Ein IT-Risiko erfassen, bewerten und die Meldepflicht prüfen

Ein Risiko, das niemand aufschreibt, wird auch nicht gemindert. Im IKT-Risikoregister halten Sie jedes IT-Risiko mit seinem Bezug, seiner Bewertung, den Gegenmaßnahmen und einer verantwortlichen Person fest. knooing rechnet daraus eine Zahl von 1 bis 16. Bei besonders schweren Risiken verlangt knooing zusätzlich einen Vermerk, ob die Aufsicht informiert werden muss. Am Ende sehen Sie und Ihre Prüfer für jedes Risiko, wie es steht und wer es zuletzt bewertet hat.

Diese Anleitung ist Teil 2 von 2. In Teil 1 hat Julia Beispiel den Risikoappetit der Beispiel GmbH festgehalten: IT-Risiken nur in mittlerem Umfang. Jetzt erfasst sie das Risiko, dass ein Überlastangriff den Onlineshop lahmlegt.

Die wichtigsten Begriffe

• Bezug: wofür ein Risiko gilt. unternehmensweit heißt: für das ganze Unternehmen, etwa Phishing. an Service, CI oder Drittpartei gekoppelt heißt: für einen Service, ein Konfigurationselement (CI), einen Lieferanten oder eine Lieferantenbeziehung.
• Wahrscheinlichkeit und Auswirkung: jeweils gering, mittel, hoch oder kritisch.
• Ausgangsrisiko: Wahrscheinlichkeit mal Auswirkung mit gering = 1, mittel = 2, hoch = 3, kritisch = 4. Hoch mal kritisch ergibt 3 × 4 = 12, der höchste Wert ist 16.
• Restrisiko: was nach den Maßnahmen bleibt, als Zahl von 1 bis 16. Es darf nicht höher sein als das Ausgangsrisiko.
• Status: offen, in Minderung (Maßnahmen laufen), akzeptiert (bewusst getragen, mit Begründung) oder geschlossen.
• Aufsichtsmeldungs-Prüfung: der Vermerk, ob ein schweres Risiko der Aufsicht gemeldet werden muss. Gemeldet wird nicht hier, sondern über einen Vorfall und dessen Meldekette.

In den Bildern markieren Zahlen, wo Sie klicken. (i) markiert, wo Sie etwas ablesen.

Schritt 1: Das Risiko erfassen

Öffnen Sie das Risikoregister wie in Teil 1, Schritt 1. Klicken Sie rechts über Einzelrisiken auf Risiko erfassen. Es öffnet sich das Fenster Risiko erfassen. Füllen Sie aus:

• Titel (1), Beschreibung und Kategorie, etwa „Verfügbarkeit“.
• Bezug (2): an Service, CI oder Drittpartei gekoppelt. Dann erscheinen Service, Konfigurationselement, Lieferant und Lieferantenbeziehung. Wählen Sie mindestens eins davon, hier den Service (3).
• Wahrscheinlichkeit (4) und Auswirkung (5).
• Minderungsmaßnahmen, Verantwortlich und Nächste Überprüfung.

Klicken Sie auf Anlegen (6). Der Knopf ist erst aktiv, wenn Titel, Beschreibung, Kategorie und bei einem gekoppelten Risiko ein Bezug gewählt sind.

123456

Danach schließt sich das Fenster, und das Risiko steht als Karte unter Einzelrisiken.

Warum ein Bezug? So sieht jeder, welchen Service oder welchen Lieferanten das Risiko trifft. Ein Risiko an einem Lieferanten erscheint auch auf dessen Seite, siehe Risiken einem Lieferanten zuordnen und das Risikoregister exportieren.

Beispiel: Julia erfasst „Ausfall des Onlineshops durch Überlastangriff“ am Service Onlineshop, Wahrscheinlichkeit hoch, Auswirkung kritisch, mit der Maßnahme „Schutzdienst gegen Überlastangriffe beim Rechenzentrum beauftragt.“ und der nächsten Überprüfung am 30.04.2027.

Schritt 2: Die Bewertung lesen

Lesen Sie die neue Karte und den gelben Hinweis darüber (i).

ii1

Danach sehen Sie in der Karte den Status offen, die Kategorie, den Bezug und die Zeile „Wahrscheinlichkeit hoch × Auswirkung kritisch = Ausgangsrisiko 12“. Ab einem Ausgangsrisiko von 12 oder bei der Auswirkung kritisch gilt ein Risiko als besonders schwer. Hat es keinen auslösenden Vorfall, zeigt knooing das Zeichen Aufsichtsmeldung prüfen und oben einen gelben Hinweis. Sie müssen dann festhalten, ob die Aufsicht informiert werden muss. Das machen Sie in Schritt 3.

Warum der Hinweis? Ein schweres Risiko kann eine Meldepflicht auslösen. Der Vermerk belegt, dass jemand das geprüft hat.

Beispiel: Das Risiko zum Onlineshop hat ein Ausgangsrisiko von 12 und trägt das Zeichen Aufsichtsmeldung prüfen.

Schritt 3: Das Risiko bearbeiten

Klicken Sie in der Karte auf Bearbeiten (1). Es öffnet sich das Fenster Risiko bearbeiten. Ändern Sie:

• Status (1): etwa in Minderung, sobald Maßnahmen laufen. Wählen Sie akzeptiert, erscheint das Pflichtfeld Begründung der Akzeptanz.
• Aufsichtsmeldungs-Prüfung (2): geprüft - keine Meldepflicht oder bereits über Vorfall gemeldet. Solange hier „- noch nicht geprüft -“ steht, zeigt das Fenster einen gelben Hinweis.
• Anmerkung zur Prüfung (3): kurz, warum Sie so entschieden haben.
• Restrisiko (1-16) (4): was nach den Maßnahmen bleibt. Unter dem Feld steht, welches Ausgangsrisiko nicht überschritten werden darf.

Klicken Sie auf Speichern (5).

12345

Danach schließt sich das Fenster und die Karte zeigt die neuen Werte.

Warum der Vermerk vor dem Abschluss? Ein besonders schweres Risiko ohne Vermerk lässt sich nicht auf akzeptiert oder geschlossen setzen. Speichern bleibt dann gesperrt.

Beispiel: Julia setzt den Status auf in Minderung, wählt geprüft - keine Meldepflicht mit der Anmerkung „Bisher kein Vorfall eingetreten. Es handelt sich um ein Risiko, nicht um einen Vorfall.“ und trägt das Restrisiko 6 ein.

Schritt 4: Das Ergebnis prüfen

Lesen Sie die Karte (i).

ii

Danach steht in der Karte das Zeichen in Minderung. Die Bewertungszeile endet mit „Restrisiko 6“. Darunter steht „Aufsichtsmeldungs-Prüfung: geprüft - keine Meldepflicht · durch Julia Beispiel am 17.10.2026“. Das Zeichen Aufsichtsmeldung prüfen und der gelbe Hinweis sind verschwunden. Liegt das Datum der nächsten Überprüfung in der Vergangenheit, zeigt die Karte das Zeichen Überprüfung fällig. Mit Alle Status filtern Sie die Liste; über Export CSV und Export Excel geben Sie sie weiter.

Warum prüfen? Ein Restrisiko von 6 liegt im Maßstab „mittel“ des Risikoappetits. Wäre es höher, bräuchte es weitere Maßnahmen.

Beispiel: Beim Risiko zum Onlineshop stehen Ausgangsrisiko 12, Restrisiko 6 und der Prüfvermerk von Julia Beispiel.

Wenn etwas nicht klappt

• Anlegen lässt sich nicht klicken. Titel, Beschreibung oder Kategorie fehlen, oder bei einem gekoppelten Risiko ist kein Service, kein Konfigurationselement, kein Lieferant und keine Beziehung gewählt.
• Speichern lässt sich nicht klicken. Beim Status akzeptiert fehlt die Begründung der Akzeptanz, oder ein besonders schweres Risiko soll ohne Aufsichtsmeldungs-Prüfung auf akzeptiert oder geschlossen.
• „Das Restrisiko darf das Ausgangsrisiko (vor Minderungsmaßnahmen) nicht übersteigen.“ Tragen Sie eine kleinere Zahl ein.
• „Das Restrisiko muss eine Ganzzahl zwischen 1 und 16 sein.“ Tragen Sie eine ganze Zahl von 1 bis 16 ein.
• In den Auswahlen Lieferant und Lieferantenbeziehung stehen nur „- keiner -“ und „- keine -“. Ihrer Rolle fehlt das Leserecht in der Zeile Lieferanten.
• „Die Änderung konnte nicht gespeichert werden.“ oder „Das Risiko konnte nicht angelegt werden.“ Versuchen Sie es erneut. Bleibt die Meldung, wenden Sie sich an Ihre Administration.