Eine Zeile im Risikoregister verrät selten, woher ein Risiko kommt, was dagegen getan wird und was danach übrig bleibt. BlueProceedings ISMS hält diesen Weg in einer Risikoakte zusammen.
Wie viel Risiko ist tragbar, wie wird bewertet und wer trägt die Risiken? Der Überblick zeigt strategische, methodische und organisatorische Grundlagen getrennt. Fehlende Freigaben und noch nicht zugewiesene Risiken bleiben sichtbar.
Die Aufnahme zeigt einen fiktiven Demostand vom 01.11.2026 ohne freigegebene Risikomatrix. Wie dieser Rahmen in Prozessschritt 1 vorbereitet wird, zeigt die Erhebung und Planung.
Im Beispiel ist eine Anforderung zur Speicherverschlüsselung noch nicht umgesetzt. Das Risiko beschreibt die mögliche Offenlegung; daneben stehen die Maßnahme, ihr Fortschritt und das geschätzte Restrisiko.
Die Risikoakte zeigt zusätzlich, welche Prozesse, Informationen und Komponenten betroffen sind. Das Beispiel verwendet Demodaten.
Fällt eine Komponente aus, können auch davon abhängige Prozesse und Systeme betroffen sein. Die Ausbreitungsprüfung folgt den erfassten Beziehungen und schlägt mögliche Betroffenheiten vor.
Im Beispiel steht ein Datenbank-Cluster im Mittelpunkt. Ihr bestätigt oder verwerft die Vorschläge mit Begründung oder haltet fest, welche Informationen für eine Entscheidung fehlen.
Interne und externe Einflussfaktoren, etwa eine Änderung der Rechtslage oder der Lieferkette, lassen sich mit Risikobewertungen und anderen Entscheidungen verknüpfen. Quelle, Annahmen, Unsicherheit und der Termin der nächsten Überprüfung bleiben beim Faktor.
Wird eine inhaltlich geänderte Folgeversion freigegeben oder ein verwendeter Faktor zurückgezogen, zeigt die Anwendung Prüfhinweise bei den betroffenen Entscheidungen: etwa Risiken, Schutzbedarfen, Dokumenten und Maßnahmen. Die Verantwortlichen prüfen, ob sich ihre Entscheidung ändern muss. Der Faktor erzeugt nicht automatisch ein neues Risiko und ändert keine Bewertung selbst.
Das Beispiel zeigt einen Faktor mit seinen offenen Prüfhinweisen und Links zu den Entscheidungen.
Lücken, Vorfälle, Auditfeststellungen oder Kennzahlen können Anlass für einen Risikokandidaten sein. Erst die bewusste Übernahme macht daraus ein formales Risiko.
Die freigegebene Risikomatrix verbindet Eintritt und Auswirkung zu einer nachvollziehbaren Risikostufe. Risikoeigentümer, Schutzziele und betroffene Objekte bleiben zugeordnet.
Maßnahmen tragen Verantwortung, Fristen und Fortschritt. Nachweise und Wirksamkeitsprüfung zeigen, ob die Behandlung trägt.
Übersichten zeigen verbleibende Belastungen und führen zu den einzelnen Risiken zurück. Wiedervorlagen und Änderungen geben Anlass, Bewertungen und befristete Entscheidungen erneut zu prüfen.
Der BSI-Standard 300-1 nennt in Kapitel 2.11 und Anhang 3 unter anderem diese Auslöser:
Ein Geschäftsprozess hat bei mindestens einem Schutzziel hohen Schutzbedarf (Mindestkriterium 32).
Ein relevantes Asset ist durch Zielobjektkategorien und zugeordnete Anforderungen nicht hinreichend abgedeckt (Mindestkriterium 33).
Eine anwendbare SOLLTE-Anforderung wird auf absehbare Zeit oder endgültig nicht erfüllt (Mindestkriterium 34). Eine MUSS-Anforderung lässt sich nicht durch Risikoakzeptanz ersetzen.
Die Risikobetrachtung ist mindestens jährlich und bei wesentlichen Änderungen zu überprüfen (Mindestkriterium 35).
Das Verfahren ist frei wählbar, solange die Mindestkriterien aus Anhang 3 erfüllt sind (Kapitel 2.11). Eine Auswahl:
Strategisch Risikoappetit und Akzeptanzkriterien, methodisch Verfahren und Kriterien, organisatorisch Rollen und Risikoeigentümer. Die Institutionsleitung autorisiert den Rahmen.
Ein Überblick über der Risikomatrix zeigt die drei Ebenen mit ihrem Stand, etwa „Risikoappetit: noch keine freigegebene Matrix“ oder „7 Risiken ohne Risikoeigentümer“. Nicht ladbare Angaben heißen „unbekannt“ und zählen nie als Lücke.
Methodische Grundlage festlegen und Risiken auf Ebene der Geschäftsprozesse und kritischer Assets identifizieren.
Die Risikoanalyse je Asset greift auf das Gefährdungsregister zurück; fehlende Gefährdungen werden als vorläufig vorgeschlagen und übernommen, zusammengeführt oder ignoriert. Am Ende stehen Risikokandidaten mit Herkunft, kein automatisch angelegtes Risiko. Jeder Informationsverbund entscheidet je Asset, ob die Analyse ihn hinreichend abdeckt.
Nicht weiter behandelte Risiken autorisiert die Leitung ausdrücklich; eine Risikoakzeptanz kann temporär sein.
Der Risikoeigentümer beantragt eine Ausnahme mit Begründung, Chancen und kompensierenden Maßnahmen; die Leitung entscheidet mit Frist und Auflagen. Die Ausnahme endet mit der Befristung, einem Wechsel der Risikomatrix oder einer schlechteren Restbewertung.
Die Institutionsleitung autorisiert die Restrisiken.
Die Leitung sieht in „Zu entscheidende Risiken“ die Anträge, über die sie entscheidet. Je Zelle der Risikomatrix legt sie vorab fest, was akzeptiert, einzeln entschieden oder abgelehnt wird; wer jedes Restrisiko einzeln freigeben will, stellt das mit einem Schalter ein. Die Matrixfreigabe als Autorisierung zu werten, ist unsere Auslegung.
Die Risikobetrachtung ist mindestens jährlich und bei wesentlichen Änderungen zu überprüfen.
Berührt ein Ereignis ein bestehendes Risiko inhaltlich, etwa Sicherheitsniveau oder Schutzziel, steht es wieder zur Prüfung an, mit sichtbarer Bewertungsfolge. Ein geänderter Einflussfaktor erzeugt Prüfhinweise bei den Risikobewertungen, die ihn nennen.
Für Maßnahmen schlägt die Anwendung eine Priorität P1 bis P5 vor. Die höchste Einzelklasse bestimmt den Vorschlag, nicht eine Summe; die Erklärung nennt Faktoren, Stakeholder und Compliance-Verpflichtungen. Kapitel 4.3 nennt unter anderem die Höhe der Risiken und die strategische Bedeutung als Kriterien.
Für Prozesse mit hohem Schutzbedarf gibt es eine eigene Risikoanalyse am Prozess; das Schutzbedarf-Raster zeigt, ob sie fehlt, abgelaufen oder vorhanden ist (Kriterium 32).
Risikomeldungen von Dienstleistern wirken über die Subdienstleister-Kette auf eure Komponenten und Prozesse; übernommen wird nur ausdrücklich. Zur Dienstleistersteuerung.
Eine Risikobewertung nennt die Einflussfaktoren, auf denen sie beruht; die Auswahl richtet sich nach der gewählten Dimension der Bewertung und weist auf eine unpassende Einflussart hin.
Bei hohem Schutzbedarf eines Geschäftsprozesses in mindestens einem Schutzziel, bei nicht hinreichend abgedeckten Assets und bei dauerhaft nicht erfüllten SOLLTE-Anforderungen (BSI-Standard 300-1, Kapitel 2.11, Anhang 3, Kriterien 32 bis 34). Bei normalem Schutzbedarf deckt die allgemeine Risikobetrachtung des Anwenderkatalogs ab.
Nein. MUSS-Anforderungen erlauben keine Ausnahme und keine Risikoakzeptanz (Kapitel 4.1.2). Die Anwendung sperrt Ausnahme und Risikoakzeptanz bei MUSS-Anforderungen.
Ein Risikokandidat ist ein Hinweis, etwa aus einer Lücke, einer Analyse oder einer Meldung eines Dienstleisters. Erst die bewusste Übernahme durch Verantwortliche macht daraus ein formales Risiko mit Eigentümer, Bewertung und Behandlung.
Der Standard schreibt keines vor. Gängige Standards wie ISO/IEC 27005 oder ISO 31000 sind möglich, sofern die Mindestkriterien aus Anhang 3 erfüllt sind.
Die Leitung autorisiert Risikomethodik, Kriterien und Risikoappetit sowie Restrisiken (BSI-Standard 300-1, Anhang 3, Kriterien 9 und 30). BlueProceedings bildet dafür festgelegte Regeln und Entscheidungen ab; es trifft die fachliche Entscheidung nicht selbst.
Weitere Funktionen sind bereits umgesetzt: alle Funktionen nach den fünf Prozessschritten, Dienstleister und Lieferkette und was sonst noch in der Pre-Alpha steckt.
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Die Funktionsbeschreibung gibt den Stand der Pre-Alpha wieder; methodische Aussagen sind als solche benannt und belegt.
Die Risikoakte hält fest, wie eine Entscheidung entstanden ist und wann sie wieder auf den Tisch kommt.