Risikobehandlung · Von der Bewertung zur Wirkung
Risikobehandlung im ISO-27001-orientierten ISMS planen
Eine Risikobewertung beschreibt den Handlungsbedarf. Erst die Behandlung legt fest, was die Organisation tatsächlich verändert oder bewusst trägt. Ein brauchbarer Behandlungsplan verbindet deshalb Entscheidungen, Verantwortliche, Termine und die erwartete Schutzwirkung.
Direkte Antwort
Was bedeutet Risikobehandlung im ISMS?
Risikobehandlung umfasst die Auswahl und Umsetzung eines angemessenen Umgangs mit bewerteten Informationssicherheitsrisiken. Dazu können Vermeidung, Reduktion, Übertragung beziehungsweise Teilung oder bewusste Übernahme gehören. Die gewählte Option sollte begründet, ihre Umsetzung verfolgt und das verbleibende Risiko anschließend nachvollziehbar betrachtet werden.
Bewertung und Behandlung als unterschiedliche Ergebnisse verstehen
Die Bewertung beantwortet, welches Risiko im betrachteten Kontext besteht und wie es anhand der eigenen Kriterien eingeordnet wird. Daraus ergibt sich noch nicht automatisch die passende Maßnahme. Zwei gleich eingestufte Risiken können unterschiedliche Ursachen, Behandlungsmöglichkeiten und geschäftliche Folgen haben.
Die Behandlung benötigt deshalb eine eigene Abwägung. Welche Änderung würde das Szenario beeinflussen? Welche Voraussetzung muss dafür erfüllt sein? Wer kann die Umsetzung verantworten? Eine Maßnahme sollte einen erkennbaren Zusammenhang mit dem Risiko besitzen und nicht nur eine ohnehin geplante Aufgabe im Behandlungsplan wiederholen.
ISO/IEC 27005 bietet ergänzende Orientierung zum Umgang mit Informationssicherheitsrisiken im Kontext eines ISMS nach ISO/IEC 27001. Die folgenden Planungsbeispiele sind praktische Vorschläge, keine Wiedergabe eines vorgeschriebenen Standardformulars.
Fachlicher Bezug: ISO: ISO/IEC 27005:2022 – Orientierung zum Risikomanagement
Behandlungsoptionen nach Wirkung vergleichen
In der Praxis können Optionen kombiniert werden. Ein Prozess wird beispielsweise eingeschränkt, technisch abgesichert und das danach verbleibende Risiko bewusst getragen. Entscheidend ist die konkrete Wirkung dieser Kombination. Der Begriff „Transfer“ allein belegt nicht, dass die Organisation keine Auswirkungen mehr treffen können.
| Option | Praktische Frage | Zu berücksichtigende Grenze |
|---|---|---|
| Vermeiden | Kann die risikobehaftete Tätigkeit entfallen oder anders ausgeführt werden? | Der Geschäftsbedarf und mögliche neue Risiken eines Ersatzwegs müssen betrachtet werden. |
| Reduzieren | Welche Maßnahme senkt die Eintrittsmöglichkeit oder die Auswirkungen? | Die angenommene Wirkung muss zum Szenario passen und überprüfbar sein. |
| Übertragen oder teilen | Kann ein Teil der Folgen oder Aufgaben mit einer anderen Partei geregelt werden? | Auslagerung oder Versicherung beseitigt nicht automatisch alle verbleibenden Folgen und Verantwortlichkeiten. |
| Akzeptieren | Ist die bewusste Übernahme innerhalb der eigenen Kriterien tragbar? | Die Entscheidung benötigt eine verständliche Grundlage und eine zuständige Person. |
Einen Behandlungsplan mit überprüfbaren Maßnahmen erstellen
Risiko und Zielzustand benennen
Verweisen Sie auf das Szenario und beschreiben Sie, welcher Zustand erreicht werden soll. „Sicherheit verbessern“ ist zu allgemein. Ein konkretes Ziel kann sein, administrative Zugriffe persönlich zuzuordnen und auf erforderliche Systeme zu begrenzen.
Maßnahme, Verantwortung und Termin festlegen
Beschreiben Sie die Umsetzung so, dass die verantwortliche Person ihre Aufgabe erkennt. Benennen Sie Abhängigkeiten und Voraussetzungen. Mehrere verschiedene Arbeiten sollten einzeln verfolgt werden können.
Nachweis der Wirkung vereinbaren
Bestimmen Sie bereits bei der Planung, woran die Wirksamkeit geprüft wird. Ein Installationsticket belegt eine Tätigkeit; ein geeigneter Test kann zeigen, ob die beabsichtigte Zugriffsbeschränkung tatsächlich funktioniert.
Restrisiko erneut beurteilen
Prüfen Sie nach Umsetzung den tatsächlichen Zustand und verbleibende Szenarien. Halten Sie fest, welche Unsicherheiten fortbestehen. Die zuständige Person entscheidet auf dieser aktualisierten Grundlage über den weiteren Umgang.
Geplante Wirkung nicht mit aktuellem Schutz verwechseln
Ein häufiger Fehler ist die sofortige Absenkung der Bewertung, sobald eine Maßnahme im Plan steht. Damit entsteht ein scheinbar behandeltes Risiko, während der Betrieb weiterhin unverändert läuft. Trennen Sie den heutigen Zustand, den erwarteten Zielzustand und den bestätigten Zustand nach Umsetzung.
Wenn eine Maßnahme verspätet ist, prüfen Sie die Auswirkungen auf den bisherigen Umgang mit dem Risiko. Vielleicht muss der Betrieb eingeschränkt oder eine Zwischenmaßnahme eingeführt werden. Eine neue Fälligkeit allein beantwortet diese Frage nicht. Bei einer befristeten Sicherheitsausnahme ist besonders wichtig, ob Bedingungen der Genehmigung betroffen sind.
Berücksichtigen Sie auch Wechselwirkungen. Eine stärkere Zugangsbeschränkung kann Wartungsabläufe verändern; ein Ersatzverfahren kann neue Fehlerquellen schaffen. Der Plan sollte diese Folgen angemessen betrachten, ohne jede kleine Maßnahme mit unnötiger Bürokratie zu überladen.
Behandlung, Akzeptanz und Ausnahme miteinander verbinden
Eine Sicherheitsausnahme kann eine Übergangsphase während der Behandlung begleiten. Der Behandlungsplan beschreibt beispielsweise die Ablösung eines Systems, während die Ausnahme den begrenzten Weiterbetrieb mit kompensierenden Maßnahmen regelt. Das Restrisiko der Übergangszeit und das erwartete Risiko nach Abschluss sind unterschiedliche Entscheidungsgrundlagen.
Verknüpfen Sie diese Unterlagen über verständliche Referenzen. So lässt sich erkennen, warum eine Frist gewählt wurde und welche Maßnahme die Ausnahme beenden soll. Die Auswahl von Sicherheitsmaßnahmen und ihre ISMS-Einordnung bleiben Teil des übergreifenden Verfahrens; eine einzelne Ausnahmeakte ersetzt diese Arbeit nicht.
Fiktives Praxisbeispiel
Ein ungeschützter Datenaustausch soll abgelöst werden
Ein fiktives Fachteam tauscht regelmäßig vertrauliche Dateien über einen bestehenden Übertragungsweg aus. Das ISMS bewertet das Risiko unbefugter Einsicht und unbeabsichtigter Fehladressierung. Ein besser kontrollierter Austausch wird vorbereitet.
- Behandlungswahl
- Der Austausch bleibt geschäftlich notwendig. Das Team reduziert den Umfang und plant einen authentisierten Übertragungsweg mit passenden Berechtigungen.
- Zwischenmaßnahmen
- Für vier Wochen werden Empfänger vorab bestätigt, Daten auf das Erforderliche begrenzt und ein vereinbartes geschütztes Übergangsverfahren genutzt. Dessen Grenzen bleiben dokumentiert.
- Verantwortung
- Die IT verantwortet die technische Einführung. Der Fachbereich prüft Empfänger und Arbeitsablauf. Die zuständige Risikoeigentümerin entscheidet über den befristeten Übergang nach Security-Prüfung.
- Wirksamkeit und Review
- Nach zwei Wochen wird der Projektstand geprüft. Vor Abschluss werden berechtigte und unberechtigte Zugriffsversuche sowie die Nutzung im Fachprozess getestet.
Erst das geprüfte Ergebnis bildet die Grundlage für die Bewertung des neuen Zustands. Der Projektstatus „fertig“ allein beweist nicht, dass das ursprüngliche Szenario ausreichend behandelt wurde.
Abweichwerk für Behandlung im Ausnahmefall
Abweichwerk verbindet die Risikobewertung einer Ausnahme mit zugehörigen Maßnahmen, Zuständigkeiten und Entscheidungen. Das kann helfen, die Übergangszeit einer technischen Behandlung nachvollziehbar zu steuern und offene Arbeit bis zum Abschluss sichtbar zu halten.
Ein umfassender organisationsweiter Behandlungsplan kann weiterhin im vorhandenen ISMS-Verfahren geführt werden. Im Pilot lässt sich prüfen, welche Informationen die Ausnahmeakte benötigt und wie Ihre bestehenden Referenzen sinnvoll eingebunden werden.
Den Abweichwerk-Workflow ansehenHäufige Fragen: Risikobehandlung ISO 27001
Ist Akzeptanz ebenfalls eine Behandlungsoption?
Eine bewusste Risikoübernahme kann Teil des gewählten Umgangs sein. Sie sollte auf einer Bewertung und den eigenen Kriterien beruhen. Das bloße Unterlassen weiterer Arbeit ist davon zu unterscheiden, ebenso eine Verzögerung ohne ausdrückliche Entscheidung.
Kann eine geplante Maßnahme das aktuelle Risiko bereits senken?
Eine bloße Planung verändert den technischen oder organisatorischen Zustand noch nicht. Beschreiben Sie erwartete Wirkung und tatsächlichen Schutz getrennt. Eine Neubewertung sollte erkennen lassen, welche Maßnahmen umgesetzt und hinsichtlich ihrer Wirkung geprüft sind.
Reicht der Abschluss eines Umsetzungstickets als Nachweis?
Das hängt davon ab, was das Ticket belegt. Für die behauptete Schutzwirkung sind häufig zusätzliche Prüfungen nötig. Legen Sie vorab fest, welche Beobachtung zeigt, dass das relevante Risikoszenario tatsächlich beeinflusst wurde.
Muss jede Behandlung zu einer Sicherheitsausnahme führen?
Nein. Viele Risiken werden ohne Abweichung von einer konkreten Anforderung behandelt. Eine Ausnahme wird relevant, wenn ein bestimmter abweichender Betrieb bewusst geregelt werden muss. Beide Verfahren sollten sich bei Bedarf verbinden lassen.
Maßnahmen und Risikoentscheidungen im Zusammenhang halten
Prüfen Sie im Pilot, wie Abweichwerk die Behandlung Ihrer Sicherheitsausnahmen begleitet.