Die Risikomethodik legt fest, wie Varmo Risiken einstuft: Eintrittshäufigkeit und Schadensauswirkung ergeben über die Risikomatrix die Risikostufe. Dazu gehören die Schadenskategorien und die Risikoakzeptanzkriterien. Dieser Artikel richtet sich an ISMS-Verantwortliche, die das Risikomanagement einrichten.

Bevor Sie beginnen

  • Sie brauchen eine Fachrolle mit dem Recht, das Risikomanagement einzustellen, standardmässig die ISMS-Verantwortlichen.
  • Jede Organisation startet mit der Methodik nach BSI-Standard 200-3: je vier Stufen für die Eintrittshäufigkeit („selten“, „mittel“, „häufig“, „sehr häufig“) und die Schadensauswirkung („vernachlässigbar“, „begrenzt“, „beträchtlich“, „existenzbedrohend“) sowie vier Risikostufen („gering“, „mittel“, „hoch“, „sehr hoch“; im BSI-Standard heissen sie Risikokategorien). Sie ist bereits aktiv.
  • Legen Sie die Methodik vor der ersten Risikobeurteilung fest. Nach einem Wechsel sollten Sie bewertete Risiken neu bewerten (siehe „Was danach passiert“).
  • Die Einstellungen finden Sie unter ISMS-Einstellungen › Risiken › Risikomethodik.
Eintrittshäufigkeit (Zeilen) × Schadensauswirkung (Spalten)
Eintrittshäufigkeit vernachlässigbarbegrenztbeträchtlichexistenzbedrohend
sehr häufiggeringhochsehr hochsehr hoch
häufiggeringmittelhochsehr hoch
mittelgeringgeringmittelhoch
seltengeringgeringmittelmittel
Risikomatrix nach BSI-Standard 200-3

Die Eintrittshäufigkeit in vier Stufen (Zeilen: sehr häufig, häufig, mittel, selten) und die Schadensauswirkung in vier Stufen (Spalten: vernachlässigbar, begrenzt, beträchtlich, existenzbedrohend) ergeben die Risikostufe gering, mittel, hoch oder sehr hoch.

Methodik wählen

Varmo hält die Vorlage nach BSI-Standard 200-3 unverändert: Stufen, Bezeichnungen, Farben und Matrix dieser Methodik lassen sich nicht ändern. Brauchen Sie eine andere Matrix, legen Sie mit Neue Methodik aus Vorlage eine 5x5-Risikomatrix oder 6x6-Risikomatrix an. Dort legen Sie Stufen, Bezeichnungen, Farben und die Matrix selbst fest.

Eine neue Methodik ist zunächst inaktiv, solange eine andere aktiv ist. Mit Aktivieren wird sie aktiv, und die bisherige wird deaktiviert. Ihre Organisation bewertet immer mit genau einer aktiven Methodik.

So legen Sie die Schadenskategorien fest

Was etwa „beträchtlich“ für Ihre Organisation bedeutet, legen Sie selbst fest, am besten je Schadenskategorie mit konkreten Grenzen wie Schadenshöhe in CHF oder Ausfallzeit. Das geht auch bei der BSI-Methodik.

  1. Öffnen Sie die aktive Methodik unter ISMS-Einstellungen › Risiken › Risikomethodik.
  2. Klicken Sie bei der Schadensauswirkung auf Schadenskategorien festlegen (später Kategorien verwalten) und erfassen Sie Kategorien wie Finanziell, Reputation, Geschäftsprozess oder Datenschutz.
  3. Bearbeiten Sie jede Stufe der Schadensauswirkung und beschreiben Sie je Kategorie, welcher Schaden zu dieser Stufe gehört. Speichern und weiter zu Stufe … führt durch alle Stufen.

Hat die Methodik Schadenskategorien, wird jedes Risiko je Kategorie eingestuft. Massgebend ist die höchste Stufe über alle Kategorien (Maximumprinzip).

So legen Sie die Risikoakzeptanzkriterien fest

Die Kriterien bestimmen, wer ein Risiko bzw. Restrisiko welcher Stufe tragen darf.

  1. Öffnen Sie ISMS-Einstellungen › Risiken › Meldung & Behandlung und gehen Sie zum Abschnitt Risikoakzeptanz.
  2. Wählen Sie je Risikostufe der aktiven Methodik eine Regel:
    • Risikoeigentümer allein: Der Risikoeigentümer akzeptiert selbst.
    • Mit Freigabe: Nach dem Risikoeigentümer gibt eine Fachrolle frei, die Sie wählen, zum Beispiel die oberste Leitung.
    • Nicht akzeptierbar: Das Risiko lässt sich weder mit der Option „Akzeptieren“ noch als Restrisiko tragen. Es braucht weitere Massnahmen.
  3. Speichern Sie.

Vorbelegt ist: höchste Stufe nicht akzeptierbar, zweithöchste nur mit Freigabe der Fachrolle „Oberste Leitung“, die übrigen durch den Risikoeigentümer allein.

Was danach passiert

  • Ändern Sie die Matrix einer eigenen Methodik, stuft Varmo die betroffenen Risiken sofort neu ein.
  • Nach einem Wechsel der Methodik behalten bewertete Risiken ihre Bewertung bis zur Neubewertung. Die Risikoliste weist darauf hin. Die Einstufungen je Schadenskategorie der bisherigen Methodik gehen dabei verloren.
  • Hat die Fachrolle für die Freigabe keine Mitglieder, wartet die Freigabe, bis sie besetzt ist. Niemand springt automatisch ein.
  • Die aktive Methodik ist auch die Grundlage für die Datenschutz-Folgenabschätzung.

Häufige Fragen

Muss ich Schadenskategorien festlegen?

Nein. Genügen Ihnen die allgemeinen Beschreibungen der Stufen, können Sie darauf verzichten. Ohne konkrete Beschreibungen stuft aber jede Person anders ein, und Bewertungen lassen sich schlechter vergleichen.

Kann ich die BSI-Matrix anpassen?

Nein, Stufen und Matrix der BSI-Methodik bleiben in Varmo unverändert. Anpassen können Sie die Schadenskategorien und ihre Beschreibungen. Für eine eigene Matrix legen Sie eine Methodik aus der Vorlage 5x5 oder 6x6 an.

Wie geht es nach der Methodik weiter?

Mit der Meldung und Bewertung der Risiken. Siehe Risiken melden, prüfen und behandeln.