Risikoregister und Methodik der Risikoanalyse für NIS2

Das Dokument

Was Risikoregister in Excel regelt

Das Risikoregister (NIS-RG-03) ist eine Excel-Arbeitsmappe mit den Blättern Deckblatt, Risiken, Behandlungsplan, Nachweise und Listen. Im Blatt Risiken erfassen Sie je Risiko den Betrachtungsgegenstand, Bedrohung und Schwachstelle, den Bereich nach § 30 Abs. 2 BSIG, die vorhandenen Maßnahmen, Eintritt und Auswirkung je 1 bis 4, die gewählte Behandlung mit Verantwortlichem und Termin und später das Restrisiko. Risikowert, Stufe und Restrisiko rechnet die Tabelle. Vorbereitet sind Zeilen für 80 Risiken und 60 Maßnahmen, drei Beispielzeilen zeigen das Ausfüllen.

Die Methodik der Risikoanalyse (NIS-VF-02) ist das Verfahren dazu, eine Word-Datei mit 10 Seiten. Sie beschreibt die vier Gruppen von Betrachtungsgegenständen (Werte, Prozesse, Systeme, Dienstleister), den Ablauf in sieben Schritten, die Skalen für Eintrittswahrscheinlichkeit und Auswirkung mit Beträgen und Ausfallzeiten in eckigen Klammern, die Risikomatrix mit den Stufen gering, mittel, hoch und sehr hoch sowie die vier Behandlungsoptionen Vermindern, Vermeiden, Übertragen und Akzeptieren.

Register und Methodik verwenden dieselbe Skala: Der Risikowert ist das Produkt aus Eintritt und Auswirkung, 1 bis 3 gilt als gering, 4 bis 7 als mittel, 8 bis 11 als hoch und 12 bis 16 als sehr hoch. Änderungen an der Skala oder den Schwellen gibt die Geschäftsleitung frei, und sie werden im Register gleichzeitig nachgezogen, damit Verfahren und Register nicht voneinander abweichen.

Einsatz

Wofür Sie das Risikoregister brauchen

§ 30 Abs. 2 Nr. 1 BSIG nennt Konzepte für die Risikoanalyse als ersten Bereich der Risikomanagementmaßnahmen. Nach § 30 Abs. 1 BSIG richtet sich das Maß der Maßnahmen unter anderem nach der Risikoexposition, der Größe der Einrichtung, den Umsetzungskosten sowie nach Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle. Methodik und Register machen diese Abwägung nachvollziehbar: Jede Maßnahme lässt sich auf ein bewertetes Risiko zurückführen, jedes angenommene Risiko auf eine dokumentierte Entscheidung.

Das Register ist zugleich die Grundlage für den Bericht an die Geschäftsleitung nach der Nachweisvorlage Umsetzung und Überwachung, mit der die Geschäftsleitung ihre Pflichten nach § 38 Abs. 1 BSIG belegt, also Umsetzung und Überwachung. Die Methodik sieht einen regelmäßigen Bericht über die Zahl der Risiken je Stufe, überfällige Maßnahmen und neu angenommene Risiken vor und einmal im Turnus einen vollständigen Bericht über die Risikolage. Den Rhythmus legen Sie fest.

Neben dem regulären Durchlauf nennt die Methodik Anlässe für eine Bewertung außerhalb des Turnus, etwa einen Sicherheitsvorfall der Stufe hoch oder erheblich, einen neuen Dienstleister mit Zugang zu Systemen oder Daten oder eine Schwachstelle, die nicht innerhalb der Frist geschlossen werden kann.

Wie die Dokumente zusammenspielen

Die beiden Dokumente teilen sich die Arbeit. Die Methodik (Word) legt fest, wie bewertet und entschieden wird: Rollen, Betrachtungsgegenstände, Ablauf, Skalen, Akzeptanzkriterien, Behandlungsoptionen und die Bedrohungsliste in Anhang A. Das Register (Excel) nimmt die Ergebnisse auf und rechnet Risikowert, Stufe und Restrisiko. Die Methodik bestimmt das Register ausdrücklich als einzige Ablage für Risiken, Bewertungen, Entscheidungen und Maßnahmen: Was nur in E-Mails oder Protokollen steht, gilt erst als erfasst, wenn es dort eingetragen ist.