# What Third-Party Cyber Risk Management can learn from established security functions

> Der Beitrag von Swiss GRC erklärt, was das Management von Cyberrisiken bei Dritten (TPCRM) von etablierten Sicherheitsfunktionen wie ISO 28000, TAPA FSR und CTPAT lernen kann. Er richtet sich an CISOs und Risikoberater und nennt drei Lehren.

- URL: https://swissgrc.com/en/what-third-party-cyber-risk-management-can-learn-from-established-security-functions/
- Publisher: SwissGRC®
- Published: 2025-10-05
- Last updated: 2026-09-17

## Key facts

- Der Beitrag nennt ISO 28000, TAPA FSR und CTPAT als etablierte Modelle der Lieferketten- und physischen Sicherheit, von denen das Third-Party Cyber Risk Management (TPCRM) lernen kann.
- Diese Rahmenwerke verlassen sich nicht nur auf Fragebögen oder Selbstauskünfte, sondern setzen auf standardisierte Kontrollen, Verifikationsmechanismen und branchenweite Vertrauensnetzwerke.
- Die erste Lehre ist risikobasiertes Tiering: Hochrisiko-Lieferanten erfordern laufende Überwachung und Zertifizierung, Lieferanten mit niedrigem Risiko eine leichtere Aufsicht.
- Die zweite Lehre ist unabhängige Validierung, etwa durch Attestierungsstandards wie ISO 27001, ISAE 3000 und SOC 2 sowie durch Branchenkonsortien, die Doppelspurigkeit bei Prüfungen verringern.
- Die dritte Lehre sind Netzwerke geteilter Verantwortung, in denen Risikoinformationen gemeinsam genutzt werden. Als Beispiel nennt der Beitrag das Swiss FS-CSC.
- TPCRM soll nach dem Beitrag kein isoliertes Silo sein, sondern Teil eines Enterprise Security Risk Management (ESRM), in dem logische, physische und personelle Sicherheit zusammengeführt werden.

**In today’s interconnected economy, the resilience of an organization is no longer defined only by its own security posture, but by the strength of its extended ecosystem. While third-party cyber risk management (TPCRM) has gained momentum in recent years, it is still evolving. Other domains, however – such as physical security and supply chain security – have already built mature frameworks and practices.**

**The question we should ask is:** ***What can TPCRM learn from these established third-party security functions?***

Looking beyond cyber: Learning from mature models

Organizations have long faced third-party risks in the physical and supply chain realm. To manage these, entire standards and frameworks have been developed that embed **risk-based approaches, certification schemes, and industry-wide trust models**.

Some examples include:

- **ISO 28000** – A standard focusing on security management systems for the supply chain. It defines how to identify critical assets, assess risks, and build resilience across logistics networks.
- **TAPA FSR (Transported Asset Protection Association – Facility Security Requirements)** – A framework widely used in logistics and warehousing to protect high-value goods, with a strong focus on auditable controls and certifications.
- **CTPAT (Customs Trade Partnership Against Terrorism)** – A US government–business initiative that ensures importers and supply chain partners implement rigorous security practices to safeguard global trade.

These frameworks have one thing in common: they **don’t just rely on questionnaires** or self-attestations. They embed **standardized controls, verification mechanisms, and industry trust networks**.

There’s no need for cybersecurity to reinvent the wheel

Too often, [third-party](https://swissgrc.com/en/tprm-software) cyber risk management programs rely heavily on spreadsheets, lengthy questionnaires, and inconsistent monitoring. Compared to physical security, this feels immature.

Drawing inspiration from ISO 28000, TAPA FSR, and CTPAT, we can identify three lessons:

1. **Risk-Based Tiering:** Not all suppliers are equal. Just as CTPAT differentiates risk tiers in supply chains, TPCRM should define differentiated assurance levels – high-risk vendors require continuous monitoring and certification, low-risk vendors require lighter oversight.
2. **Independent Validation:** Physical security frameworks rely on accredited audits and certifications. Cybersecurity can follow this model by integrating **independent attestation standards** (e.g., ISO 27001, ISAE 3000, SOC 2) and industry consortia that reduce redundancy across assessments.
3. **Shared Responsibility Networks:** TAPA and CTPAT thrive because they are **industry communities**: members share intelligence and benchmarks. Cyber TPCRM should evolve towards similar **collaborative ecosystems** (cf. [Swiss FS-CSC](https://fscsc.ch/en/)), where risk intelligence is pooled, rather than every company reinventing the wheel.

Towards an integrated view of security

The lesson is clear: Third-party cyber risk management should **not be an isolated silo**. It should be seen as part of a broader [**Enterprise Security Risk Management**](https://asisonline.org/security-news/security-topics/esrm/) **(ESRM)** approach, where logical, physical, and personnel security are converged.

If we align cyber TPCRM with established physical and supply chain models, we can accelerate maturity, reduce redundancy, and – most importantly – build real trust across the value chain.

Conclusion

Cybersecurity leaders don’t need to start from scratch. Decades of experience in **physical and supply chain third-party security** have already shown what works: risk-based tiering, independent validation, and trusted communities.

As CISOs and risk advisors, our task is not just to protect the digital perimeter, but to embed **cyber resilience into the same trust frameworks that already safeguard goods, people, and supply chains**.

**What about you, do you see further lessons TPCRM can learn from already established functions?**

## Frequently asked questions

### Was kann Third-Party Cyber Risk Management von der physischen Sicherheit lernen?

Der Beitrag nennt drei Lehren: risikobasiertes Tiering, unabhängige Validierung und Netzwerke geteilter Verantwortung. Sie stammen aus Rahmenwerken wie ISO 28000, TAPA FSR und CTPAT.

### Was sind ISO 28000, TAPA FSR und CTPAT?

ISO 28000 ist ein Standard für Sicherheitsmanagementsysteme in der Lieferkette. TAPA FSR ist ein Rahmenwerk für Logistik und Lagerhaltung zum Schutz hochwertiger Güter. CTPAT ist eine Initiative der US-Regierung und der Wirtschaft, die sichere Praktiken bei Importeuren und Lieferkettenpartnern sicherstellt.

### Warum reichen Fragebögen im Third-Party Cyber Risk Management nicht aus?

Der Beitrag kritisiert, dass viele Programme stark auf Tabellen, lange Fragebögen und uneinheitliche Überwachung setzen. Etablierte Sicherheitsmodelle kombinieren dagegen standardisierte Kontrollen, Verifikation und Vertrauensnetzwerke.

### Was bedeutet risikobasiertes Tiering bei Lieferanten?

Lieferanten werden nach Risiko in Stufen eingeteilt, da nicht alle gleich sind. Hochrisiko-Anbieter brauchen laufende Überwachung und Zertifizierung, Anbieter mit niedrigem Risiko eine leichtere Aufsicht.

### Was ist Enterprise Security Risk Management (ESRM) im Zusammenhang mit TPCRM?

ESRM ist ein übergreifender Ansatz, in dem logische, physische und personelle Sicherheit zusammengeführt werden. Der Beitrag sieht TPCRM als Teil davon und nicht als isoliertes Silo.