Risiko wirdentschieden.
Ein Risikowert ist noch kein Risikoentscheid. Der Prozess verbindet ein nachvollziehbares Szenario mit vorhandenen Schutzmassnahmen, möglicher Geschäftsauswirkung, Behandlung und der ausdrücklichen Verantwortung für das verbleibende Risiko.
Vom Szenario zur
Verantwortung.
Die Methode schafft Vergleichbarkeit. Der Entscheid entsteht jedoch erst aus Geschäftskontext, belastbaren Annahmen, vorhandener Kontrolle und einer befugten Person, die Behandlung oder Restrisiko verantwortet.
Begrenzen
Leistung, Information, System, Produkt oder Lieferant mit Owner bestimmen.
klarer Bewertungsgegenstand
Beschreiben
Ursache, Ereignis, betroffene Werte und mögliche Auswirkung verbinden.
verständliches Risikoszenario
Belegen
Vorhandene Massnahmen und ihre nachgewiesene Wirkung berücksichtigen.
realistischer Ausgangszustand
Einordnen
Eintritt und Auswirkung nach genehmigten Kriterien mit Annahmen bewerten.
begründete Risikohöhe
Wählen
Reduktion, Vermeidung, Transfer oder Akzeptanz mit Zielzustand festlegen.
entschiedener Behandlungsweg
Verantworten
Verbleibendes Risiko innerhalb der Befugnis akzeptieren oder eskalieren.
gültige Risikoakzeptanz
Überwachen
Massnahmen, Indikatoren und Auslöser bis zur erneuten Bewertung verfolgen.
überwachter Risikostatus
Erneuern
Akzeptierte Risiken vor Ablauf oder bei wesentlicher Veränderung neu bewerten und erneut entscheiden.
erneuerte oder aufgehobene Akzeptanz
Ein Szenario.
Klare Annahmen.
Schlagworte wie Ransomware, Cloud oder Lieferant sind Risikothemen, aber noch keine bewertbaren Szenarien. Ein entscheidungsfähiger Eintrag benennt den betroffenen Geschäftswert und die mögliche Wirkung.
Was kann beeinträchtigt werden?
Kritische Leistung, Daten, Produkt, Lieferbeziehung oder regulatorische Fähigkeit mit eindeutigem Owner.
Was könnte tatsächlich geschehen?
Konkretes Ereignis mit Ursache, Angriffsweg oder Abhängigkeit statt einer allgemeinen Bedrohungsliste.
Was bedeutet es für das Unternehmen?
Betrieb, Kunden, Finanzen, Recht, Sicherheit, Markt oder Reputation mit nachvollziehbarer Grössenordnung.
Was wirkt nachweislich?
Nicht das Vorhandensein einer Policy, sondern belegte Ausführung und technische oder organisatorische Wirkung.
Welcher Zustand soll erreicht werden?
Massnahme, Zielrisiko, Owner, Ressourcen, Termin und Abschlussbedingung.
Wer trägt das verbleibende Risiko?
Befugte Rolle, Entscheidungsdatum, Begründung, feste Gültigkeit, Rezertifizierungstermin und ereignisgesteuerte Prüfauslöser.
Der Entscheid muss
anschlussfähig bleiben.
Ein Risikoregister ist nur dann nützlich, wenn seine Einträge mit Massnahmen, Ausnahmen, Prozessen und Nachweisen verbunden sind.
| Arbeitsobjekt | Mindestinhalt | Übergabe | Abschlussbedingung |
|---|---|---|---|
| Risikokriterien | Skalen, Toleranz, Akzeptanzbefugnis und Eskalation. | von Steuerung genehmigt | für alle relevanten Bewertungen anwendbar |
| Risikoeintrag | Szenario, Owner, Annahmen, Kontrollen, Bewertung und Quellen. | an Risk Owner | bewertet und entscheidungsreif |
| Behandlungsplan | Zielzustand, Massnahmen, Ressourcen, Owner und Termin. | an zuständige Prozesse | Wirkung geprüft oder Restlücke neu entschieden |
| Risikoakzeptanz | Restrisiko, Befugnis, Begründung, Kompensation, Gültigkeit, Rezertifizierungstermin und Prüfauslöser. | an Steuerung und Wirksamkeit | fristgerecht rezertifiziert, durch Behandlung ersetzt oder eskaliert |
Bewerten ist nicht
behandeln.
Der Risikoprozess trägt die Entscheidung, aber nicht automatisch den technischen oder organisatorischen Vollzug.
Risiko verantwortet
- Szenario und Bewertungsgegenstand
- Bewertung mit Annahmen und Kontrolllage
- Behandlungsweg, Zielrisiko und Priorität
- Akzeptanz, Rezertifizierung oder Eskalation des Restrisikos
Andere Prozesse liefern
- Steuerung: Methode, Toleranz und Befugnisse
- Fachprozesse: Umsetzung der Massnahmen
- Wirksamkeit: unabhängige Kontrollfeststellung
- Verbesserung: nachhaltige Ursachenbehandlung
Risikolage statt
Registermenge.
Die Anzahl erfasster Risiken sagt wenig. Relevant ist, ob wesentliche Risiken entschieden, behandelt und bei Veränderung erneut bewertet werden.
Wesentliche Risiken ohne befugten Risk Owner oder gültigen Behandlungsentscheid.
Massnahmen ausserhalb der genehmigten Frist mit weiterhin bestehender Exposition.
Akzeptierte Risiken mit fälliger oder überfälliger Bestätigung sowie ungeklärte Veränderungen seit dem letzten Entscheid.
Bewertungen, die sich auf nicht geprüfte oder nur behauptete Kontrollen stützen.
Mehrere wesentliche Szenarien mit derselben kritischen Abhängigkeit.
Risiken, deren Bewertung nach Vorfall, Bedrohungsänderung oder Systemwechsel offen ist.
Integrierte GRC PlattformenRisiken mit Kontrollen, Pflichten, Feststellungen und Massnahmen verbinden.Vergleich öffnen →
Vulnerability ManagementTechnische Befunde in priorisierte Behandlungsentscheide überführen.Vergleich öffnen →
Risiko bleibt
geführt.
Der Risikoprozess entscheidet über Szenario, Behandlung, Akzeptanz und erneute Bewertung. Referenzen geben Methodenrahmen, die Nachbarprozesse liefern Fakten und die Werkzeuge unterstützen Analyse und Nachverfolgung.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27005:2022 | Strukturiert Informationssicherheitsrisiken über Kontext, Bewertung, Behandlung, Kommunikation und Monitoring. | Schreibt keine einheitliche Skala oder Risikotoleranz vor. |
| NIST CSF 2.0 | Ordnet Risikoanalyse und Risikomanagement den Govern- und Identify-Ergebnissen zu. | Ersetzt keine Entscheidung über Geschäftsfolgen und Risikoakzeptanz. |
| BSI Standard 200-3 | Unterstützt ein methodisches, IT-Grundschutz-nahes Risikomanagement. | Ist keine Vorgabe für jeden Organisationstyp ausserhalb dieses Ansatzes. |
| Inhalt | Beitrag | Weiter |
|---|---|---|
| 01 Steuerung | Setzt Risikotoleranz, Zuständigkeit und Eskalationswege. | Prozess öffnen → |
| 03 Compliance | Prüft, ob eine Abweichung rechtliche, vertragliche oder aufsichtsrechtliche Folgen hat. | Prozess öffnen → |
| Änderungen | Überführt entschiedene Massnahmen in einen kontrollierten Eingriff. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.