Dieser Artikel beschreibt den Weg eines Risikos in Varmo: melden, prüfen und bewerten, Behandlung durch den Risikoeigentümer und Akzeptanz des Restrisikos, wo nötig mit Freigabe der Leitung. Er richtet sich an alle, die Risiken melden, prüfen oder verantworten.

Bevor Sie beginnen

  • Risiken melden darf in der Regel jede Person. Die Standardrolle „Mitarbeitende“ enthält dieses Recht. Ohne weitere Rechte sehen Sie unter Risiken nur Meine Meldungen.
  • Wer Meldungen prüft und bewertet, legen die ISMS-Verantwortlichen unter ISMS-Einstellungen › Risiken › Meldung & Behandlung fest: entweder eine Prüfrolle oder alle mit dem Recht „Risiken bewerten“. Dort stehen auch Pflichtfelder, Dringlichkeit, Herkunft und ob anonyme Meldungen erlaubt sind.
  • Die Einstufung folgt der aktiven Risikomethodik, die Akzeptanz den Risikoakzeptanzkriterien. Beides erklärt Risikomethodik und Akzeptanzkriterien festlegen; die Akzeptanzkriterien stehen auf derselben Einstellungsseite Meldung & Behandlung.
  • Passiert gerade etwas, melden Sie einen Sicherheitsvorfall statt eines Risikos. Das Formular weist oben darauf hin.
  1. Meldende PersonMelden

    Was ist aufgefallen, wo und seit wann?

  2. Prüfende StellePrüfen und bewerten

    Eintrittshäufigkeit, Schadensauswirkung, Behandlungsoption, Massnahmen und Risikoeigentümer.

  3. RisikoeigentümerBehandlungsplan genehmigen

    Legt fest, wer jede Massnahme umsetzt.

  4. VerantwortlicheMassnahmen umsetzen

    Bis zur Genehmigung bleiben die Massnahmen „Geplant“.

  5. Prüfende StelleRestrisiko bewerten

    Nie, wer eine der Massnahmen verantwortet.

  6. RisikoeigentümerRestrisiko akzeptieren

    Lehnt er begründet ab, braucht es weitere Massnahmen.

Freigabe durch die Leitung

Verlangen die Risikoakzeptanzkriterien es für diese Stufe, gibt zusätzlich die festgelegte Fachrolle frei, standardmässig die oberste Leitung.

Option „Akzeptieren“

Ohne Massnahmen: Die Akzeptanz durch den Risikoeigentümer ist sofort fällig.

Der Weg eines Risikos

Sechs Schritte: Die meldende Person meldet das Risiko. Die prüfende Stelle prüft und bewertet es und plant die Behandlung. Der Risikoeigentümer genehmigt den Behandlungsplan. Die Verantwortlichen setzen die Massnahmen um. Die prüfende Stelle bewertet das Restrisiko. Der Risikoeigentümer akzeptiert das Restrisiko. Verlangen die Risikoakzeptanzkriterien es, gibt zusätzlich die festgelegte Fachrolle die Akzeptanz frei, standardmässig die oberste Leitung.

So melden Sie ein Risiko

  1. Öffnen Sie Risiken und klicken Sie auf Risiko melden. Alternativ öffnen Sie auf der Asset-Seite den Reiter Risiken, dort ist das Asset vorbelegt.
  2. Beschreiben Sie kurz und konkret, was Ihnen aufgefallen ist, wo und seit wann. Wählen Sie das betroffene Asset oder Weiss ich nicht, dazu je nach Einstellung Herkunft und Dringlichkeit.
  3. Klicken Sie auf Meldung absenden. Ist es erlaubt, können Sie mit Anonym melden auch ohne Ihren Namen melden.

Wer selbst bewerten darf, erfasst mit Neues Risiko in drei Schritten (Was und wo, Bewertung, Behandlung und Überprüfung) direkt ein bewertetes Risiko.

So prüfen und bewerten Sie eine Meldung

Die prüfende Stelle erhält die Pendenz Risikomeldung prüfen und bewerten.

  1. Ergänzen Sie Titel, Asset, Gefährdung (auch mehrere) und Beschreibung.
  2. Bewerten Sie Eintrittshäufigkeit und Schadensauswirkung, bei Schadenskategorien je Kategorie. Die Risikostufe ergibt sich aus der Matrix.
  3. Wählen Sie die Behandlungsoption: Reduzieren, Vermeiden, Übertragen oder Akzeptieren. Ausser bei „Akzeptieren“ legen Sie mindestens eine Massnahme fest, bestehende oder neue mit Titel und Termin. Bei „Reduzieren“ und „Vermeiden“ ist zudem das erwartete Restrisiko Pflicht. Bei „Akzeptieren“ begründen Sie, warum das Risiko getragen wird.
  4. Ordnen Sie jeder Massnahme die Anforderungen zu, die sie umsetzt (ISO/IEC 27001, 6.1.3 b). Bei „Reduzieren“ ist das Pflicht, sobald Ihre Organisation Anforderungskataloge nutzt: Fehlt bei einer Massnahme die Anforderung, kann der Risikoeigentümer den Behandlungsplan nicht genehmigen, und das Restrisiko lässt sich nicht bewerten.
  5. Wählen Sie den Risikoeigentümer. Wird eine andere Person Risikoeigentümer, ist eine Begründung Pflicht.
  6. Legen Sie die nächste Überprüfung fest. Varmo schlägt einen Termin je Risikostufe vor.
  7. Klicken Sie auf Prüfung abschliessen. Mit Zwischenspeichern sichern Sie einen Zwischenstand, ohne die Prüfung abzuschliessen.

Was danach passiert

  1. Behandlungsplan genehmigen: Der Risikoeigentümer erhält die Pendenz Verantwortung und Behandlungsplan übernehmen. Er genehmigt den Plan und legt fest, wer jede Massnahme umsetzt. Er kann auch mit Begründung eine Anpassung verlangen oder die Verantwortung ablehnen. Bis zur Genehmigung bleiben die Massnahmen „Geplant“.
  2. Umsetzen: Die Verantwortlichen setzen die Massnahmen um. Siehe Massnahmen umsetzen und nachweisen.
  3. Restrisiko bewerten: Sind alle Massnahmen umgesetzt, bewertet die prüfende Stelle das Restrisiko. Wer für eine der Massnahmen verantwortlich ist, darf das nicht (Vier-Augen-Prinzip).
  4. Restrisiko akzeptieren: Der Risikoeigentümer akzeptiert das Restrisiko oder lehnt es begründet ab. Dann braucht es weitere Massnahmen. Bei der Option „Akzeptieren“ ist diese Akzeptanz sofort fällig.
  5. Freigabe durch die Leitung: Verlangen die Akzeptanzkriterien für diese Stufe eine Freigabe, erhält die gewählte Fachrolle, standardmässig die oberste Leitung, die Pendenz Risikoakzeptanz freigeben. Sie wählt Akzeptanz freigeben oder lehnt begründet ab. Der Risikoeigentümer selbst gibt nie frei.

Ein nicht akzeptierbares Restrisiko schickt Varmo automatisch zurück. Den Stand aller offenen Risiken zeigt Risiken › Behandlungsplan.

Regelmässige Überprüfung

30 Tage vor dem Termin erhält der Risikoeigentümer die Pendenz Risiko überprüfen. Ist alles unverändert, setzt Varmo den nächsten Termin. Hat sich etwas verändert, beschreibt er es, und das Risiko geht zurück an die prüfende Stelle zur Neubewertung. Ein Risiko, das nicht mehr besteht, schliessen Sie mit Risiko schliessen und einer Begründung.

Häufige Fragen

Kann ich eine Meldung löschen?

Nur, solange sie nie bewertet wurde. Bewertete Risiken schliessen Sie stattdessen.

Der Risikoeigentümer hat die Verantwortung abgelehnt. Was nun?

Die prüfende Stelle erhält eine Pendenz und bestimmt einen neuen Risikoeigentümer.

Was bedeutet „Der Behandlungsplan ist noch unvollständig“?

Bei „Reduzieren“ ist für mindestens eine Massnahme nicht festgelegt, welche Anforderungen sie umsetzt. Der Risikoeigentümer verlangt mit Begründung eine Anpassung; die prüfende Stelle erhält die Pendenz Anforderungen der Behandlung festlegen und ergänzt die Anforderungen bei der Massnahme. Bei „Übertragen“ erscheint dieselbe Pendenz, wenn keine Massnahme eine Anforderung hat, die Genehmigung ist dort aber nicht gesperrt.

Warum kann ich „Akzeptieren“ nicht wählen?

Die Risikostufe ist nach den Akzeptanzkriterien Ihrer Organisation nicht akzeptierbar. Wählen Sie eine andere Behandlungsoption.