Drei Bausteine konkretisieren den zuvor beschriebenen vierstufigen Risikomanagement-Prozess:
Offizielle Standards und Frameworks geben Ihrem Unternehmen einen organisatorischen und fachlichen Rahmen für das IT-Risikomanagement.
Methoden helfen dabei, konkrete Risiken zu analysieren und zu bewerten.
Software-Lösungen unterstützen anschließend bei der Dokumentation, Steuerung und Überwachung.
Standards und Frameworks für das IT-Risikomanagement
Standards und Frameworks legen unter anderem Anforderungen, Abläufe und Verantwortlichkeiten für das IT-Risikomanagement in Ihrer Firma fest. Die Frameworks verfolgen unterschiedliche Schwerpunkte: Der BSI-Standard 200-3 und die Norm ISO/IEC 27005 geben beispielsweise konkrete Orientierung für die Risikoanalyse. NIST CSF und COBIT betrachten das Risikomanagement stärker im Zusammenhang mit Cybersicherheit bzw. IT-Governance.
- BSI = Bundesamt für Sicherheit in der Informationstechnik
- NIST = National Institute of Standards and Technology
- CSF = Cyber Security Framework
- COBIT = Control Objectives for Information and Related Technology
Überblick über die gängigsten Standards für das IT-Risikomanagement
BSI-Standard 200-3 und IT-Grundschutz
Deutsches Vorgehensmodell für den Aufbau eines ISMS sowie die systematische Absicherung von Geschäftsprozessen und IT-Systemen. Der BSI-Standard 200-3 beschreibt die Risikoanalyse auf Basis des IT-Grundschutzes
Geeignet für: Behörden sowie Unternehmen jeder Größe, die sich an den Empfehlungen des BSI orientieren oder ihre Informationssicherheit schrittweise und strukturiert aufbauen möchten
ISO/IEC 27001 und ISO/IEC 27005
International anerkannte Standards für Informationssicherheits-Management. ISO/IEC 27001 definiert die Anforderungen an ein ISMS (zertifizierbar). ISO/IEC 27005 ergänzt Leitlinien für das Risikomanagement (nicht zertifizierbar).
Geeignet für: Unternehmen jeder Größe, die ein international anerkanntes ISMS aufbauen, eine Zertifizierung anstreben oder entsprechende Anforderungen von Kunden und Partnern erfüllen müssen
NIST CSF 2.0
Freiwilliges und technologieunabhängiges Framework zur Steuerung von Cybersicherheitsrisiken anhand der Funktionen Govern, Identify, Protect, Detect, Respond und Recover
Geeignet für: Unternehmen jeder Größe und Sicherheitsreife, die ein flexibles, ergebnisorientiertes Rahmenwerk ohne unmittelbares Zertifizierungsziel suchen
COBIT
Framework für die Governance und das Management der gesamten Unternehmens-IT. Es verbindet Geschäftsziele mit IT-Prozessen, Verantwortlichkeiten, Kontrollen und Messgrößen.
Geeignet für: Vor allem Unternehmen mit komplexen IT-Strukturen sowie ausgeprägten Governance-, Prüfungs- oder Compliance-Anforderungen
Verantwortlichkeiten für das IT-Risikomanagement
Unabhängig vom gewählten Rahmenwerk benötigt Ihr Unternehmen klare Verantwortlichkeiten für das IT-Risikomanagement:
Die Geschäftsführung legt Sicherheitsziele, aufzuwendende Ressourcen und Akzeptanzgrenzen für Risiken fest.
IT-Sicherheitsverantwortliche koordinieren das Risikomanagement abteilungsübergreifend.
System- und Prozessverantwortliche bewerten Risiken und setzen Maßnahmen zur Steuerung dieser Risiken um.
Ein Information Security Management System – kurz ISMS – führt diese Aufgaben in einem einheitlichen Managementsystem zusammen. Es bündelt Richtlinien, Risikoanalysen, Maßnahmen, Zuständigkeiten und Nachweise. Dadurch wird IT-Risikomanagement zu einem nachvollziehbaren und wiederholbaren Prozess. 
