ISO 27001 Risikomanagement: Methodik und Risikobehandlung planen
Risikomanagement als Entscheidungsverfahren gestalten
Das Risikomanagement eines ISMS legt fest, wie Sicherheitsrisiken erkannt, bewertet und behandelt werden. Es braucht nachvollziehbare Kriterien, damit vergleichbare Situationen nicht je nach beteiligter Person völlig unterschiedlich eingestuft werden.
Vor der ersten Bewertung werden die verwendeten Skalen, die Bedeutung der Kategorien und die Zuständigkeiten vereinbart. Ebenso wird geklärt, welche Risiken akzeptiert werden dürfen und wer dazu befugt ist. Eine Risikomatrix unterstützt diese Arbeit, ersetzt aber keine begründete Entscheidung.
Bewertung und Behandlung miteinander verbinden
Für jedes wesentliche Risiko sollte erkennbar sein:
- welches Szenario betrachtet wird und welche Auswirkungen möglich sind;
- welche vorhandenen Kontrollen berücksichtigt wurden;
- wer das Risiko fachlich verantwortet;
- welche Behandlung beschlossen wurde;
- welches Restrisiko verbleibt und wie damit umgegangen wird.
Je nach Situation kann ein Risiko durch Maßnahmen reduziert, durch eine veränderte Tätigkeit vermieden, vertraglich geteilt oder bewusst akzeptiert werden. Auch eine Versicherung oder ein Dienstleistervertrag beseitigt nicht automatisch sämtliche betrieblichen Folgen.
Eine Entscheidung nachvollziehbar dokumentieren
Beispiel: Der Ausfall eines zentralen Dienstes könnte mehrere Kunden betreffen. Eine zusätzliche Wiederherstellungsoption senkt die erwartete Ausfallzeit, verursacht aber laufende Kosten. Die verantwortlichen Personen vergleichen Wirkung und Aufwand, beschließen die Maßnahme und benennen einen Test zur Überprüfung. Verbleibende Grenzen werden ausdrücklich festgehalten.
Bewertungen bei Änderungen aktualisieren
Neue Dienste, Sicherheitsvorfälle oder geänderte Abhängigkeiten können eine erneute Bewertung notwendig machen. Ein unverändertes Kalenderdatum im Risikoregister belegt nicht, dass diese Entwicklungen berücksichtigt wurden.
BSI-Standard 200-3 beschreibt eine Risikomethodik im IT-Grundschutz. ISO/IEC 27001 gibt den Managementrahmen vor. Die gewählte Vorgehensweise muss zum Unternehmen passen und konsistent angewendet werden; ein bestimmtes Tabellenformat ist dafür nicht der entscheidende Faktor.
Die ISMS-Risikobewertung beschreibt die Arbeit an einzelnen Szenarien. Wie Entscheidungen und die Anwendbarkeit von Maßnahmen in den Nachweisen zusammengeführt werden, erläutert die ISO-27001-Dokumentation.
Quellen und fachliche Grundlagen
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- BSI-Standard 200-3 – Risikomanagement – Bundesamt für Sicherheit in der Informationstechnik