Risikomanagement: Wie liefern andere ISMS-Schlüsselbereiche Input?

Das Risikomanagement im Bereich der Informationssicherheit wird oft fälschlicherweise als ein Projekt verstanden, das einmal im Jahr aktualisiert wird. In Wirklichkeit steht das Risikomanagement im Mittelpunkt der Arbeit im Bereich der Informationssicherheit und überschneidet sich mit vielen damit verbundenen Aktivitäten.

Wenn Ihr Informationssicherheits-Managementsystem (ISMS) aktiv betrieben wird, generiert es ständig risikobezogene Inputs, Entscheidungen und Maßnahmen. Das gilt auch dann, wenn diese nicht immer als „Risikomanagement“ bezeichnet werden. Vorfälle, Änderungen, Audits und Verbesserungen prägen die Art und Weise, wie Risiken verstanden und behandelt werden sollten. Der Schlüssel liegt darin, diese Punkte miteinander zu verbinden.

Wie ISMS in der Praxis das Risikomanagement unterstützt

Wenn Risikomanagement isoliert betrachtet wird, ist es schnell veraltet und verliert den Bezug zur Realität. Wenn es mit der täglichen ISMS-Arbeit verknüpft ist, bleibt es aktuell und sinnvoll. Viele Organisationen tun bereits viel, um risikoorientiertes Denken zu fördern, sie lassen diese Erkenntnisse jedoch nicht immer in das Risikomanagement einfließen.

Risikomanagement ist keine separate Aktivität, die neben der ISMS-Arbeit existiert. Es steht im Mittelpunkt dieser Arbeit. Die meisten ISMS-Prozesse basieren entweder auf dem Verständnis von Risiken oder liefern Input, der die Risikobewertung beeinflussen sollte.

Ein gut funktionierendes ISMS schafft kontinuierliche Inputs für das Informationssicherheits-Risikomanagement. Dies geschieht in mehreren Schlüsselbereichen:

🚨 Vorfallmanagement: reale Signale zu Ihren Risiken

Zwischenfälle und Beinaheunfälle zeigen, welche Risiken in der Praxis tatsächlich eintreten. Sie liefern konkrete Belege dafür , was schiefgehen kann, wie oft dies geschieht und wie sich die Auswirkungen darstellen.

Wenn Vorfälle richtig analysiert werden, sollten sie zu aktualisierten Risikobewertungen führen. Werden Vorfälle isoliert behandelt, hinken Risikobewertungen schnell hinter der Realität hinterher. Das Vorfallmanagement ist eine der wertvollsten Realitätsprüfungen für das Risikomanagement.

🧩 Kontinuitätsplanung: Auswirkungen verstehen, wenn etwas schiefgeht

Die Planung der Geschäftskontinuität und Resilienz basiert auf dem Verständnis von Risiken. Eine Auswirkungsanalyse hilft dabei, zu klären, wie schwerwiegend verschiedene Szenarien tatsächlich sind und welche Störungen am wichtigsten sind.

Die Überprüfung von Kontinuitätsplänen deckt häufig Diskrepanzen zwischen den angenommenen und den tatsächlichen Auswirkungen auf. Diese Erkenntnisse sollten in die Risikobewertung einfließen und dabei helfen, die Auswirkungsgrade und Prioritäten zu verfeinern. Die Kontinuitätsplanung verwandelt abstrakte Risiken in konkrete, geschäftsrelevante Szenarien.

🔀 Change Management: Risiken entstehen, wenn sich die Organisation verändert.

Jede Veränderung bringt neue Risiken mit sich. Neue Systeme, Lieferanten, Technologien und Arbeitsweisen beeinflussen die Risikolandschaft.

Das Änderungsmanagement bietet natürliche Gelegenheiten, neue Risiken zu identifizieren oder bestehende Risiken neu zu bewerten. Wenn das Risikomanagement nicht mit Änderungsprozessen verknüpft ist, hinken die Risiken der Realität hinterher und treten erst später durch Vorfälle oder Audits zutage.

🛡️ Compliance-Management: Struktur und Anforderungen für das Risikomanagement

Alle wichtigen Normen, Richtlinien und Gesetze verlangen ein Risikomanagement für die Informationssicherheit. Die Einhaltung dieser Vorschriften sorgt für Struktur und Konsistenz, definiert jedoch nicht, welche Risiken am wichtigsten sind:

• ISO 27001:2022 – Erfordert die kontinuierliche Identifizierung, Bewertung und Behandlung von Informationssicherheitsrisiken als Kernstück des ISMS.
• NIS2 – Schreibt Maßnahmen zum Cybersicherheitsrisikomanagement vor, darunter Risikoanalyse, Prävention und Kontrollen von Risiken in der Lieferkette.
• DORA – Sorgt für das IKT-Risikomanagement in den Bereichen Identifizierung, Schutz, Reaktion und Wiederherstellung für Finanzunternehmen.
• Cyber Resilience Act (CRA) – Erfordert Cybersicherheitsrisikobewertungen während des gesamten Produktlebenszyklus vor der Markteinführung.
• DSGVO – Wendet einen risikobasierten Ansatz für den Datenschutz an, einschließlich obligatorischer Folgenabschätzungen für die Verarbeitung mit hohem Risiko.

Auditergebnisse und Compliance-Lücken liefern wertvolle Informationen für das Risikomanagement. Gleichzeitig sollte das Risikomanagement als Leitfaden für die Umsetzung von Compliance-Anforderungen dienen. Compliance bedeutet nicht automatisch Sicherheit, aber ein gutes Risikomanagement unterstützt beides.

📚 Andere ISMS-Teile: kontinuierliche Eingabe, die Risiken aktuell hält

Viele andere ISMS-Aktivitäten tragen dazu bei, das Risikoverständnis kontinuierlich zu verfeinern. Das Asset Management hilft dabei, zu klären, was geschützt werden muss und wie kritisch dies ist. Das Schwachstellenmanagement zeigt auf, wo Kontrollen in der Praxis versagen. Die Bedrohungsmodellierung verbessert das Verständnis für wahrscheinliche Angriffswege und deren Wahrscheinlichkeit. Eine Verschärfung der Kontrollen erfolgt häufig dort, wo die Risiken höher sind.

Zusammen prägen diese Aktivitäten sowohl das inhärente als auch das Restrisiko und tragen dazu bei, das Risikomanagement realitätsnah zu gestalten.

Der Betrieb Ihres ISMS verbessert Ihr Risikomanagement.

Ein ISMS unterstützt das Risikomanagement nur, wenn es aktiv genutzt wird. Wenn Prozesse wie Incident Management, Change Management, Kontinuitätsplanung und kontinuierliche Verbesserung in der Praxis durchgeführt (und nicht nur dokumentiert) werden, liefern sie kontinuierlich Informationen über reale Risiken.

Je aktiver Ihr ISMS genutzt wird, desto besser wird Ihr Risikomanagement. Risiken bleiben aktuell, da sie durch Vorfälle, Änderungen, Audits und die tägliche Sicherheitsarbeit erfasst werden. Prioritäten werden klarer, da Risikobewertungen auf realen Signalen statt auf Annahmen basieren.

Wenn ISMS-Arbeit und Risikomanagement bewusst miteinander verknüpft werden, ist Risikomanagement nicht mehr nur eine statische Aufgabe. Es wird zu einem fortlaufenden Prozess, bei dem im Rahmen der normalen Informationssicherheitsmaßnahmen ermittelt wird, was schiefgehen könnte, und entschieden wird, wie darauf zu reagieren ist.