FUNKTIONEN · RISIKOMANAGEMENT

Risiken bewerten, behandeln, verantworten.

Vom Hinweis einer Mitarbeiterin bis zur formellen Akzeptanz des Restrisikos: Jeder Schritt hat eine zuständige Stelle, und jede Entscheidung ist begründet und nachvollziehbar.

Demo anfragen Kostenlos starten

Melden und prüfen

Alle Mitarbeitenden können Risiken melden, auf Wunsch auch anonym. Eine Prüfrolle bewertet die Meldung und weist sie einem Risikoeigentümer zu.

Melden ohne Bewertungsrecht
Prüfung durch eine festgelegte Fachrolle
Pflichtfelder je Phase einstellbar

Risikoliste mit 15 Risiken, je mit Stufe, Status, Risikoeigentümer und Datum der nächsten Überprüfung. — Alle Risiken mit Stufe, Status und Eigentümer.

Ihre Methodik

Bewerten Sie nach der Vorgabe des BSI-Standards 200-3 oder mit einer eigenen 5×5- bzw. 6×6-Matrix, auf Wunsch mit Schadenskategorien wie finanziell oder Reputation.

Eintrittswahrscheinlichkeit und Schadensausmass
Gefährdungskatalog des BSI und eigene Kataloge
Einstufung automatisch aus der Matrix

Nachvollziehbarer Ablauf je Risiko

Jedes Risiko zeigt, wo es in der Matrix steht und wohin es die Massnahmen bringen sollen, wer als Nächstes dran ist und welche Schritte folgen: Bewertung des Restrisikos nach dem Vier-Augen-Prinzip, Entscheid des Risikoeigentümers, regelmässige Überprüfung.

Risiko „Ransomware-Angriff“ mit dem Hinweis „Wie geht es weiter?“, Bewertung in der Risikomatrix, Behandlung und verknüpften Massnahmen. — Jedes Risiko zeigt, wer als Nächstes etwas tun muss.

Behandlung mit Plan

Für jedes Risiko wird entschieden: reduzieren, vermeiden, übertragen oder akzeptieren. Massnahmen und das erwartete Restrisiko werden direkt festgelegt, der Risikoeigentümer genehmigt den Behandlungsplan.

Massnahmen mit Verantwortlichen und Terminen
Erwartetes Restrisiko und Vergleich nach der Umsetzung
Vier-Augen-Prinzip bei der Bewertung des Restrisikos

Risikobehandlungsplan: je Risiko Ausgangs- und erwartetes Risiko, Genehmigung durch den Risikoeigentümer, Massnahmen mit Status, verantwortlicher Person und Termin sowie die zugehörigen Anforderungen. — Der Behandlungsplan nach ISO/IEC 27001 6.1.3 entsteht aus den Daten.

Akzeptanz nach festgelegten Kriterien

Je Risikostufe legen Sie fest, wer akzeptieren darf: der Risikoeigentümer allein, mit Freigabe durch eine Fachrolle wie die oberste Leitung, oder gar nicht. Regelmässige Überprüfungen halten die Bewertung aktuell.

Risikoakzeptanzkriterien je Stufe
Freigabe durch die Leitung, wo nötig
Periodische Überprüfung durch den Risikoeigentümer

Massnahmen & Kontrollen
Die Behandlung umsetzen und belegen.
Assets & Schutzbedarf
Die Grundlage jeder Risikobeurteilung.
Glossar
Risikoeigentümer, Restrisiko und weitere Begriffe.

Häufige Fragen

Können wir unsere bestehende Risikomatrix verwenden?

Ja. Neben der BSI-Vorgabe gibt es Vorlagen für 5×5- und 6×6-Matrizen, deren Stufen, Beschreibungen und Farben Sie selbst festlegen.

Was passiert, wenn Massnahmen nicht wie geplant laufen?

Werden wiederkehrende Massnahmen oder Kontrollen versäumt oder mit Abweichungen durchgeführt, erhält der Risikoeigentümer einen Hinweis, das Risiko neu bewerten zu lassen.

Wie entsteht der Risikobehandlungsplan?

Aus den Daten: Für jedes Risiko stehen Behandlung, Massnahmen, Verantwortliche, Termine und erwartetes Restrisiko bereits fest. Der Plan lässt sich drucken und als CSV exportieren.

Sehen Sie es an Ihrem eigenen Beispiel.

In einer persönlichen Demo gehen wir Ihre Fragestellungen durch, unverbindlich. Oder Sie starten sofort mit dem Paket Free.