ISO 27001 Risikokriterien: Vertretbare 3x3- bis 5x5-Vorlagen

Risikokriterien sind die dokumentierten Regeln, anhand derer Sie beurteilen, wie wahrscheinlich ein Risiko ist, wie gravierend seine Auswirkungen wären und wann es akzeptabel ist. Definieren Sie sie als einfache 3x3- bis 5x5-Skala mit verständlichen Ankern, verknüpfen Sie sie mit Unternehmenszielen und lassen Sie sie von der obersten Leitung schriftlich genehmigen. Diese Kombination macht Ihre Kriterien in einem ISO 27001-Audit vertretbar.

Kurzfassung:

• Lassen Sie die Schwellenwerte, Skalen, den Geltungsbereich, Überprüfungsauslöser und die Versionsnummer schriftlich von der obersten Leitung genehmigen; dokumentieren Sie, wer einzelne Risiken akzeptieren oder eskalieren darf.
• Wählen Sie eine 3x3-Matrix für einen kleinen oder erstmaligen Geltungsbereich oder eine 5x5-Matrix für eine feinere Einstufung; definieren Sie verständliche Anker und einen festen Bewertungshorizont.
• Bewerten Sie die Auswirkungen über alle relevanten Unternehmensdimensionen hinweg und verwenden Sie den schlechtesten Fall als Gesamtbewertung, es sei denn, Ihre Organisation kann eine gewichtete Bewertung pflegen und erklären.
• Ordnen Sie jeder Matrixkategorie eine Standardmaßnahme, einen Verantwortlichen und eine Eskalationsbefugnis zu und verknüpfen Sie Behandlungsentscheidungen, Restrisiken und Annex A-Maßnahmen mit den Registereinträgen.
• Bewahren Sie Nachweise und Bewertungsbegründungen im Register auf; überprüfen Sie betroffene Risiken nach schwerwiegenden Vorfällen, Änderungen des Geltungsbereichs oder der Technologie, neuen Vorschriften oder strategischen Veränderungen erneut.

Inhaltsverzeichnis

• 1. Was ISO 27001 von Ihren Risikokriterien erwartet
• 2. So definieren Sie Akzeptanzschwellenwerte, Geltungsbereich und Governance
• 3. Eintrittswahrscheinlichkeit mit reproduzierbaren Skalen bewerten
• 4. Auswirkungen über alle für das Unternehmen relevanten Dimensionen bewerten
• 5. Auswahl einer Risikomatrix: 3x3, 4x4 oder 5x5
• 6. Kriterien und Bewertungsnachweise für Prüfer dokumentieren
• 7. Risikokriterien mit Behandlungsentscheidungen und der SoA verknüpfen
• 8. Anpassungsfertige Skalenvorlagen und ein Praxisbeispiel
• 9. Warum Sie sich auf diese Anleitung verlassen können
• 10. Mein Rat zur Einführung der Kriterien
• 11. Wie wir Ihnen helfen, vertretbare Kriterien schneller zu dokumentieren
• FAQ
• Quellen

1. Was ISO 27001 von Ihren Risikokriterien erwartet

ISO/IEC 27001 fordert ein Informationssicherheits-Managementsystem und stellt das Risikomanagement in dessen Mittelpunkt: den Prozess zur Identifizierung und Steuerung von Informationssicherheitsrisiken sowie zur Wahrung von Vertraulichkeit, Integrität und Verfügbarkeit. Abschnitt 6.1.2 macht dies konkret. Er verlangt, dass Risikokriterien festgelegt und aufrechterhalten werden – einschließlich Kriterien für die Risikoakzeptanz und Kriterien für die Durchführung von Bewertungen –, und dass wiederholte Bewertungen konsistente, valide und vergleichbare Ergebnisse liefern.

Beachten Sie, was die Norm nicht vorschreibt. Sie liefert weder eine Formel noch eine verbindliche Matrix. ISO/IEC 27005 enthält Leitlinien zum Informationssicherheits-Risikomanagement und erwartet, dass Sie Ihre eigenen Risikobewertungs-, Auswirkungs- und Akzeptanzkriterien passend zu Ihrem Kontext definieren. Mit anderen Worten: Die Methode liegt in Ihrer Wahl. Die Begründung dafür ist keine Option.

Auditoren prüfen in der Regel drei Dinge:

• Dokumentation. Sind die Kriterien schriftlich festgehalten, mit Skalendefinitionen, Schwellenwerten und dem Genehmigungsdatum?
• Konsistente Anwendung. Kommen zwei Bewerter beim selben Szenario zum gleichen Ergebnis? Implementierungsleitfäden wie der ISO 27001-Leitfaden von NQA betonen, dass die Methode einheitlich über den gesamten ISMS-Geltungsbereich hinweg angewendet und regelmäßig überprüft werden muss.
• Nachvollziehbare Entscheidungen. Lässt sich eine Linie von einer Bewertung im Register über eine Behandlungsentscheidung bis hin zu einer Maßnahme in der Erklärung zur Anwendbarkeit (Statement of Applicability) verfolgen?

Betrachten Sie die Kriterien als das Regelwerk, nach dem Ihr Risikoregister funktioniert. Ist das Regelwerk vage, wird jede Bewertung zur Diskussion und jede Diskussion zum Auditbefund. Ist es präzise, aber unpraktisch, hält sich niemand daran und das Register entfernt sich von der Realität.

Auch Risikomodelle spielen hier eine Rolle. NIST SP 800-30 Revision 1 beschreibt Risiko anhand von Faktoren wie Bedrohung, Schwachstelle, Auswirkung und Eintrittswahrscheinlichkeit und empfiehlt, Skalen und Zeitrahmen zu definieren, die zum Kontext der Organisation passen. Es ist ein US-amerikanisches Behördendokument, aber seine Logik lässt sich sauber auf ISO 27001 übertragen und liefert Ihnen Begriffe, die ein Auditor kennt.

Eine praktische Konsequenz: Legen Sie Ihre Kriterien fest, bevor Sie beginnen, das Register zu befüllen. Teams, die Risiken zuerst bewerten und die Skala im Nachhinein begründen, konstruieren am Ende Anker rückwirkend passend zu bereits gewählten Zahlen – und Auditoren erkennen das schnell. Die Skala kommt zuerst, die Bewertungen folgen, und jede Änderung der Skala löst eine dokumentierte Überprüfung bestehender Bewertungen aus.

2. So definieren Sie Akzeptanzschwellenwerte, Geltungsbereich und Governance

Beginnen Sie damit, drei Begriffe zu trennen, die häufig vermischt werden. Risikoappetit ist das übergeordnete Risikomaß, das die Organisation bereit ist einzugehen, um ihre Ziele zu erreichen. Risikotoleranz ist die akzeptable Abweichung bei einem bestimmten Ziel. Risikoakzeptanzkriterien sind die operativen Schwellenwerte, die Ihre Bewerter anwenden: Unterhalb dieses Werts akzeptieren wir, darüber behandeln wir. Der Risikoappetit ist eine Führungsaussage, die Toleranz eine zielbezogene Grenze, und die Kriterien sind die Arbeitsregeln. Eine ausführlichere Behandlung des ersten Konzepts bietet unser Leitfaden zum ISO 27001-Risikoappetit, der zeigt, wie man ihn definiert und misst.

Formulieren Sie Schwellenwerte in einer Sprache, die ein Manager ohne Glossar lesen kann, und verknüpfen Sie jeden Schwellenwert mit einem Unternehmensziel. Einige Beispiele:

• „Wir akzeptieren Risiken, die zu einer geringfügigen, noch am selben Tag behobenen Unterbrechung kundenorientierter Dienste führen könnten."
• „Jedes Risiko, das regulierte Kundendaten gefährden könnte, wird ohne einen dokumentierten Behandlungsplan niemals akzeptiert."
• „Risiken, die als Hoch eingestuft wurden, erfordern einen namentlich benannten Verantwortlichen und ein Behandlungsdatum innerhalb des laufenden Quartals."

Beachten Sie, dass jede Aussage eine Bewertung mit etwas verbindet, das dem Unternehmen wichtig ist: Verfügbarkeit, regulatorischer Status, Kundenvertrauen. Diese Verbindung ist das, was einer Frage des Auditors nach dem „Warum dieser Schwellenwert?" standhält.

Governance ist der Punkt, an dem viele Programme scheitern. Die oberste Leitung sollte die Kriterien und Akzeptanzschwellenwerte genehmigen, nicht nur das Sicherheitsteam. Praktiker berichten regelmäßig, dass die frühzeitige formelle Einigung – insbesondere zu den Akzeptanzschwellenwerten – einen klaren Handlungsauftrag schafft und spätere Budgetgespräche erleichtert, da die Führungsebene bereits vereinbart hat, was „zu risikoreich" bedeutet. Halten Sie fest, wer wann und in welcher Version zugestimmt hat.

Der Geltungsbereich verdient dieselbe Sorgfalt. Geben Sie an, welche Assets, Prozesse, Standorte und Geschäftsbereiche die Kriterien abdecken. Wenn eine Abteilung eine andere Skala verwendet als eine andere, dokumentieren Sie den Grund. Gemischte Skalen innerhalb eines ISMS-Geltungsbereichs sind eine häufige Quelle von Abweichungen, da die Ergebnisse nicht mehr vergleichbar sind.

Ein in der Praxis bewährtes Governance-Dokument enthält:

• Die genehmigten Skalen für Eintrittswahrscheinlichkeit und Auswirkung mit Ankern
• Den Akzeptanzschwellenwert und wer Risiken darüber oder darunter akzeptieren darf
• Den Geltungsbereich, auf den die Kriterien anwendbar sind
• Den Überprüfungsrhythmus und die Auslöser, die eine frühere Überprüfung erzwingen
• Name, Rolle, Datum und Versionsnummer des Genehmigenden

Halten Sie es auf ein bis zwei Seiten. Kurze Kriteriendokumente werden gelesen, befolgt und ohne Reibungsverluste auditiert.

3. Eintrittswahrscheinlichkeit mit reproduzierbaren Skalen bewerten

Die Eintrittswahrscheinlichkeit ist die Bewertung, die zwischen Bewertern am häufigsten abweicht – geben Sie ihr daher die präzisesten Anker. Es gibt drei gängige Optionen, die alle ein Audit bestehen können, wenn sie konsistent angewendet werden:

• Qualitative Bezeichnungen: Selten, Möglich, Wahrscheinlich. Einfach und schnell, aber leicht unterschiedlich interpretierbar.
• Semi-quantitative 1–5-Skalen: Jede Zahl hat eine schriftliche Beschreibung. Dies ist die häufigste Wahl in ISO 27001-Programmen.
• Häufigkeitsbasierte Formulierungen: „Könnte etwa einmal in fünf Jahren eintreten" gegenüber „Könnte mehrmals im Jahr eintreten." Leichter zu verteidigen, da es auf etwas Beobachtbares verweist.

Welche Option Sie auch wählen: Legen Sie den Zeithorizont fest. Ein Risiko, das nächsten Monat unwahrscheinlich ist, kann über ein Jahrzehnt nahezu sicher werden. Geben Sie den Horizont in den Kriterien an, beispielsweise als definierten Bewertungshorizont, und halten Sie ihn im Register fest, damit jede Bewertung dasselbe bedeutet. NIST SP 800-30 macht denselben Punkt aus der Lebenszyklusperspektive: Wählen Sie Bewertungsskalen und -modelle, die dem Kontext und der Phase der Bewertung angemessen sind.

Anker sind das, was Bewertungen reproduzierbar macht. Eine beispielhafte 5-Punkte-Skala könnte lauten:

• 1, Selten: Wird innerhalb des Horizonts nicht erwartet; kein bekanntes Auftreten in unserer Branche oder unserer Geschichte.
• 2, Unwahrscheinlich: Könnte eintreten, würde aber ungewöhnliche Umstände erfordern.
• 3, Möglich: Ist bei vergleichbaren Organisationen aufgetreten; innerhalb des Horizonts plausibel.
• 4, Wahrscheinlich: Ist bei uns oder nahen Peers aufgetreten; unter aktuellen Maßnahmen zu erwarten.
• 5, Nahezu sicher: Tritt aktuell oder wiederholt auf; aktuelle Maßnahmen verhindern es nicht.

Die Formulierungen sind bewusst einfach gehalten. Wenn ein neuer Bewerter einen Skalenpunkt nach dem Lesen eines einzigen Satzes nicht anwenden kann, formulieren Sie ihn um.

Nachweise stärken Bewertungen der Eintrittswahrscheinlichkeit. Nutzen Sie Ihre eigene Vorfallshistorie, Beinahefehler-Protokolle, Ergebnisse von Schwachstellenscans und relevante Bedrohungsinformationen, um eine Bewertung zu begründen, und notieren Sie die Quelle im Register. Eine Bewertung als „Wahrscheinlich", die durch dokumentierte Phishing-Vorfälle gestützt wird, ist weit leichter zu verteidigen als dieselbe Bewertung, die nur auf Intuition basiert. Ältere NIST-Leitlinien, wie der archivierte Risikomanagement-Leitfaden für IT-Systeme, enthalten Beispieltabellen mit Definitionen zur Eintrittswahrscheinlichkeit, die Sie anpassen können, anstatt sie von Grund auf neu zu entwickeln.

Praxistipp: Lassen Sie Kollegen dieselben Risiken unabhängig voneinander nur anhand Ihrer schriftlichen Anker bewerten. Überall dort, wo ihre Bewertungen abweichen, liegt das Problem bei der Ankerformulierung – beheben Sie es, bevor Sie einführen.

4. Auswirkungen über alle für das Unternehmen relevanten Dimensionen bewerten

Auswirkungen beantworten eine andere Frage: Wie gravierend wäre es, wenn dieses Risiko eintreten würde? Da Informationssicherheitsvorfälle auf unterschiedliche Weisen schaden, definieren Sie Auswirkungen über mehrere Dimensionen hinweg und nicht über einen einzigen vagen „Schweregrad". Die übliche Zusammenstellung für ISO 27001-Programme umfasst:

• Vertraulichkeit: unbefugte Offenlegung sensibler oder regulierter Daten
• Integrität: Verfälschung oder unbefugte Änderung von Daten oder Systemen
• Verfügbarkeit: Verlust des Zugangs zu Systemen oder Informationen
• Finanziell: Direktverluste, Wiederherstellungskosten, Bußgelder, entgangene Einnahmen
• Regulatorisch und rechtlich: Verstoß gegen Gesetze, Verträge oder behördliche Anforderungen
• Reputationsbezogen: Verlust des Vertrauens von Kunden, Partnern oder der Öffentlichkeit
• Operativ: Unterbrechung der Erbringung von Produkten oder Dienstleistungen

Sie benötigen nicht jede Dimension in jedem Programm. Wählen Sie diejenigen aus, die Ihre Ziele widerspiegeln, und halten Sie dies in den Kriterien fest. Ein SaaS-Anbieter wird Verfügbarkeit und Vertraulichkeit stark gewichten; eine Klinik wird Vertraulichkeit und regulatorisches Risiko priorisieren.

Schreiben Sie für jede Dimension Anker für Niedrig, Mittel und Hoch oder für jeden Punkt einer 1–5-Skala. Zur Verfügbarkeit beispielsweise: Niedrig könnte einen kurzen Ausfall bedeuten, der nur interne Tools betrifft; Mittel könnte einen längeren Ausfall bedeuten, der einige Kunden betrifft; Hoch könnte einen anhaltenden Ausfall eines Kerndienstes bedeuten. Wenn Sie numerische Schwellenwerte wünschen, z. B. Bänder für Finanzverluste, legen Sie diese gemeinsam mit dem Finanzbereich fest und lassen Sie sie von der Leitung bestätigen. Übernehmen Sie niemals die Geldbeträge anderer Unternehmen; sie passen nicht zu Ihrer Größe oder Ihrem Risikoappetit.

Entscheiden Sie dann, wie mehrere Dimensionen zu einer Gesamtauswirkungsbewertung zusammengeführt werden. Zwei Ansätze dominieren:

• Worst-Case: Die Gesamtauswirkung entspricht der höchsten Dimension. Einfach, konservativ und einem Auditor gegenüber sehr leicht zu erklären.
• Gewichtet: Jede Dimension erhält eine Gewichtung, die die geschäftliche Priorität widerspiegelt. Differenzierter, aber schwieriger zu verteidigen und zu pflegen.

Für die meisten Organisationen ist der Worst-Case-Ansatz die bessere Standardwahl. Er vermeidet die Falle, bei der eine schwerwiegende Auswirkung auf die Vertraulichkeit durch eine geringfügige operative Auswirkung herausgemittelt wird.

Halten Sie abschließend Ihre Annahmen fest. Wenn Sie die Auswirkung als Hoch bewertet haben, weil das Asset Kundendatensätze enthält, geben Sie dies an und vermerken Sie, woher die Datenmengenangabe stammt. Auswirkungsbewertungen ohne genannte Annahmen wirken willkürlich; mit Annahmen wirken sie wie begründete Überlegungen.

5. Auswahl einer Risikomatrix: 3x3, 4x4 oder 5x5

Die Matrix ist die Regel, die eine Bewertung der Eintrittswahrscheinlichkeit und eine Auswirkungsbewertung in eine Risikostufe überführt. Die Größe ist ein Kompromiss zwischen Benutzerfreundlichkeit und Granularität.

• 3x3: Am schnellsten anwendbar und am leichtesten zu erklären. Geeignet für kleine Geltungsbereiche oder Programme im ersten Jahr, aber neun Felder fassen viele unterschiedliche Risiken zusammen, sodass die Priorisierung unscharf wirken kann.
• 4x4: Entfernt die bequeme mittlere Option und zwingt Bewerter, sich in eine Richtung zu entscheiden. Nützlich, wenn auch weniger verbreitet, weshalb Vorlagen seltener sind.
• 5x5: Bietet feinere Unterscheidungen und wird von Auditoren weithin anerkannt. Der Nachteil ist mehr Spielraum für Uneinigkeit zwischen benachbarten Bewertungen, weshalb sie starke Anker erfordert.

Bewährte Praxis favorisiert einfache qualitative oder semi-quantitative Matrizen in 3x3- oder 5x5-Form mit verständlichen Ankern gegenüber komplexen numerischen Skalen, die schwer zu verteidigen sind. Dem stimmen wir zu. Die Matrix, die ein Bewerter auch dienstagnachmittags identisch anwenden kann, schlägt die clevere, die eine Tabellenkalkulation zur Interpretation benötigt.

Für die Vertretbarkeit im Audit verwenden Sie kategoriale Zuordnungen statt Formeln. Anstatt „Risiko gleich Eintrittswahrscheinlichkeit mal Auswirkung, dann Gewichtungskurve anwenden" schreiben Sie eine Tabelle, die angibt, welche Kombinationen Niedrig, Mittel, Hoch oder Kritisch sind. Eine Multiplikation kann dahinter stehen, aber die Kategorien sind das, was Sie steuern. Unsere 5x5-Risikomatrix-Vorlage zeigt eine für Audits konzipierte Version.

Jede Kategorie sollte eine definierte Maßnahme und einen Verantwortlichen auslösen. Ein allgemeines Beispiel:

Einige Regeln halten die Zuordnung konsistent:

• Jedes Feld in der Matrix ordnet sich genau einer Kategorie zu.
• Jede Kategorie ordnet sich einer Standardmaßnahme zu.
• Ausnahmen erfordern eine schriftliche Begründung und einen namentlich benannten Genehmiger.
• Verantwortliche sind Personen, keine Abteilungen.

Wenn Ihre Matrix nicht auf einer Seite zusammengefasst werden kann, ist sie wahrscheinlich zu komplex, um konsistent angewendet zu werden.

6. Kriterien und Bewertungsnachweise für Prüfer dokumentieren

Eine vertretbare Bewertung ist eine, die jemand anderes rekonstruieren kann. Das bedeutet, dass Ihr Register genug Kontext erfasst, um die Überlegungen Monate später nachvollziehen zu können. Die Mindestfelder sind: Asset, Kontext, Bedrohung, Schwachstelle, bestehende Maßnahmen, Eintrittswahrscheinlichkeit, Auswirkung, Punktzahl, Verantwortlicher, Datum, Annahmen und Nachweise.

Befolgen Sie darüber hinaus folgende Praktiken:

1. Schreiben Sie für jede Bewertung eine ein- bis zweiständige Begründung. „Als Wahrscheinlich bewertet, weil Phishing in drei Vorfällen letztes Jahr Mitarbeiterpostfächer erreicht hat und das Awareness-Training nur jährlich stattfindet" ist eine Begründung. „Wahrscheinlich" allein ist keine.
2. Verknüpfen Sie jedes Risiko mit der Behandlung und der SoA. Halten Sie fest, welche Annex A-Maßnahme es adressiert und warum diese Maßnahme gewählt wurde, damit die Kette von Risiko zu Maßnahme sichtbar ist.
3. Versionieren und genehmigen Sie Maßnahmen. Nummerieren Sie Ihr Kriteriendokument, protokollieren Sie Änderungen und bewahren Sie frühere Versionen auf. Auditoren können fragen, welche Version galt, als eine bestimmte Bewertung durchgeführt wurde.
4. Bewahren Sie Nachweise dort auf, wo Auditoren sie finden können. Vorfalltickets, Scan-Berichte, Bedrohungshinweise und Besprechungsprotokolle sollten vom Register aus referenziert werden, nicht in Postfächern verteilt sein.
5. Legen Sie einen Überprüfungsrhythmus fest und benennen Sie die Auslöser. Überprüfen Sie die Kriterien regelmäßig, wie Implementierungsleitfäden allgemein empfehlen, und früher nach einem schwerwiegenden Vorfall, einer wesentlichen Änderung des Geltungsbereichs oder der Technologie, einer neuen Verordnung oder einer strategischen Neuausrichtung.

Behandeln Sie das Register als ein lebendiges Dokument. Ein Register, das vor achtzehn Monaten mustergültig befüllt wurde und seitdem nicht mehr angefasst wurde, ist ein Befund in der Warteschleife. Einen vollständigen Workflow rund um diese Aufzeichnungen finden Sie in unserem Leitfaden zur ISO 27001-Risikobewertungsmethodik.

Teams, die Kriterien in die tägliche Härtungspraxis übersetzen, suchen manchmal nach einer verständlichen Einführung in die Grundlagen. Diese Übersicht zu Website-Sicherheitsgrundlagen behandelt praktische Schritte für kleine Unternehmen und ergänzt gut die Maßnahmenauswahl, die auf Ihre Bewertung folgt.

7. Risikokriterien mit Behandlungsentscheidungen und der SoA verknüpfen

Kriterien zahlen sich aus, wenn sie Entscheidungen antreiben. Der Akzeptanzschwellenwert sagt Ihnen, welche Risiken Sie leben können und welche Maßnahmen erfordern. Die ISO 27001-Risikobehandlungsleitlinien unseres Teams erläutern diesen Schritt im Detail, und die Logik ist unkompliziert:

• Unterhalb des Schwellenwerts: akzeptieren, die Akzeptanz dokumentieren und überwachen.
• Am oder über dem Schwellenwert: eine Behandlung wählen: durch Maßnahmen reduzieren, durch Versicherung oder Vertrag übertragen, durch Einstellung der Aktivität vermeiden oder – mit Managementgenehmigung – trotz der Bewertung akzeptieren.
• Über der Eskalationslinie: an die oberste Leitung weiterleiten. Definieren Sie diese Linie in Ihren Kriterien, damit Eskalation eine Regel ist, kein Ermessensspielraum.

Wenn Sie Annex A-Maßnahmen für die Erklärung zur Anwendbarkeit auswählen, verknüpfen Sie jede Aufnahme mit einem Risiko, einem Bewertungsergebnis oder einer gesetzlichen oder vertraglichen Anforderung. „Aufgenommen, weil die Risiken R-014 und R-021 als Hoch bewertet wurden und diese Maßnahme die Eintrittswahrscheinlichkeit reduziert" ist eine Begründung, die ein Auditor nachprüfen kann. Ausschlüsse benötigen ebenfalls Begründungen.

Um die Behandlung handlungsfähig zu machen:

• Überführen Sie jede Kategorie in eine Arbeitswarteschlange: Kritisch zuerst, dann Hoch und so weiter.
• Weisen Sie jeder Aufgabe einen Verantwortlichen, ein Fälligkeitsdatum und eine Verknüpfung mit dem Registereintrag zu.
• Schätzen Sie Aufwand und Kosten, damit Pläne realistisch finanziert werden. Unsere Risikobehandlungsplan-Vorlage ordnet Risiken Annex A-Maßnahmen und SoA-Einträgen in einem auditfähigen Layout zu.
• Halten Sie das Restrisiko nach der Behandlung fest und bestätigen Sie, dass es innerhalb des Akzeptanzschwellenwerts liegt.

Veränderungen sind unvermeidlich. Wenn sich Kriterien, Geltungsbereich oder Geschäftskontext ändern, bewerten Sie betroffene Risiken neu, überdenken Sie Behandlungsentscheidungen und aktualisieren Sie die SoA. Führen Sie ein Änderungsprotokoll, das festhält, was sich geändert hat und wer es genehmigt hat. Auditoren bestrafen selten Veränderungen; sie bestrafen nicht erklärte Veränderungen.

8. Anpassungsfertige Skalenvorlagen und ein Praxisbeispiel

Hier ist eine 3x3-Matrix mit verständlichen Ankern, die Sie in Ihr Kriteriendokument übernehmen können.

Und eine 5x5-Version mit Bewertungsbändern, die auf das Produkt der beiden Bewertungen angewendet werden:

Praxisbeispiel. Die nachstehenden Angaben sind illustrativ und keine Marktdaten.

Beachten Sie, wie die Begründung Nachweise zitiert und die Maßnahme den Schwellenwert nennt. Diese Kombination ist es, was ein Auditor sehen möchte.

Musterformulierung für die Genehmigung: „Die oberste Leitung hat die Informationssicherheits-Risikokriterien einschließlich der Skalen für Eintrittswahrscheinlichkeit und Auswirkung sowie des Risikoakzeptanzschwellenwerts für den genannten ISMS-Geltungsbereich geprüft und genehmigt. Risiken, die als Hoch oder Kritisch bewertet wurden, erfordern einen dokumentierten Behandlungsplan, und Behandlungsentscheidungen werden in der Erklärung zur Anwendbarkeit abgebildet. Genehmigt von [Name, Rolle] am [Datum]." Ersetzen Sie die Angaben in Klammern durch echte Namen und Daten, bevor Sie das Dokument ablegen.

9. Warum Sie sich auf diese Anleitung verlassen können

Der in diesem Artikel dargelegte Ansatz folgt der Struktur von ISO/IEC 27001, den Leitlinien von ISO/IEC 27005 und den Risikokonzepten aus NIST SP 800-30. ISO/IEC 27001 liefert die Anforderung, dass Kriterien existieren und konsistent angewendet werden. ISO/IEC 27005 liefert die Erwartung, dass Sie Bewertungs-, Auswirkungs- und Akzeptanzkriterien definieren, die zu Ihrem Kontext passen. NIST SP 800-30 liefert das Risikomanagement-Vokabular und Beispieldefinitionen für Skalen, die das Schreiben verständlicher Anker erleichtern.

Wir haben ISMS Calculator nach denselben Grundsätzen aufgebaut. Unsere Plattform liefert organisationsspezifische Schätzungen, Referenzvergleiche mit Modellen, eine Reifegradbewertung über ISO-Domänen hinweg, Vorlagen und exportierbare Dokumentation. Unsere Methodik ist nachvollziehbar und versioniert, mit transparenten Annahmen, die Sie einsehen und hinterfragen können.

Sie können mit unserem kostenlosen Angebot beginnen. Unser kostenloser 2-Minuten-Check gibt Ihnen einen schnellen Überblick über Ihre Bereitschaft, und unsere Vorlagenrtikel zur Risikomatrix und zum Behandlungsplan sind zur Anpassung bereit. Nutzen Sie sie als Ausgangspunkt und passen Sie die Anker dann an Ihr eigenes Unternehmen an.

10. Mein Rat zur Einführung der Kriterien

Fangen Sie klein an. Wählen Sie eine Geschäftseinheit oder eine Domäne aus, wenden Sie Ihre Entwurfsmatrix dort an, und holen Sie die Managementgenehmigung für diesen Piloten ein, bevor Sie den Geltungsbereich ausweiten. Iterieren Sie über die Anker, dann standardisieren Sie.

Testen Sie Ihre Skala anhand der Realität, bevor Sie sich festlegen. Nehmen Sie eine Handvoll Vorfälle, die Ihre Organisation tatsächlich erlebt hat, und bewerten Sie sie mit Ihren Entwurfsankern. Wenn ein schmerzhafter Ausfall in der Niedrig-Spalte landet, sind Ihre Anker falsch – und es ist weit günstiger, das in einem Piloten zu lernen als in einem Audit. Widerstehen Sie dem Drang, mehr Präzision hinzuzufügen. Jeder zusätzliche Skalenpunkt ist ein weiterer Ort, an dem zwei Bewerter uneinig sein können.

— Martin

11. Wie wir Ihnen helfen, vertretbare Kriterien schneller zu dokumentieren

Kriterien von Hand zu schreiben funktioniert, aber Versionierung, Benchmarking und der Export von Nachweisen sind die Bereiche, in denen Stunden verloren gehen. Wir haben ISMS Calculator entwickelt, um Ihnen diese Last abzunehmen. Unser Tool liefert organisationsspezifische Schätzungen, Referenzvergleiche mit Modellen, Reifegradmapping über ISO-Domänen hinweg und exportierbare Berichte mit einer nachvollziehbaren, versionierten Methodik. Verwenden Sie es zusammen mit Ihren manuellen Vorlagen, um die Dokumentation konsistent und auditfähig zu halten. Sobald Ihre Risiken bewertet sind, schätzt unser ISO 27001-Kostenrechner Implementierungskosten und -aufwand, und unser kostenloser 2-Minuten-Check zeigt Ihnen, wo Sie heute stehen.

Starten Sie mit dem kostenlosen 2-Minuten-Bereitschaftscheck, um einen schnellen Überblick über Ihre Bereitschaft zu erhalten.

FAQ

Was sind Risikokriterien in ISO 27001?

Risikokriterien sind die dokumentierten Regeln, die Sie zur Risikobewertung verwenden: die Skalen für Eintrittswahrscheinlichkeit und Auswirkung, die Methode zur Kombination dieser Werte und die Schwellenwerte, die darüber entscheiden, ob ein Risiko akzeptabel ist. ISO/IEC 27001 erwartet, dass sie definiert und aufrechterhalten werden, damit Bewertungen konsistent und vergleichbar sind.

Welche ISO-Norm gilt für Risiko?

Im Bereich Informationssicherheit legt ISO/IEC 27001 die Anforderung fest, Risiken innerhalb eines ISMS zu bewerten und zu behandeln; ISO/IEC 27005 liefert Leitlinien zur Steuerung dieser Risiken. ISO/IEC 27005 schreibt keine bestimmte Methode vor, sodass Sie Kriterien definieren, die zu Ihrem Kontext passen.

Was sind die Schritte einer standardmäßigen Sicherheitsrisikobewertung?

Die meisten Modelle folgen demselben Ablauf: vorbereiten, Assets, Bedrohungen und Schwachstellen identifizieren, Eintrittswahrscheinlichkeit und Auswirkung bewerten, die Risikostufe bestimmen, dann Ergebnisse kommunizieren und die Bewertung pflegen. NISTs Leitfaden zur Risikobewertung beschreibt diesen Lebenszyklus aus Vorbereiten, Durchführen und Pflegen.

Wie groß sollte meine Risikomatrix sein?

Wählen Sie die kleinste Matrix, die die Risiken, die Sie priorisieren müssen, noch voneinander trennt. Eine 3x3-Matrix eignet sich für kleine Geltungsbereiche und Programme im ersten Jahr, während eine 5x5-Matrix eine feinere Einstufung ermöglicht, sofern Ihre Anker stark sind. Konsistenz ist wichtiger als die Größe.

Quellen

• NIST Special Publication 800-30 Revision 1, Leitfaden zur Durchführung von Risikobewertungen
• Guide for Conducting Risk Assessments | NIST
• ISO/IEC 27001:2022 – Informationssicherheits-Managementsysteme
• INTERNATIONALE NORM

Empfohlen

• ISO 27001 Risikomatrix: 5×5-Vorlage für auditfähige Informationssicherheit
• Auditfähiges ISO 27001 Risikoregister: Kopierfertige Excel-Zeilen mit Annex A-Mapping
• Auditfähige ISO 27001 Risikobehandlungsplan-Vorlage für ISMS-Teams
• ISO 27001 Risikobewertung: Ein vollständiger Methodikleitfaden