Schritt 4 · Risiken
Risikobehandlung Mindern, vermeiden, übertragen oder tragen.
Für jedes bewertete Risiko entscheiden Sie, was passiert. Daraus entsteht der Risikobehandlungsplan – mit Maßnahmen, Zuständigen und Fristen.
Worum es geht
Abschnitt 6.1.3 von ISO/IEC 27001 verlangt, Behandlungsoptionen auszuwählen, die nötigen Maßnahmen festzulegen und mit Anhang A abzugleichen, damit keine notwendige Maßnahme übersehen wird. Die Risikoeigentümer genehmigen den Plan und akzeptieren die Restrisiken. Abschnitt 8.3 verlangt, den Plan umzusetzen und die Ergebnisse zu dokumentieren.
- vor der Behandlung
- danach
Beispielwerte
So gehen Sie vor
- 01
Für jedes Risiko eine Option wählen.
- 02
Maßnahmen festlegen und mit Anhang A abgleichen.
- 03
Zuständige und Fristen bestimmen.
- 04
Restrisiken von den Risikoeigentümern akzeptieren lassen.
Typische Fehler
- Risiken werden „akzeptiert“, ohne dass jemand mit Befugnis zustimmt.
- Maßnahmen haben keine Frist und keine Zuständigen.
- Das Restrisiko wird nach der Umsetzung nicht neu bewertet.
Was ein Prüfer sehen will
- Risikobehandlungsplan
- Genehmigung und Restrisikoakzeptanz durch die Risikoeigentümer
- Umsetzungsnachweise
So hilft UniqSuite
In UniqSuite wählen Sie die Behandlung direkt am Risiko. Maßnahmen landen mit Zuständigen und Fristen im Plan und erscheinen im Dashboard.
Bezüge
- ISO/IEC 27001, Abschnitt 6.1.3 und 8.3
- BSIG § 38 Abs. 1: Umsetzung und Überwachung durch die Geschäftsleitung
Häufige Fragen
Dürfen wir ein hohes Risiko akzeptieren?
Ja, wenn es bewusst, begründet und mit Zustimmung der zuständigen Leitung geschieht. Unter NIS2 müssen Ihre Maßnahmen insgesamt trotzdem angemessen sein.
Was heißt Risikoübertragung?
Zum Beispiel eine Versicherung oder die Auslagerung an einen Dienstleister. Die Verantwortung für die Informationssicherheit bleibt bei Ihnen.
Dürfen wir Maßnahmen wählen, die nicht in Anhang A stehen?
Ja. Nach den Anmerkungen zu Abschnitt 6.1.3 ist Anhang A nicht abschließend, zusätzliche Maßnahmen können aufgenommen werden. Der Abgleich mit Anhang A soll nur verhindern, dass etwas Notwendiges fehlt.
Wie hängt der Plan mit der Erklärung zur Anwendbarkeit zusammen?
Die Maßnahmen aus dem Behandlungsplan erscheinen in der SoA mit Begründung und Umsetzungsstand. Ändert sich der Plan, ziehen Sie die SoA nach.
Dürfen die Kosten eine Rolle spielen?
Ja. § 30 Abs. 1 BSIG nennt die Umsetzungskosten ausdrücklich als Kriterium der Verhältnismäßigkeit, neben Risikoexposition, Größe, Wahrscheinlichkeit und Schwere von Vorfällen sowie deren gesellschaftlichen und wirtschaftlichen Auswirkungen. Halten Sie die Abwägung schriftlich fest.
Sehen Sie, wie das in UniqSuite aussieht.
In einer halben Stunde zeigen wir Ihnen den Ablauf mit Ihren eigenen Fragen.