Risiken einem Lieferanten zuordnen und das Risikoregister exportieren

Viele IT-Risiken hängen an Dienstleistern: Fällt ein Lieferant aus, steht oft ein ganzer Service. Im IKT-Risikoregister halten Sie jedes Risiko mit Bewertung und Gegenmaßnahmen fest. Verknüpfen Sie ein Risiko mit einem Lieferanten, sehen Sie es auch auf dessen Seite. Für Ihr Risikomanagement oder eine Prüfung geben Sie das Register als CSV- oder Excel-Datei weiter.

Diese Anleitung ergänzt die Reihe zur Notfallplanung: Teil 1 zeigt den Notfallplan am Service, Teil 2 die Zusagen des Lieferanten. Julia Beispiel ist für die Risiken der Beispiel GmbH zuständig. In dieser Anleitung erfasst sie das Risiko, dass die Muster IT-Service GmbH als Dienstleister für die Lagertechnik ausfällt. Ein bestehendes Risiko zur Warenwirtschaft ordnet sie ebenfalls diesem Lieferanten zu. Danach prüft sie beide beim Lieferanten und exportiert die offenen Risiken. Wie Sie die Zusagen dieses Lieferanten festhalten, steht in Resilienz-Zusagen eines Lieferanten erfassen und freigeben.

Die wichtigsten Begriffe

• IKT: Informations- und Kommunikationstechnik. Das IKT-Risikoregister ist die Liste aller IT-Risiken Ihres Unternehmens mit Bewertung, Maßnahmen und Verantwortlichen.
• DORA: eine EU-Verordnung zur digitalen Betriebsstabilität (Digital Operational Resilience Act). Die gleichnamige Seite in knooing bündelt Register und Kennzahlen dazu. Das Risikoregister können Sie auch nutzen, wenn DORA für Sie nicht gilt.
• Risikoappetit: wie viel Risiko die Geschäftsleitung insgesamt tragen will. Für diese Anleitung brauchen Sie ihn nicht. Hinweise wie „EBA/GL“ in der App nennen Leitlinien einer EU-Aufsichtsbehörde; für die Bedienung spielen sie keine Rolle.
• Bezug: wofür ein Risiko gilt. Der Wert unternehmensweit heißt: für das ganze Unternehmen, etwa Phishing. Der Wert an Service, CI oder Drittpartei gekoppelt heißt: für einen Service, ein Konfigurationselement (CI), einen Lieferanten oder eine Lieferantenbeziehung. Drittpartei meint hier einen Lieferanten.
• Lieferant: ein Unternehmen, das Leistungen für Sie erbringt. In knooing heißt er an manchen Stellen auch Dienstleister, Drittpartei oder Drittanbieter.
• Lieferantenbeziehung: der Auftrag, über den ein Lieferant Leistungen für Sie erbringt.
• Zeichen: ein kleines farbiges Etikett mit Text, etwa offen.
• Ausgangsrisiko: Wahrscheinlichkeit mal Auswirkung, jeweils mit gering = 1, mittel = 2, hoch = 3, kritisch = 4. Mittel mal hoch ergibt 6, der höchste Wert ist 16.
• Restrisiko: was nach den Maßnahmen bleibt. Es darf nicht höher sein als das Ausgangsrisiko.

In den Bildern markieren Zahlen, wo Sie klicken. (i) markiert, wo Sie etwas ablesen.

Schritt 1: Das Risikoregister öffnen

Klicken Sie in der Seitenleiste unter Servicedesk auf Major Incidents / DORA. Öffnen Sie oben den Reiter Register (1) und darunter Risikoregister (2).

12

Danach sehen Sie das IKT-Risikoregister. Unter Einzelrisiken steht jedes Risiko als Karte. Oben in der Karte stehen Titel, Status, Kategorie und Bezug als Zeichen. Darunter folgen die Bewertung, etwa „Wahrscheinlichkeit gering × Auswirkung hoch = Ausgangsrisiko 3“, und die verantwortliche Person. Rechts über der Liste stehen die Auswahl Alle Status (der Statusfilter), Export CSV, Export Excel und Risiko erfassen. Den Abschnitt Risikoappetit brauchen Sie für diese Anleitung nicht; sein Hinweis hindert Sie nicht daran, Risiken zu erfassen. Oben auf der Seite steht, man bearbeite alles auf Vorgängen und Lieferantenseiten. Für Risiken stimmt das nicht: Sie pflegen sie hier.

Warum hier? Das Register ist die eine Liste aller IT-Risiken. Beim Lieferanten sehen Sie seine Risiken nur, gepflegt werden sie hier.

Beispiel: Im Register stehen schon „Phishing-Angriffe auf Mitarbeitende“ (unternehmensweit) und „Ausfall der Warenwirtschaft nach einem fehlerhaften Update“ (am Service Warenwirtschaft).

Schritt 2: Ein neues Risiko einem Lieferanten zuordnen

Klicken Sie auf Risiko erfassen. Es öffnet sich der Dialog Risiko erfassen. Füllen Sie aus:

• Titel, Beschreibung und Kategorie: im Beispiel „Ausfall des Dienstleisters für die Lagertechnik“, „Fällt die Muster IT-Service GmbH aus, stehen Lagerverwaltung und Versand still.“ und „Drittanbieter“. Die Kategorie ist freier Text; das Feld schlägt Verfügbarkeit, Vertraulichkeit, Integrität und Drittanbieter vor.
• Bezug (1): an Service, CI oder Drittpartei gekoppelt. Danach erscheinen die Auswahlen für Service, Konfigurationselement, Lieferant und Lieferantenbeziehung.
• Lieferantenbeziehung (2): im Beispiel Betrieb Lagertechnik. Den passenden Lieferanten setzt knooing dabei selbst. Gilt das Risiko für den ganzen Lieferanten, wählen Sie nur Lieferant. Service und Konfigurationselement lassen Sie für diese Anleitung leer.
• Bei Wahrscheinlichkeit ist mittel eingetragen. Auswirkung (3): im Beispiel hoch.
• Minderungsmaßnahmen, Verantwortlich und Nächste Überprüfung, alle optional: im Beispiel „Zweiten Dienstleister vorhalten, Notfallplan des Lieferanten jährlich testen.“, Julia Beispiel und 15.01.2027.

Klicken Sie auf Anlegen (4). Der Knopf bleibt grau, solange Titel, Beschreibung oder Kategorie fehlt. Beim gekoppelten Risiko bleibt er auch grau, solange weder Service, Konfigurationselement, Lieferant noch Lieferantenbeziehung gewählt ist.

1234

Danach schließt sich der Dialog, und das Risiko steht oben in der Liste. Es trägt das Zeichen „Muster IT-Service GmbH · Betrieb Lagertechnik“ (i) und die Zeile „Wahrscheinlichkeit mittel × Auswirkung hoch = Ausgangsrisiko 6“.

i

Warum die Lieferantenbeziehung? So sehen Sie später, welcher Auftrag betroffen ist. Hat ein Lieferant mehrere Lieferantenbeziehungen, zählt das Risiko nur bei dieser.

Beispiel: Fällt die Muster IT-Service GmbH aus, stehen Lagerverwaltung und Versand still.

Schritt 3: Ein bestehendes Risiko zuordnen

Klicken Sie in der Karte des Risikos rechts auf Bearbeiten, im Beispiel bei „Ausfall der Warenwirtschaft nach einem fehlerhaften Update“. Es öffnet sich der Dialog Risiko bearbeiten. Wählen Sie bei Lieferant (1) den Lieferanten, im Beispiel Muster IT-Service GmbH, und klicken Sie auf Speichern (2).

12

Danach schließt sich der Dialog. In der Karte steht jetzt das Zeichen „Warenwirtschaft · Muster IT-Service GmbH“ (i).

i

Was Sie in diesem Dialog sonst tun können:

• Status: offen, in Minderung, akzeptiert oder geschlossen. Für akzeptiert verlangt knooing eine Begründung.
• Restrisiko (1-16): was nach den Maßnahmen bleibt. Bewerten Sie Wahrscheinlichkeit und Auswirkung nach den Maßnahmen neu und tragen Sie das Produkt ein. Für diese Anleitung bleibt das Feld leer.

In diesem Dialog lassen sich Titel, Beschreibung und Bewertung nicht ändern. Ist dort etwas falsch, erfassen Sie das Risiko neu und setzen das alte auf geschlossen. Die Felder Lieferant und Lieferantenbeziehung gibt es nur bei gekoppelten Risiken. Ein unternehmensweites Risiko können Sie deshalb nachträglich keinem Lieferanten zuordnen.

Warum nachträglich? Oft zeigt sich erst später, dass ein Risiko an einem Dienstleister hängt. Hier wurde das fehlerhafte Update vom Lieferanten eingespielt.

Beispiel: Julia Beispiel ordnet das Update-Risiko der Muster IT-Service GmbH zu, ohne eine bestimmte Lieferbeziehung.

Schritt 4: Die Risiken beim Lieferanten prüfen

Klicken Sie in der Seitenleiste unter Mein Unternehmen auf Lieferanten, öffnen Sie den Lieferanten und wechseln Sie in den Reiter Beziehungen. Scrollen Sie zum Abschnitt Risiken.

i

Danach sehen Sie beide Risiken mit Status, Ausgangs-/Restrisiko, Bezug, Verantwortlich und Nächste Überprüfung. Solange kein Restrisiko erfasst ist, steht in der dritten Spalte nur das Ausgangsrisiko. In der Spalte Bezug (i) steht die Lieferantenbeziehung oder „gesamter Lieferant“. Ändern können Sie die Risiken hier nicht. Der Link Zum Risikoregister bringt Sie zurück ins Register. Derselbe Abschnitt steht auch auf der Seite der Lieferantenbeziehung; dort sind die Risiken dieser Lieferantenbeziehung fett hervorgehoben.

Warum beim Lieferanten? Bei einem Gespräch mit dem Lieferanten oder einer Prüfung seiner Leistung haben Sie seine Risiken sofort vor sich.

Beispiel: Bei der Muster IT-Service GmbH stehen jetzt beide Risiken.

Schritt 5: Das Register exportieren

Öffnen Sie wieder das Risikoregister wie in Schritt 1. Wählen Sie über der Liste in der Auswahl Alle Status (1), welche Risiken in die Datei sollen, im Beispiel offen. Klicken Sie dann auf Export CSV (2) oder Export Excel (3).

123

Danach speichert Ihr Browser die Datei, meist im Download-Ordner, etwa als risikoregister-2026-10-15.csv oder .xlsx. Eine Meldung zeigt knooing dabei nicht. Die Datei hat eine Zeile je Risiko und Spalten wie Titel, Status, Ausgangsrisiko, Restrisiko, Lieferant, Lieferantenbeziehung und Nächste Überprüfung.

Manche Werte stehen als technische Codes in der Datei:

• Status: open = offen, mitigating = in Minderung, accepted = akzeptiert, closed = geschlossen.
• Wahrscheinlichkeit und Auswirkung: low = gering, medium = mittel, high = hoch, critical = kritisch.
• Geltungsbereich: entity_wide = unternehmensweit, linked = gekoppelt. Die Spalte Geltungsbereich entspricht dem Feld Bezug in der App. Die CSV-Datei trennt die Spalten mit Semikolons und öffnet sich so direkt in Excel. Die Datei enthält alle Risiken mit dem gewählten Status.

Warum exportieren? Viele Unternehmen führen ihr Risikomanagement in einem eigenen Werkzeug. Die Datei lässt sich dort einlesen oder an Prüfer weitergeben.

Beispiel: Julia Beispiel exportiert die drei offenen Risiken als Excel-Datei für die nächste Risikorunde.

Wenn etwas nicht klappt

• Der Menüpunkt Major Incidents / DORA fehlt. Ihrer Rolle fehlt das Leserecht in der Zeile Servicedesk - Vorgänge bearbeiten, oder Ihr Unternehmen nutzt den Servicedesk nicht.
• „Noch kein Risiko erfasst.“ Das Register ist leer. Erfassen Sie das erste Risiko wie in Schritt 2.
• Risiko erfassen und Bearbeiten fehlen. Ihrer Rolle fehlt in der Zeile Servicedesk-Konfiguration - Fristen, Eskalation, Regelkatalog die Stufe Bearbeiten. Bitten Sie Ihre Administration darum.
• Bei Lieferant und Lieferantenbeziehung stehen nur „- keiner -“ und „- keine -“. Ihrer Rolle fehlt das Leserecht in der Zeile Lieferanten, oder es gibt noch keinen Lieferanten.
• Anlegen bleibt grau. Titel, Beschreibung oder Kategorie fehlt, oder beim gekoppelten Risiko ist kein Bezug gewählt.
• Im Dialog Risiko bearbeiten fehlen Lieferant und Lieferantenbeziehung. Das Risiko ist unternehmensweit. Erfassen Sie ein neues, gekoppeltes Risiko und setzen Sie das alte bei Bedarf auf geschlossen.
• „Ein verknüpftes Risiko ("linked") braucht mindestens einen Bezug zu einem Service, Konfigurationselement, Lieferanten oder einer Lieferantenbeziehung.“ Sie haben beim Bearbeiten Lieferant und Lieferantenbeziehung geleert, und das Risiko hat sonst keinen Bezug. Wählen Sie wieder einen Lieferanten.
• „Das Restrisiko darf das Ausgangsrisiko (vor Minderungsmaßnahmen) nicht übersteigen.“ Tragen Sie bei Restrisiko (1-16) höchstens das Ausgangsrisiko ein.
• „Das Risiko konnte nicht angelegt werden.“ oder „Die Änderung konnte nicht gespeichert werden.“ Laden Sie die Seite neu und versuchen Sie es erneut.
• Ein Risiko fehlt beim Lieferanten. Es ist keinem Lieferanten und keiner seiner Lieferantenbeziehungen zugeordnet. Ordnen Sie es zu wie in Schritt 3.
• Die Auswahl Lieferantenbeziehung ist leer, obwohl ein Lieferant gewählt ist. Für diesen Lieferanten gibt es noch keine Lieferantenbeziehung. Lassen Sie das Feld leer und wählen Sie nur den Lieferanten; das Risiko gilt dann für den ganzen Lieferanten.
• Ein Risiko ist falsch angelegt. Löschen lässt sich ein Risiko nicht. Setzen Sie es im Dialog Risiko bearbeiten auf geschlossen und erfassen Sie es neu.
• Der Browser speichert keine Datei. Er blockiert Downloads oder fragt nach. Erlauben Sie den Download in Ihrem Browser.
• Im Export fehlen Risiken. Der Statusfilter grenzt ein. Wählen Sie Alle Status und exportieren Sie erneut.
• „Der Export konnte nicht erzeugt werden.“ Klicken Sie erneut auf den Knopf. Klappt es wiederholt nicht, wenden Sie sich an den Support.