Ein Programm aus Richtlinien, Bewertungen und Kontrollen, das von einer Strafverfolgungsbehörde eingesetzt wird, um Risiken zu identifizieren, zu bewerten, zu mindern und zu überwachen, die durch Drittanbieter entstehen und Güter, Dienstleistungen, Software oder Daten liefern, die Betrieb, Ermittlungen oder sensible Informationen betreffen.

Prinzip

Systematische Bewertung von Eintrittswahrscheinlichkeit und Auswirkung von Lieferanten über die Dimensionen Sicherheit, Datenschutz, Kontinuität und rechtliche Compliance; Anwendung von Due Diligence, vertraglichen Kontrollen und laufendem Monitoring im Verhältnis zum Risiko.

Demonstration

Vor der Einführung einer Dienstplattform für Körperkameras führt die Behörde Sicherheitsbewertungen und Hintergrundprüfungen des Anbieters durch, vereinbart Vertragsklauseln für Verschlüsselung und Meldung von Sicherheitsvorfällen und führt vierteljährliche Sicherheitsprüfungen durch, um sicherzustellen, dass der Anbieter die Beweisintegrität nicht gefährdet.

Fehlanwendung

Daran zu glauben, ein Anbieter sei sicher, weil er groß oder zertifiziert ist, und daher auf vertragliche Sicherheitsanforderungen zu verzichten, oder nur eine einmalige Prüfung ohne fortlaufende Überwachung durchzuführen, wodurch Änderungen in der Anbieterinfrastruktur oder bei Subunternehmern unentdeckt bleiben.

Konsequenz

Bei korrekter Anwendung reduziert die Behörde Schwachstellen in der Lieferkette, bewahrt die Integrität von Beweismitteln, erfüllt rechtliche und beschaffungsrelevante Pflichten und begrenzt betriebliche Unterbrechungen durch Ausfälle oder Kompromittierungen von Anbietern.

Umkehrung

Die Umkehrung führt zu ungepflegten Lieferantenbeziehungen: keine Bewertungen, minimale vertragliche Schutzmaßnahmen und kein Monitoring, was zu mehr Sicherheitsvorfällen, Dienstunterbrechungen und kompromittierten Ermittlungen führt.

Abgrenzung

Deckt Drittanbieter, Subunternehmer und gehostete Dienstleister ab, die Daten oder Abläufe der Strafverfolgung beeinflussen; ersetzt nicht die internen Personalprüfungen oder die interne IT-Governance, muss aber mit diesen verzahnt werden.

Semantische Spannung

Unterscheidet sich vom Beschaffungswesen mit kommerziellem Fokus und von allgemeiner IT-Sicherheit: Lieferanten-Risikomanagement richtet sich auf fortlaufende Risiken externer Partner statt auf Anschaffungskosten oder internes Systemhärten.

Synthese

Lieferanten-Risikomanagement in der Strafverfolgung ist die fortlaufende, risikobasierte Disziplin zur Prüfung und Steuerung externer Lieferanten durch Bewertungen, vertragliche Vorgaben und Monitoring, damit Betriebsintegrität, Datenschutz und rechtliche Compliance erhalten bleiben.