Security & Compliance

IT-Risikomanagement (Risk Management)

Allgemeine Infos

IT-Risikomanagement ist der fortlaufende Prozess, Risiken für Informationen und IT-Systeme zu identifizieren, nach Eintrittswahrscheinlichkeit und Auswirkung zu bewerten und über ihre Behandlung zu entscheiden. Ein Risiko entsteht, wenn eine Bedrohung auf eine Schwachstelle trifft, etwa Ransomware auf ungepatchte Server.

Relevante Standards: ISO/IEC 27005:2022 (vierte Ausgabe, Oktober 2022) gibt Leitlinien für das Informationssicherheits-Risikomanagement im ISMS nach ISO/IEC 27001 und überträgt die Prinzipien von ISO 31000:2018. Der BSI-Standard 200-3 beschreibt die Risikoanalyse auf Basis von IT-Grundschutz. Das NIST Risk Management Framework (SP 800-37 Rev. 2, Dezember 2018) ist in den USA verbreitet, vor allem im Behördenumfeld.

Pflichten: Für Einrichtungen im Anwendungsbereich von NIS2 verlangt § 30 Abs. 2 Nr. 1 BSIG Konzepte in Bezug auf die Risikoanalyse und Sicherheit in der Informationstechnik. Auch ISO/IEC 27001 setzt eine dokumentierte Risikobeurteilung und Risikobehandlung voraus.

Abgrenzung: Vulnerability Management findet und behebt konkrete technische Schwachstellen. Risikomanagement entscheidet übergeordnet, welche Risiken akzeptiert, reduziert, übertragen oder vermieden werden. In ITIL gibt es dazu die General Management Practice Risk Management.

Funktionsweise & Details

Der Ablauf orientiert sich an ISO/IEC 27005:

  1. Kontext festlegen: Geltungsbereich, Risikokriterien und Akzeptanzschwellen.
  2. Risiken identifizieren, ereignisbasiert (Szenarien) oder werte-basiert (Assets, Bedrohungen, Schwachstellen).
  3. Risiken analysieren und bewerten, meist mit einer Matrix aus Wahrscheinlichkeit und Auswirkung.
  4. Behandlung wählen: vermeiden, reduzieren, übertragen (z. B. Versicherung) oder bewusst akzeptieren, mit Freigabe durch die Leitung.
  5. Kommunizieren, überwachen und regelmäßig überprüfen.

Das NIST RMF gliedert sich in sieben Schritte: Prepare, Categorize, Select, Implement, Assess, Authorize, Monitor. Werkzeuge reichen vom Risikoregister in einer Tabelle über GRC-Tools bis zu Microsoft Purview Compliance Manager für Bewertungen gegen Regelwerke.

Vorteile & Nutzen

  • Begründete Prioritäten: Budget fließt in Maßnahmen gegen die größten Risiken statt in Bauchgefühl-Projekte.
  • Dokumentierte Entscheidungen der Leitung, die nach NIS2 für die Umsetzung von Risikomanagementmaßnahmen verantwortlich ist.
  • Prüfbarkeit für Auditoren, Versicherer und Kunden, die zunehmend Nachweise verlangen.
  • Bewusster Umgang mit Restrisiken, statt sie unbemerkt mitzutragen.

Praxisbeispiel

Ein Hersteller von Industrieanlagen mit 350 Mitarbeitenden fällt unter NIS2 und baut ein Risikoregister auf. Die IT identifiziert gemeinsam mit Produktion und Vertrieb 40 Risikoszenarien, darunter Ransomware, Ausfall des ERP-Hosters und Abfluss von Konstruktionsdaten. Die Geschäftsführung genehmigt Maßnahmen für die zwölf höchsten Risiken, darunter Offline-Backups und MFA für alle Fernzugänge, und akzeptiert zwei Restrisiken schriftlich. Das Register wird halbjährlich überprüft.

Worauf sollte man achten?

  • Halte die Methode einfach, eine konsequent gepflegte Matrix ist wertvoller als ein komplexes Modell, das niemand versteht.
  • Lass Risikoakzeptanzen von der Geschäftsleitung unterschreiben, nicht von der IT.
  • Verknüpfe Risiken mit Maßnahmen im Ticket- oder Projektsystem, damit Umsetzung nachverfolgbar ist.
  • Überprüfe das Register zusätzlich zum Jahresrhythmus nach größeren Änderungen und Sicherheitsvorfällen.

Fazit

IT-Risikomanagement ist die Grundlage jeder nachweisbaren Informationssicherheit und für NIS2-Einrichtungen Pflicht. Ein schlankes Vorgehen nach ISO/IEC 27005 oder BSI 200-3 reicht für den Mittelstand meist aus.

Weiterführende Links

Verwandte Artikel