Konzentrationsrisiko und Kritikalität prüfen: Wie stark hängen Sie von einzelnen Dienstleistern ab?

Erbringt ein einziger Dienstleister viele Ihrer wichtigsten Services, trifft Sie sein Ausfall doppelt. Dieses Konzentrationsrisiko zeigt knooing als einfache Kennzahl: welcher Anteil Ihrer kritischen Services auf jeden Dienstleister entfällt. Dazu sehen Sie, welche kritischen Services noch keinen Lieferanten, keinen Notfallplan oder keinen aktuellen Test haben. So erkennen Sie, wo ein zweiter Dienstleister oder ein Notfallplan am meisten nützt.

Julia Beispiel steuert bei der Beispiel GmbH die Dienstleister. Nach dem Blick ins Informationsregister prüft sie, wie stark die Firma von der Muster IT-Service GmbH abhängt.

Die wichtigsten Begriffe

• Kritischer Service: ein Service mit einer kritischen Funktion, also einer Geschäftstätigkeit, deren Ausfall Ihr Unternehmen schwer trifft.
• Hauptlieferant: der Dienstleister, der einen Service überwiegend erbringt. Nur diese Zuordnung zählt für das Konzentrationsrisiko.
• Konzentrationsrisiko: die Abhängigkeit von einem einzelnen Dienstleister. knooing misst sie als Anteil an allen kritischen Services. Beispiel: 4 kritische Services, 2 davon beim selben Dienstleister, ergibt 50 %.
• Schutzbedarf: wie schutzbedürftig ein Service ist, je Schutzziel Vertraulichkeit, Integrität und Verfügbarkeit, in den Stufen Normal, Hoch und Sehr hoch.
• RTO und RPO: die Ziele für die Ausfallzeit und den Datenverlust eines Service. In der Tabelle heißen sie Wiederherstellungsziele.

In den Bildern markieren Zahlen, wo Sie klicken. (i) markiert, wo Sie etwas ablesen.

Schritt 1: Das Konzentrationsrisiko öffnen

Klicken Sie in der Seitenleiste unter Servicedesk auf Major Incidents / DORA. Öffnen Sie oben den Reiter Register (1) und darunter Konzentrationsrisiko (2).

12i

Danach sehen Sie über der Tabelle, wie viele kritische Services es insgesamt gibt, im Beispiel „Insgesamt 4 kritische Service(s) im Mandanten.“ Die Tabelle zeigt je Dienstleister:

• Services gesamt: alle Services, deren Hauptlieferant er ist.
• davon kritisch: wie viele davon kritisch sind.
• Anteil an allen kritischen Services (i): davon kritisch geteilt durch alle kritischen Services, als Balken und in Prozent.

Ein hoher Anteil heißt: Fällt dieser Dienstleister aus, fehlt ein großer Teil Ihrer wichtigsten Services. Prüfen Sie dann, ob ein Ausstiegsplan oder ein zweiter Dienstleister nötig ist. Mit einem Klick auf den Namen öffnen Sie die Seite des Lieferanten. Der graue Hinweis über der Tabelle sagt, dass die Kennzahl bewusst einfach ist und keine vollständige Risikobewertung ersetzt.

Warum diese Zahl? Sie zeigt auf einen Blick, wo Sie verwundbar sind, ohne jede Beziehung einzeln zu lesen.

Beispiel: Die Muster IT-Service GmbH erbringt Warenwirtschaft und Lagerverwaltung, beide kritisch. Das sind 2 von 4 kritischen Services, also 50 %. Julia nimmt das in die nächste Überprüfung der Beziehung mit.

Schritt 2: Kritikalität und Notfallbezug lesen

Klicken Sie oben auf Kritikalität und Notfallbezug (1).

1i

Danach sehen Sie drei Teile:

• Kritikalitätsübersicht: wie viele Services eine kritische Funktion haben und wie viele nicht.
• Schutzbedarf: je Schutzziel, wie viele Services und Konfigurationselemente in welcher Stufe stehen. Ohne Einstufung heißt, dass noch niemand den Schutzbedarf festgelegt hat. Wie das geht, zeigt Schutzbedarf einer Leistung einstufen.
• Anbindung an die Notfallplanung: eine Zeile je kritischem Service mit Lieferant, Notfallplan getestet am (der letzte Test des Ausstiegsplans der Beziehung), Wiederherstellungsziele, Georedundanz (EU/EWR) und Eigener Notfallplan und Tests.

Gelbe Zeichen zeigen Lücken. „kein Lieferant zugeordnet“ (i) heißt: Für diesen kritischen Service ist noch kein Hauptlieferant eingetragen. „kein Notfallplan“ und „kein Test in 12 Monaten“ heißen: Am Service fehlt der eigene Notfallplan oder ein Test aus den letzten 12 Monaten. Mit Notfallplanung öffnen springen Sie zum Service. Wie Sie Plan und Test erfassen, zeigt Notfallplan und Wiederanlauftests an einem Service festhalten. Unter der Tabelle steht ein technischer Hinweis mit Feldnamen; für die Bedienung brauchen Sie ihn nicht.

Warum zusammen? Eine hohe Abhängigkeit ist tragbar, wenn der Notfall geplant und geprüft ist. Fehlt beides, sollten Sie zuerst dort ansetzen.

Beispiel: Die Versandsteuerung ist kritisch, hat aber keinen Lieferanten und keinen Notfallplan. Julia klärt, wer sie betreibt, und lässt einen Notfallplan erstellen.

Wenn etwas nicht klappt

• „Es sind noch keine primären Lieferantenzuordnungen zu kritischen Services vorhanden.“ Kein kritischer Service hat einen Hauptlieferanten. Ordnen Sie ihn am Service zu, wie in Auslagerung einer Leistung zuordnen beschrieben.
• „Es gibt derzeit keine als kritisch markierten Services.“ Kein Service hat eine freigegebene kritische Funktion. Dann bleibt auch das Konzentrationsrisiko leer.
• Ein Dienstleister steht mit 0 %. Er erbringt Services, aber keinen kritischen. Das ist kein Fehler.
• „Die Daten konnten nicht geladen werden.“ Laden Sie die Seite neu. Bleibt die Meldung, wenden Sie sich an Ihre Administration.