Überblick
Risikomanagement verbindet Unternehmensziele mit Unsicherheit. Es identifiziert Ereignisse und Bedingungen, bewertet deren Auswirkungen und steuert Risiken durch Vermeidung, Veränderung, Übertragung oder bewusste Akzeptanz.
Für Cybersecurity reicht eine technische Schwachstellenliste nicht aus. Belastbares Risikomanagement berücksichtigt Geschäftsprozesse, Informationswerte, Bedrohungen, Abhängigkeiten, Lieferketten, bestehende Kontrollen und mögliche Auswirkungen. Entscheidungen müssen dokumentiert, verantwortet und regelmäßig überprüft werden.
Der Risikomanagementprozess
| Schritt | Leitfrage |
|---|---|
| Kontext festlegen | Welche Ziele, Systeme, Prozesse, Verpflichtungen und Bewertungsregeln gelten? |
| Risiken identifizieren | Welche Ereignisse können Ziele beeinträchtigen oder Chancen beeinflussen? |
| Risiken analysieren | Wie wahrscheinlich und wie schwerwiegend sind mögliche Folgen? |
| Risiken bewerten | Welche Risiken sind akzeptabel, zu behandeln oder zu eskalieren? |
| Risiken behandeln | Welche Maßnahmen verändern Wahrscheinlichkeit oder Auswirkung? |
| Überwachen | Wie verändern sich Risiken, Kontrollen und Rahmenbedingungen? |
| Kommunizieren | Wer benötigt welche Informationen für Entscheidungen? |
Zentrale Begriffe
Asset
Etwas, das für die Organisation Wert besitzt und geschützt werden muss.
Bedrohung
Mögliche Ursache eines unerwünschten Ereignisses.
Schwachstelle
Eigenschaft oder Zustand, der von einer Bedrohung ausgenutzt werden kann.
Auswirkung
Folge für Ziele, Betrieb, Finanzen, Sicherheit, Recht oder Reputation.
Bewertung und Priorisierung
Viele Organisationen kombinieren Eintrittswahrscheinlichkeit und Auswirkung zu einer Risikoklasse. Diese Darstellung ist nur belastbar, wenn Skalen, Kriterien und Annahmen definiert sind.
| Aspekt | Beispielhafte Kriterien |
|---|---|
| Auswirkung | Produktionsstillstand, Verlust vertraulicher Daten, Vertragsfolgen, Personenschaden, regulatorische Sanktionen. |
| Wahrscheinlichkeit | Exposition, Bedrohungsaktivität, bekannte Schwachstellen, Kontrollreife und historische Ereignisse. |
| Kontrollwirkung | Präventive, detektive und reaktive Maßnahmen sowie deren nachgewiesene Wirksamkeit. |
| Risikotoleranz | Vom Management genehmigte Grenzen und Eskalationsschwellen. |
Eine farbige Matrix ist kein Risikomanagement. Entscheidend sind nachvollziehbare Annahmen, Verantwortlichkeit, Maßnahmen und Restrisikoentscheidung.
Risikobehandlung
| Option | Einordnung |
|---|---|
| Vermeiden | Risikoverursachende Tätigkeit beenden oder grundlegend ändern. |
| Reduzieren | Wahrscheinlichkeit oder Auswirkung durch Kontrollen senken. |
| Übertragen / Teilen | Vertragliche, versicherungsbezogene oder operative Verteilung von Folgen. |
| Akzeptieren | Bewusste, dokumentierte Annahme innerhalb genehmigter Toleranzen. |
Governance und Nachweise
Jedes wesentliche Risiko benötigt einen Owner. Der Owner verantwortet Bewertung, Behandlung, Eskalation und Restrisikoentscheidung. Maßnahmen können an Fachverantwortliche delegiert werden; die Risikoentscheidung bleibt eine Managementaufgabe.
Ein Risikoregister sollte mindestens Risiko, Ursache, Auswirkungen, Kontrollen, Brutto- und Nettobewertung, Owner, Maßnahmen, Termine, Status und Genehmigungen enthalten.
Typische Fehler
Warum sind ausschließlich technische Risiken unzureichend?
Cyberrisiken wirken auf Geschäftsziele. Prozess-, Lieferanten-, Personal-, Rechts- und physische Abhängigkeiten gehören in die Bewertung.
Soll jedes Risiko auf null reduziert werden?
Nein. Maßnahmen müssen angemessen sein. Restrisiken werden transparent entschieden und überwacht.
Wie oft muss ein Risikoregister aktualisiert werden?
Regelmäßig sowie bei wesentlichen Änderungen, Vorfällen, neuen Bedrohungen, Projekten oder regulatorischen Anforderungen.
Wer akzeptiert Risiken?
Die Entscheidung muss auf einer Ebene erfolgen, die die geschäftlichen Folgen und die definierte Risikotoleranz verantworten darf.