BSI Anforderungen zum Risikomanagement

Risikomanagement MUSS einheitliche Methoden nach {{ einem anerkannten Standard }} verankern.

Diese Methoden müssen den Kontext der Institution und die Anforderungen interessierter Parteien sowie die hieraus abgeleiteten Ziele berücksichtigen. Die Methoden können frei gewählt werden.

Risikomanagement MUSS die Einhaltung des BSI-Kriterienkatalogs bei der Methodenauswahl anweisen.

Im Anhang des BSI-Dokuments zur Risikobetrachtung befinden sich einschlägige Kriterien.

Risikomanagement MUSS die Rolle des Risikoeigentümers mit den notwendigen Aufgaben und Befugnissen verankern.

Der Risikoeigentümer trägt die Verantwortung für die Behandlung von Risiken. Er verfügt über die Befugnis, Entscheidungen über eine geeignete Risikobehandlung zu treffen.

Risikomanagement MUSS eine grundlegende Einstufung des Risikoappetits durch die Institutionsleitung festlegen.

Diese Einstufung berücksichtigt die Geschäftsziele und dient als Orientierungsrahmen für die Priorisierung zur Behandlung der ermittelten Risiken.

Risikomanagement MUSS Verfahren, Rollendefinitionen und Kriterien durch die Institutionsleitung autorisieren.

Diese Dokumentation der Autorisierung dient der Nachvollziehbarkeit und Verbindlichkeit.

Risikomanagement MUSS einheitliche Kriterien für die Kritikalität von Geschäftsprozessen bzw. -aktivitäten und Informationen verankern.

Kritikalitätskriterien dienen der Bewertung potenzieller Schäden bei einer Beeinträchtigung der Schutzziele Vertraulichkeit, Integrität oder Verfügbarkeit. Eine Orientierung an den Geschäfts- und Schutzzielen der Institution unterstützt eine konsistente Einschätzung. Dabei bietet es sich an, klar definierte und nachvollziehbare Stufen (z. B. niedrig, mittel, hoch) für unterschiedliche Schadensszenarien wie zum Beispiel finanzielle Verluste, Reputationsschäden oder rechtliche Konsequenzen festzulegen.

Risikomanagement MUSS einheitliche Kriterien für die Bewertung von Risiken verankern.

Risikokriterien für die Bewertung von Risiken dienen der Quantifizierung oder Qualifizierung der Risiken, um eine Priorisierung zu ermöglichen. Hierbei werden beispielsweise die Eintrittswahrscheinlichkeit, die Schadensauswirkung sowie potentielle Konsequenzen systematisch an Hand von Kriterien bewertet.

Risikomanagement MUSS einheitliche Kriterien für die Risikoakzeptanz verankern.

Risikokriterien für die Akzeptanz legen fest, bis zu welchem Risikoniveau eine Institution bereit ist, ein identifiziertes Risiko ohne weitere Maßnahmen hinzunehmen. Diese Kriterien bilden den Rahmen für konsistente und nachvollziehbare Entscheidungen im Risikomanagement. Die Einstufung erfolgt in der Regel anhand der Schadenshöhe und Eintrittswahrscheinlichkeit, wodurch eine Zuordnung zu definierten Risikoklassen ermöglicht wird.

Risikomanagement SOLLTE die Kenntnisnahme des Restrisikos durch die Risikoeigentümer verankern.

Durch nicht umgesetzte Anforderungen entsteht ein Restrisiko, von dem der Risikoeigentümer Kenntnis haben SOLL. Der Risikoeigentümer SOLL dieses Risiko bis zur Umsetzung bewusst tragen. Grundlage hierfür ist der Umsetzungsplan.

Risikomanagement MUSS die Umsetzungsplanung durch die Risikoeigentümer autorisieren.

Auf der Grundlage des Umsetzungsplans ist eine systematische und transparente Umsetzung der Anforderung bzw. Sicherheitsmaßnahmen möglich. Der Umsetzungsplan enthält z. B. die Anforderungsbeschreibung, das Zielobjekt bzw. den Anwendungsbereich, die verantwortliche Stelle, Start und Zieldatum (Fristen), Prioritäten, Status der Umsetzung, ergänzende Aktivitäten (z. B. Schulungen), Risiken inkl. Begründung (Was bleibt offen? Was wurde nicht umgesetzt und warum?), Ressourcenplanung, Abhängigkeiten zu anderen Anforderungen, Datum der Freigabe und Unterschrift des Risikoeigentümers. Der Umsetzungsplan dient als Grundlage für die Fortschrittskontrolle, die Berichterstattung und Audits.