung von Lieferanten und Drittparteien (17) · Entwurf und Beantwortung von Fragebögen (13) · Laufende Überwachung von Risikosignalen (13)
• Belegter Sitz in Europa: 22 von 55 Anbietern, Sitz nicht separat geprüft: 15
• Vollständige Einträge auf 2 alphabetischen Teilseiten

Prüffragen für die Vorführung, abgeleitet aus den fünf Kriterien des Vergleichs:

• Wie wird aus einem Befund in einer Lieferantenbewertung eine Maßnahme mit Verantwortlichem und Frist?
• Lassen sich Vertragsdaten, Bewertungen und Nachweise eines Dienstleisters über alle beteiligten Module zurückverfolgen?
• Gehen KI-vorbefüllte Fragebogenantworten erst nach einer Bestätigung in die Lieferantenbewertung ein, und bleibt der Nachweis dahinter sichtbar?

Was unterscheidet das Auslagerungsregister vom DORA-Informationsregister?

Vor allem der Gegenstand. Das Informationsregister nach Art. 28 Abs. 3 DORA bezieht sich auf alle vertraglichen Vereinbarungen über IKT-Dienstleistungen von IKT-Drittdienstleistern und unterscheidet Verträge, die kritische oder wichtige Funktionen unterstützen, von den übrigen. Die Vorlagen legt die Durchführungsverordnung (EU) 2024/2956 fest. Das Auslagerungsregister nach § 25b Abs. 1 Satz 4 KWG erfasst sämtliche wesentlichen und nicht wesentlichen Auslagerungen. IKT-Dienstleistungen, die Art. 28 bis 30 DORA unterliegen, nimmt die Erläuterung zu AT 9 Tz. 1 MaRisk aus dem Auslagerungsmodul heraus.

Welche Vertragsinhalte schreibt DORA bei kritischen oder wichtigen Funktionen vor?

Zusätzlich zu den Mindestinhalten jedes IKT-Vertrags nach Art. 30 Abs. 2 DORA nennt Abs. 3 sechs weitere: vollständige Beschreibungen der Dienstleistungsgüte mit präzisen quantitativen und qualitativen Leistungszielen, Kündigungsfristen und Berichtspflichten des Dienstleisters, Anforderungen an seine Notfallpläne und IKT-Sicherheit, die Mitwirkung an bedrohungsorientierten Penetrationstests (TLPT), das Recht auf fortlaufende Überwachung mit uneingeschränkten Zugangs-, Inspektions- und Auditrechten sowie Ausstiegsstrategien mit verbindlichem Übergangszeitraum. Sechs Anbieter dieser Kategorie dokumentieren KI-Funktionen für Vertragsklauseln und Vertragspflichten.

Welche Anbieter von GRC-Software für Drittparteienrisiken haben ihren Sitz in Deutschland, Österreich oder der Schweiz?

Von den 55 Anbietern haben sieben einen belegten Sitz in Deutschland, Österreich oder der Schweiz: in Deutschland ISS Sopra Steria, Leno (aixom), LocateRisk und Orbiq; in Österreich Fabasoft, KSV1870 CyberRisk Rating und Prewave. Bei 15 weiteren Anbietern ist der Sitz nicht separat geprüft; sie fehlen in dieser Aufzählung. Gemeint ist der Sitz der im Eintrag bezeichneten Anbietereinheit, belegt durch die Standortquelle des Eintrags (Impressum, Rechtstexte, offizielle Kontakt- und Unternehmensseiten, vereinzelt amtliche Register); über Eigentümer, Hosting und Datenhaltung sagt er nichts.

Regulatorischer Rahmen.

• Art. 28 bis 30 DORA (Verordnung (EU) 2022/2554): Informationsregister, Ausstiegsstrategien, IKT-Konzentrationsrisiko und Mindestinhalte von IKT-Verträgen (Fundstelle: EUR-Lex)
• Durchführungsverordnung (EU) 2024/2956: Standardvorlagen für das Informationsregister (Fundstelle: EUR-Lex)
• § 25b KWG: Auslagerungsregister mit allen wesentlichen und nicht wesentlichen Auslagerungen (Fundstelle: gesetze-im-internet.de)
• MaRisk AT 9, Rundschreiben 06/2026 (BA): Auslagerungen außerhalb des DORA-Drittparteienregimes und zentrales Auslagerungsmanagement (Fundstelle: BaFin)

Zum Weiterlesen auf t-nex.de: Auslagerung und Exit-Strategien nach MaRisk und DORA, DORA-Informationsregister sowie DORA für Finanzunternehmen.