Seminar cysmo Cyber Risk Rating – Unternehmen und Lieferketten bewerten

Digitale Abhängigkeiten enden nicht an der Unternehmensgrenze. Das Seminar zeigt, wie eigene Domains und externe Partner systematisch erfasst, nach Kritikalität segmentiert, automatisiert bewertet und dauerhaft überwacht werden, ohne eine Außenbewertung mit einer vollständigen Lieferantenprüfung zu verwechseln.

Inhaltsverzeichnis

1. Einordnung und Lernziele
2. Kapitel 1: Scope und Kritikalität
3. Kapitel 2: Unternehmens- und Domainmapping
4. Kapitel 3: Bewertung und Priorisierung
5. Kapitel 4: Monitoring, Alerts und Ereignisreaktion
6. Kapitel 5: Maßnahmen, Kommunikation und Nachweise
7. Praxisübungen
8. Arbeitsweise und Dokumentation

Einordnung und Lernziele

Das Seminar verbindet fachliche Einordnung, systematische Arbeitsschritte und praktische Übungen in einer bereitgestellten Schulungsumgebung. Im Mittelpunkt stehen reproduzierbare Entscheidungen und eine nachvollziehbare Dokumentation.

• Eigene und fremde digitale Abhängigkeiten strukturiert erfassen und abgrenzen.
• Lieferanten nach Kritikalität, Datenzugriff, Betriebsabhängigkeit und Substituierbarkeit segmentieren.
• Domains und Unternehmensbezüge für Massenbewertung qualitätssichern.
• Monitoring, Alerts, Eskalation und Maßnahmenverfolgung risikobasiert gestalten.
• Outside-In-Nachweise mit Fragebogen, Vertrag, Audit und internen Kontrollen verbinden.

Seminarinhalte

Kapitel 1: Scope und Kritikalität

1. Schritt 1: Eigene kritische Geschäftsservices und abhängige Drittparteien erfassen.
2. Schritt 2: Kritikalitätskriterien für Daten, Verfügbarkeit, Zugriff, regulatorische Relevanz und Austauschbarkeit definieren.
3. Schritt 3: Direkte Lieferanten, Unterauftragnehmer und gemeinsam genutzte Plattformen unterscheiden.
4. Schritt 4: Bewertungsumfang und Wiederholungsfrequenz je Risikoklasse festlegen.

Kapitel 2: Unternehmens- und Domainmapping

1. Schritt 1: Rechtliche Einheit, Markenname, Hauptdomain und weitere relevante Domains zuordnen.
2. Schritt 2: Konzern-, Hosting- und Providerbezüge dokumentieren.
3. Schritt 3: Duplikate, fehlende Domains und unklare Eigentumsverhältnisse bereinigen.
4. Schritt 4: Massenimport vorbereiten und Datenqualitätsfehler kontrolliert korrigieren.

Kapitel 3: Bewertung und Priorisierung

1. Schritt 1: Ratings und Teilbewertungen nach Kritikalität und Geschäftsbezug interpretieren.
2. Schritt 2: Auffällige Partner in Sofortprüfung, Maßnahmenprozess oder vertiefte Due Diligence überführen.
3. Schritt 3: Außenbefund, Selbstauskunft und vertraglichen Nachweis getrennt bewerten.
4. Schritt 4: Akzeptanzkriterien und befristete Ausnahmen festlegen.

Kapitel 4: Monitoring, Alerts und Ereignisreaktion

1. Schritt 1: Baseline und regelmäßige Wiederholungsbewertung einrichten.
2. Schritt 2: Benachrichtigungen nach Risikoklasse, Veränderung und Kritikalität steuern.
3. Schritt 3: Zero-Day- oder Providerereignisse auf betroffene Drittparteien abbilden.
4. Schritt 4: Eskalation an Einkauf, Security, Business Owner und Krisenorganisation festlegen.

Kapitel 5: Maßnahmen, Kommunikation und Nachweise

1. Schritt 1: Maßnahmenanforderung mit Befund, Zielzustand, Frist und Nachweis formulieren.
2. Schritt 2: Lieferantenkommunikation sachlich, verhältnismäßig und nachvollziehbar gestalten.
3. Schritt 3: Ergebnisse mit Vertragsmanagement, Audit, Fragebogen und Risikoregister verbinden.
4. Schritt 4: Regelmäßige Berichte und Management-Eskalationen aus dem Prozess ableiten.

Praxisübungen

• Kritikalitätsklassifizierung einer Beispiel-Lieferkette.
• Bereinigung einer Lieferanten- und Domainliste für die Massenbewertung.
• Bearbeitung eines negativen Alerts bei einem kritischen Dienstleister.
• Erstellung eines Maßnahmenanschreibens und eines internen Risikoeintrags.

Arbeitsweise und Dokumentation

Vortrag, geführte Demonstration, strukturierte Einzel- und Gruppenübungen sowie Fallbearbeitung wechseln sich ab. Arbeitsschritte, Annahmen, Entscheidungen und offene Punkte werden in Checklisten und Vorlagen festgehalten. Produktfunktionen werden entsprechend der in der Schulungsumgebung freigeschalteten Lizenz und Rollen ausgeführt.