Agent für Sicherheitsprüfung von Dienstleistern
Liest, was der Prüfbericht wirklich sagt
- 8harte Regeln
- Dinge, die er nie tun darf — in jedem Lauf durchgesetzt
- 5Übergaberegeln
- Bedingungen, unter denen er anhält und die Arbeit an einen Menschen übergibt
- 11Ausgabefelder
- Ein strukturiertes Ergebnis, kein Absatz, den Sie noch einmal lesen müssen
- ≤8Schritte pro Lauf
- Begrenzte Arbeit: höchstens 6 Werkzeugaufrufe, von der Laufzeitumgebung durchgesetzt
Nur lesend, konstruktionsbedingt. Dieser Agent hat keinen Weg, etwas zu senden, auszugeben, zu veröffentlichen oder festzuschreiben. Wo diese Grenze das Produkt ist, würde ihre Aufhebung den Grund entfernen, der Ausgabe zu vertrauen.
Überblick
Die Sicherheitsprüfung von Dienstleistern ist zum Ritual geworden. Ein Anbieter schickt einen ausgefüllten Fragebogen und einen Prüfungsbericht, jemand legt beides ab, und der Anbieter ist freigegeben. Die Dokumente werden selten genau gelesen, denn es sauber zu tun hieße zu wissen, wonach man in hundert Seiten beruhigend formulierter Sprache sucht.
Worauf es ankommt, steht fast nie in den Antworten. Es steht in der Angabe zum Prüfungsgegenstand — ein Bericht, der ein anderes Produkt abdeckt als das, das Sie kaufen, ist häufig und für Sie nichts wert. Es steht in den Ausnahmen, die jeder Bericht hat und keine Zusammenfassung erwähnt. Es steht im Zeitraum, denn ein Bericht über ein Jahr, das vor vierzehn Monaten endete, sagt nichts über das heutige Unternehmen. Es steht bei den Unterauftragsverarbeitern, der eigenen Lieferkette des Anbieters, die Ihre Daten erbt — meist auf einer Webseite aufgeführt statt vertraglich zugesagt.
Und vor allem steht es in der Abweichung zwischen dem, was der Fragebogen behauptet, und dem, was der Bericht tatsächlich geprüft hat. Das ist die nützlichste verfügbare Prüfung, und fast niemand führt sie durch, denn sie verlangt, beide Dokumente gegeneinander zu lesen.
Dieser Agent liest das und meldet, was er gefunden hat, was er nicht überprüfen konnte und welche konkreten Fragen an den Anbieter zurückgehen sollten. Er gibt nichts frei und bewertet nichts mit einer Punktzahl: Eine Risikoentscheidung gehört der Person, die dafür einsteht.
Nutzen
Prüfungen, die tatsächlich prüfen
Statt Dokumente abzulegen und das Sorgfalt zu nennen.
Konkrete Rückfragen
Und die bewegen einen Anbieter, nicht eine allgemeine Nachfrage.
Ein belastbarer Nachweis
Darüber, was geprüft und was mit Begründung akzeptiert wurde.
Was er tut
Prüft zuerst den Prüfungsgegenstand
Ein Bericht über ein anderes Produkt als das, das Sie kaufen, ist häufig, nichts wert und steht in einem Absatz, den niemand liest.
Findet die Ausnahmen
Jeder Bericht hat sie, und keine Zusammenfassung erwähnt sie. Ein Vermerk mit vier Ausnahmen ist kein uneingeschränkter.
Prüft, ob der Zeitraum aktuell ist
Ein Bericht, der vor vierzehn Monaten endete, beschreibt ein Unternehmen, das es so vielleicht nicht mehr gibt.
Bildet die Unterauftragsverarbeiter ab
Die Weiterreise Ihrer Daten. Meist eine Webseite, die der Anbieter ändern kann, ohne es Ihnen zu sagen.
Prüft Behauptungen gegen Nachweise
Wo der Fragebogen etwas behauptet, das der Bericht nie geprüft hat. Die nützlichste Prüfung überhaupt — und die am seltensten durchgeführte.
Gibt nichts frei
Er erzeugt Befunde und die Fragen, die zu stellen sind. Ein Risiko zu akzeptieren gehört der Person, die dafür einsteht.
Was sich ändert
Was das an Ihrer Woche ändert
- Übernimmt
- Den Fragebogen und den Prüfungsbericht eines Anbieters tatsächlich gegeneinander zu lesen.
- Erledigt das heute
- Wer sie ablegt — und das ist nicht dasselbe wie sie zu lesen.
- Wie oft
- Bei der Aufnahme und jährlich, auf dem Papier.
- Üblicher manueller Aufwand
- Hundert Seiten Prüfungssprache, geschrieben, um zu beruhigen.
Warum gerade Cybersicherheit. Worauf es ankommt, steht nie in den Antworten — es steht im Absatz zum Prüfungsgegenstand, in den Ausnahmen, die die Zusammenfassung weglässt, im Zeitraum, der vor über einem Jahr endete, und in den Behauptungen, die der Bericht nie geprüft hat.
Läuft unbeaufsichtigt
Von Ihnen oder von einem Ereignis gestartet, und er bringt es allein zu Ende. Nichts wartet darauf, dass jemand am Schreibtisch sitzt.
Jedes Mal derselbe Maßstab
Der zweihundertste Vorgang wird an derselben Latte gemessen wie der erste. Beständigkeit ist der Teil, den Menschen nicht durchhalten.
Er kann nicht von sich aus handeln
Agent für Sicherheitsprüfung von Dienstleistern hat keinen Weg, etwas zu senden, auszugeben oder zuzusagen. Genau diese Grenze macht es sicher, auf seine Ausgabe hin zu handeln.
Wie er arbeitet
Dieser Agent läuft serverseitig in der PROMIVO-Laufzeit. Jeder Lauf wird Schritt für Schritt protokolliert, und jeder Tool-Aufruf wird vor der Ausführung auf Berechtigung geprüft.
- 1EingabeGegen das Eingabeschema des Agenten geprüft
- 2Modellclaude-opus-5 mit automatischem Ausweichmodell
- 3Werkzeugesearch_knowledge, extract_structured_data
- 4BerechtigungenFührt READ-Aktionen automatisch aus; alles darüber wartet auf Freigabe
- 5AusgabeStrukturiertes Ergebnis nach dem Ausgabeschema
- 6ProtokollierungToken, Dauer und jeder Schritt werden festgehalten
Demo
DemodatenIllustrative sample output, abridged.
Eingabe
{
"vendor": "Northwind Analytics",
"reviewDate": "2026-09-02",
"serviceBeingBought": "Hosted reporting platform"
}Ausgabe
{
"scope": {
"note": "You are buying the hosted reporting platform. The report covers the data warehouse product only. Everything below applies to a system you are not purchasing.",
"entityCovered": "Northwind Holdings Inc.",
"productCovered": "Northwind Data Warehouse",
"matchesServiceBought": false
},
"period": {
"covers": "1 Jan 2025 – 31 Dec 2025",
"current": false,
"endedMonthsAgo": 20
},
"escalate": true,
"disclaimer": "A reading of the documents supplied. No vendor system was tested or contacted, no approval or risk rating is given, and no statement is made that this vendor is secure or compliant. An untested claim is unverified rather than false.",
"exceptions": [
{
"meaning": "The same control failure that would put your data in reach of someone who has left their company. Present in the detail; absent from the summary they sent.",
"exception": "Two instances where access for departed personnel was not revoked within the stated period.",
"affectsOurData": true
}
],
"subprocessors": [
"A cloud hosting provider (US)",
"A support ticketing provider (US)",
"An email provider (EU)"
],
"couldNotAssess": [
"Incident response times — no evidence supplied and the report does not test them."
],
"escalationReason": "The assurance report covers a different product than the one being bought, its period ended 20 months ago, and a questionnaire claim about subprocessor location is contradicted by the vendor's own published list.",
"questionsToSendBack": [
"Send the assurance report covering the hosted reporting platform, or confirm in writing that none exists.",
"Confirm whether customer-managed keys are available on the reporting platform, and whether any assessment has tested it.",
"Reconcile questionnaire item 6.1 with the two US subprocessors on your published list."
],
"claimsVersusEvidence": [
{
"claim": "\"All customer data is encrypted at rest with customer-managed keys.\"",
"source": "Questionnaire item 4.2. The report tests encryption at rest but says nothing about customer-managed keys.",
"status": "asserted-but-untested"
},
{
"claim": "\"We do not use subprocessors outside the EU.\"",
"source": "Their published subprocessor list names two US-based providers.",
"status": "contradicted"
}
],
"canAddSubprocessorsWithoutNotice": true
}Voraussetzungen
Integrationen
Keine Integrationen erforderlich.
Bevor Sie beginnen
- Der ausgefüllte Fragebogen des Anbieters
- Sein Prüfungsbericht oder seine Zertifizierung, in einer Wissensdatenbank
- Welche Daten und welchen Zugang der Anbieter erhalten wird
- Erfordert den Tarif Voller Zugang oder höher
Anwendungsfälle
Aufnahme eines Anbieters
Bevor Daten ihn erreichen, solange Sie noch Verhandlungsmacht haben.
Jährliche Neubewertung
Ob die Prüfung des Vorjahres den Anbieter dieses Jahres noch beschreibt.
Vor einer Verlängerung
Was sich an seiner Lage und seiner Lieferkette geändert hat.
Die Due Diligence Ihrer eigenen Kundschaft beantworten
Zu wissen, was Ihre Anbieter überstehen würden.
Preise
Voller Zugang
Monatliche Abrechnung über Ihr PROMIVO-Abonnement. Jederzeit kündbar.
Läufe verbrauchen das Kontingent Ihres Plans für Agentenausführungen und Token. Siehe Plangrenzen
FAQ
Gibt er Anbieter frei oder lehnt er sie ab?
Nein. Er meldet, was die Dokumente tragen und was nicht. Ein Risiko zu akzeptieren ist eine Entscheidung derer, die dafür einsteht, mit einem Geschäftskontext, den er nicht sehen kann.
Testet er die Systeme des Anbieters?
Niemals. Er führt keinerlei Scans, Sondierungen oder Tests durch. Er liest die Dokumente, die Sie bekommen haben.
Was, wenn der Anbieter nichts Brauchbares geliefert hat?
Dann ist genau das der Befund, offen benannt. „Es wurden keine Prüfungsnachweise vorgelegt“ ist wertvoller als eine Prüfung, die Marketingmaterial als Nachweis behandelt.
Bewertungen
Bewertungen öffnen sich, sobald Kunden diesen Agenten ausgeführt haben.
Soll dieser Agent anders arbeiten?
Sagen Sie uns, was sich ändern soll, und unser Team bestimmt den Umfang einer eigenen Fassung für Ihr Unternehmen.
Diesen Agenten anpassen