ISMS: Risiken erfassen, bewerten und behandeln

Mit dem Risiko-Management in Ariadne ISMS hältst du jedes Risiko als konkretes Szenario an einem Asset fest, bewertest es nachvollziehbar und entscheidest, wie du damit umgehst. So weißt du jederzeit, welche Risiken du trägst, welche du gerade senkst und wann du wieder hinschauen musst.

Voraussetzungen

• Das betroffene Asset ist im ISMS-Modul angelegt. Jedes Risiko betrifft genau ein Asset.
• Risiken anlegen darfst du mit jeder Rolle. Bewerten und Behandlung festlegen darfst du, wenn du für das Risiko als Verantwortlich eingetragen bist oder die Rolle Key User bzw. Admin hast.

Der Ablauf auf einen Blick

Jedes Risiko durchläuft dieselben Schritte. Die Seitenleiste Nächste Schritte zeigt dir immer, welcher Schritt gerade dran ist.

Risiko erfassen

Du hast zwei Wege, ein Risiko anzulegen:

• Am Asset: Öffne das Asset und klicke in der Seitenleiste bei Risiken auf +. Das Asset ist dann schon vorbelegt.
• Über die Risikoliste: Klicke auf Risiken > + Erstellen und wähle das Asset aus.

Im Feld Risikotitel eingeben oder im Katalog suchen… tippst du einen Titel ein. Passt ein Eintrag aus dem Risikokatalog, klickst du ihn an. Titel, Beschreibung, Kategorie und Tags werden übernommen. Findest du nichts Passendes, legst du das Risiko über Risiko mit dem Namen „…“ erstellen mit deinem eigenen Titel an.

Risiko steuern oder verwerfen

Ein neues Risiko startet als Vorschlag. Bevor du es bewerten kannst, übernimmst du es mit … > Risiko steuern in die Bearbeitung. Trifft es fachlich nicht zu, verwirfst du es mit Risiko verwerfen.

Risiko bewerten und den Score verstehen

Klicke in Nächste Schritte bei Risikobewertung durchführen auf Bewerten. Im Dialog Risiko bewerten wählst du:

• Auswirkung: Wie groß wäre der Schaden, wenn das Szenario eintritt?
• Wahrscheinlichkeit: Wie wahrscheinlich ist es, dass es eintritt?
• Begründung hinzufügen (optional): Deine Begründung. Erkläre kurz, warum die Stufen passen, z. B. betroffene Informationen, vorhandene Schutzmaßnahmen, Schwachstellen, Abhängigkeiten oder Unsicherheiten. So bleibt die Bewertung auch im Audit nachvollziehbar.

Aus Auswirkung × Wahrscheinlichkeit berechnet das System den Risiko-Score und ordnet ihn einer Kritikalität zu. Im Standard sieht das so aus:

Auswirkung und Wahrscheinlichkeit haben im Standard je fünf Stufen, von Vernachlässigbar bis Katastrophal bzw. von Selten bis Fast sicher. Die Auswirkungsskala ist dieselbe, mit der du auch Informationen und die BIA bewertest.

Automatische Akzeptanz

Dein Admin kann einen Schwellenwert für automatisches Akzeptieren festlegen. Liegt der Score eines Risikos darunter, kann es automatisch akzeptiert werden. Liegt er darüber, legst du den Umgang selbst fest. Im Standard steht der Schwellenwert auf 0, die automatische Akzeptanz ist also aus.

Entscheiden, wie du mit dem Risiko umgehst

Klicke in Nächste Schritte bei Umgang mit dem Risiko festlegen auf Festlegen. Du hast vier Möglichkeiten:

Akzeptieren

Risiko bewusst tragen

Ohne Maßnahmen

Du dokumentierst, dass ihr das Risiko kennt und es bewusst tragt. So ist die Entscheidung nachvollziehbar, ohne dass ihr Aufwand in unverhältnismäßige Maßnahmen steckt.

Wann nutze ich das?

• Das Risiko liegt innerhalb eurer Akzeptanzkriterien.
• Weitere Maßnahmen wären unverhältnismäßig.

Tipp: Eine Akzeptanz hat keine Abschlussaktion. Auch akzeptierte Risiken kommen zur nächsten Neubewertung wieder.

Reduzieren

Risiko durch Maßnahmen senken

Häufigster Weg

Du planst Maßnahmen, die die Wahrscheinlichkeit, die Auswirkung oder beides senken. Das ist der häufigste Weg, wenn ein Risiko zu hoch ist.

Wann nutze ich das?

• Das Risiko liegt über eurer Akzeptanzgrenze.
• Es gibt sinnvolle Maßnahmen, z. B. MFA oder ein Berechtigungskonzept.

Tipp: Die Maßnahmen legst du anschließend direkt am Risiko an. Ihre Frist ist das Zieldatum, das du hier festlegst.

Vermeiden

Risikoquelle beenden oder ändern

Tätigkeit ändern

Ihr stoppt, ändert oder startet die riskante Tätigkeit gar nicht erst. Damit trifft das Szenario nicht mehr zu.

Wann nutze ich das?

• Der Nutzen der Tätigkeit rechtfertigt das Risiko nicht.
• Es gibt eine Alternative ohne dieses Szenario.

Teilen

Risiko mit Dritten teilen

Mit Dritten

Ihr verteilt das Risiko vertraglich, organisatorisch oder finanziell auf Dritte und tragt es nicht allein.

Wann nutze ich das?

• Ein Dienstleister übernimmt den Betrieb vertraglich abgesichert.
• Eine Versicherung deckt den finanziellen Schaden ab.

Trage im Dialog eine Begründung ein. Bei Reduzieren, Vermeiden und Teilen dokumentierst du zusätzlich die Verantwortliche Person und ein Zieldatum. Ohne Zieldatum bleibt Behandlung festlegen deaktiviert.

Gleiche Behandlung, unterschiedliche Begriffe

Je nachdem, wo du in Ariadne ISMS schaust, heißt dieselbe Behandlung etwas anders. Diese Tabelle hilft dir beim Filtern und beim Lesen des Dashboards:

Behandlung abschließen und dein Restrisiko kennen

Sind die Maßnahmen erledigt, klickst du in Nächste Schritte bei Risikobehandlung abschließen auf Abschließen. Optional ergänzt du eine Abschlussnotiz. Das Risiko wird danach sofort zur Neubewertung vorgemerkt.

Die Neubewertung zeigt dir das Restrisiko, also wie hoch das Risiko nach der Behandlung noch ist. Ein eigenes Objekt dafür gibt es nicht, es ist einfach die neue Bewertung des Risikos.

Neubewertung außer der Reihe anfordern

Gibt es eine neue Schwachstelle, einen Vorfall oder hat sich das Asset bzw. der Prozess geändert? Dann forderst du die Neubewertung manuell an. Die bestehende Behandlung bleibt so lange gültig, bis die neue Bewertung vorliegt. Ersetzt die neue Bewertung eine laufende Behandlung, fragt das System zur Sicherheit nach. Bei akzeptierten Risiken passiert das nur, wenn der neue Score höher ist.

Immer wissen, was als Nächstes dran ist

Die Seitenleiste Nächste Schritte zeigt dir am Risiko genau die Aktion, die gerade sinnvoll ist:

Ist eine Neubewertung überfällig, hat sie immer Vorrang. In der Risikoliste erkennst du das am Hinweis Risikobewertung überfällig.

Betroffene Schutzziele festhalten

Unter Gefährdete Schutzziele hältst du fest, welche Schutzziele das Risiko berührt: Vertraulichkeit, Integrität oder Verfügbarkeit. Bestätige mit Schutzziele speichern.

So bleiben deine Risiken aussagekräftig

• Szenarien statt Schlagworte: „Unbefugter Zugriff auf das CRM über kompromittierte Zugangsdaten“ ist besser als „Hacker“.
• Begründungen nutzen: So verstehen auch andere später, warum du so bewertet und entschieden hast.
• Fachleute einbeziehen: Bist du unsicher, hole die betroffenen Bereiche dazu.
• Maßnahmen als eigene Objekte anlegen, sobald Arbeit geplant oder geprüft werden muss.
• Erst abschließen, wenn die Umsetzung dokumentiert ist, und danach immer neu bewerten.

Verwandte Artikel

• ISMS: Maßnahmen planen, umsetzen und nachweisen
• ISMS: Assets anlegen, Abhängigkeiten pflegen und Schutzbedarf ableiten
• ISMS: Dashboards: Handlungsbedarf und Risikolage im Blick
• ISMS: Einstellungen, Standardwerte und Datenimport