Risikoanalysen

Eine Risikoanalyse ist schnell gemacht und ebenso schnell veraltet. Der Wert entsteht nicht bei der ersten Bewertung, sondern in der Wiederholung: Was hat sich verändert, welche Maßnahme hat gewirkt, welches Restrisiko haben wir eigentlich vor zwei Jahren akzeptiert? Geführte Risikoanalysen beantworten diese Fragen, eine Tabelle nicht.

Was bewertet wird

Ein Risiko braucht drei Angaben: worauf es sich bezieht, was passieren kann und wie schwer es wöge.

Der Bezug ist der Punkt, an dem Tabellen scheitern. Ein Risiko hängt an etwas – an einer Verarbeitung aus dem Verzeichnis, an einem System aus der Systemlandschaft, an einem Dienstleister, an einem Wert aus dem Asset-Register. Ohne diesen Bezug lässt sich später nicht sagen, welche Risiken betroffen sind, wenn ein System abgelöst wird.

Bewertet wird nach Eintrittswahrscheinlichkeit und Schadenshöhe. Wichtig ist die Unterscheidung zwischen dem Risiko vor und nach den bereits getroffenen Maßnahmen – nur die zweite Zahl beschreibt Ihre tatsächliche Lage.

Die vier Wege der Behandlung

Vermindern, übertragen, vermeiden – oder bewusst tragen. Die vierte Möglichkeit ist die am meisten unterschätzte und die, bei der ein System den größten Unterschied macht.

Ein akzeptiertes Restrisiko ist zulässig, dokumentiert und von der richtigen Ebene getroffen. Genau danach wird im Audit gefragt: nicht „warum haben Sie das nicht behoben”, sondern „wer hat entschieden, es zu tragen, und wann”. Ein Risikoregister hält Entscheider, Datum und Begründung fest; eine Tabelle vergisst sie.

Aus jeder Behandlungsentscheidung entsteht eine Aufgabe mit Verantwortlichem und Termin – siehe Aufgabensystem. Ein Risiko, aus dem keine Maßnahme folgt, ist entweder akzeptiert oder nicht bearbeitet; ein drittes gibt es nicht.

Zwei Betrachtungen, ein Register

Datenschutz und Informationssicherheit fragen unterschiedlich. Art. 32 DSGVO fragt nach dem Risiko für die betroffenen Personen – ihre Rechte, ihre Freiheiten. Ein Managementsystem nach ISO 27001 fragt nach dem Risiko für die Organisation – Ausfall, Verlust, Ansehen.

Beide greifen auf denselben Bestand zu: dieselben Systeme, dieselben Dienstleister, dieselben Daten. Getrennt geführt entstehen zwei Register, die sich widersprechen. Zusammengeführt entsteht eines mit zwei Blickwinkeln – und die Vorarbeit fällt einmal an.

Daraus speist sich auch die Datenschutz-Folgenabschätzung, die bei hohem Risiko ohnehin fällig wird.

Grenzen

Die Zahlen sind Einschätzungen. Eine Bewertung mit Punktwerten sieht objektiv aus und ist es nicht. Ihr Wert liegt in der Vergleichbarkeit und in der nachvollziehbaren Begründung, nicht in der Ziffer.

Vollständigkeit entsteht nicht im System. Risiken, die niemand benennt, stehen nirgends. Die Erhebung bleibt Arbeit – wie sie abläuft, steht unter Risikomanagement im ISMS.