¶ NIS2-Risikomethodik
Methodikentwurf: Diese Seite enthält keine Bewertung eines realen Unternehmens. Skalen, Schwellenwerte, Risikoappetit, relevante Dienste, Freigabestufen und Farben sind Musterwerte und müssen vor Verwendung organisationsbezogen kalibriert und genehmigt werden.
Ampelgrenze: Eine grüne Risikostufe bedeutet nicht automatisch „gesetzlich erfüllt“ oder „keine Maßnahme erforderlich“. Verbindliche Anforderungen, Mindestmaßnahmen und festgestellte Kontrollmängel bleiben unabhängig von der Farbe zu bearbeiten.
Die NIS2-Risikomethodik verbindet relevante Dienste, nachvollziehbare Risikoszenarien, vorhandene Kontrollen, Unsicherheiten und Behandlungsentscheidungen. Sie soll nicht nur eine Zahl erzeugen, sondern der Geschäftsleitung zeigen, welche Dienste gefährdet sind, warum die Bewertung plausibel ist, welche Maßnahmen wirken und welche Entscheidung erforderlich wird.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-MA-02-01 |
| Dokumentenart | Methodik für dienstbezogene Cyberrisiken |
| Wiki.js-Pfad | /NIS2/02-Risikomanagement-und-Nachweise/NIS2-Risikomethodik |
| Prozesseigner | Geschäftsleitung / NIS2-Risikokoordination |
| Methodikverantwortung | Informationssicherheits- und Risikomanagementfunktion |
| Status | Entwurf – Skalen, Risikoappetit, Ampelgrenzen und Scope nicht freigegeben |
| Version / Stand | 0.3 / 09.08.2026 |
| Schutzklasse | Intern; konkrete Bedrohungen, Schwachstellen und Szenarien geschützt |
| Rechtsbezug | § 30 Absätze 1 und 2 BSIG; Artikel 21 NIS2-Richtlinie |
| Regelprüfung | mindestens jährlich und anlassbezogen; Einzelrisiken nach Kritikalität |
Cyberrisiken dienstbezogen, nachvollziehbar und entscheidungsorientiert bewerten. Eigene redaktionelle SVG-Grafik; zum Vergrößern öffnen.
¶ 1. Schnellübersicht der Risikoampel
Die Ampel kombiniert Farbe, Symbol, Buchstabe und Klartext. Dadurch bleibt die Aussage auch bei eingeschränktem Farbsehen, Graustufendruck oder Export verständlich.
Score 1–4 · überwachen und planmäßig überprüfen
Score 5–9 · Behandlung prüfen und begründet entscheiden
Score 10–16 · priorisiert behandeln und Leitung informieren
Score 17–25 · unverzüglich eskalieren und Zwischenmaßnahmen prüfen
Die Schwellen sind ein Kalibrierungsbeispiel. Sie sind weder gesetzlich vorgegeben noch für jede Organisation geeignet. Kritische Einzelwirkungen, verbindliche Pflichten oder hohe Unsicherheit können eine strengere Behandlung auslösen als der rechnerische Score.
¶ 2. Zweck und erwartete Arbeitsergebnisse
Die Methodik soll sicherstellen, dass
- Risiken von freigegebenen relevanten Diensten ausgehen,
- Szenarien Ursachen, Schwachstellen, Ereignisse und Folgen verbinden,
- der gefahrenübergreifende Ansatz angewendet wird,
- Eintritt und Auswirkungen anhand beobachtbarer Kriterien eingestuft werden,
- Annahmen und Datenqualität sichtbar bleiben,
- Kontrollen nur bei nachgewiesener Umsetzung und Wirkung risikomindernd berücksichtigt werden,
- Behandlung, Akzeptanz und Eskalation zu Risiko und Pflichtbezug passen,
- Bewertungen vergleichbar, reproduzierbar und regelmäßig überprüfbar sind.
Arbeitsergebnisse sind freigegebene Kriterien, dokumentierte Risikoszenarien, ein NIS2-Risikoregister, Behandlungsentscheidungen, Maßnahmen mit Ownern und Fristen, Risikoakzeptanzen, Wirksamkeitsnachweise und Managementberichte.
¶ 3. Gesetzlicher und methodischer Rahmen
§ 30 Absatz 1 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Bei der Verhältnismäßigkeit sind Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie gesellschaftliche und wirtschaftliche Auswirkungen zu berücksichtigen. Absatz 2 fordert einen gefahrenübergreifenden Ansatz und nennt die Mindestbereiche der Maßnahmen.
Die Methodik unterstützt diese Beurteilung, ersetzt aber keine Prüfung von Betroffenheit, Vorrangregeln oder sektoralen Anforderungen. Für bestimmte digitale Einrichtungsarten sind die detaillierten Anforderungen der Durchführungsverordnung (EU) 2024/2690 zu berücksichtigen. Bestehende Verfahren nach ISO 27001, ISO 31000 oder BSI-Standard 200-3 können integriert werden, wenn Scope, Skalen und Entscheidungsregeln zur Organisation passen.
¶ 4. Grundsätze der Bewertung
- Dienstbezug: Bewertungsanker ist ein relevanter Dienst, nicht nur ein einzelner Server.
- Szenariobezug: Ein Risiko wird als mögliche Entwicklung mit Ursache, Ereignis und Wirkung beschrieben.
- Gefahrenübergreifend: Cyberangriffe, menschliche, technische, physische, organisatorische und umweltbedingte Ursachen werden betrachtet.
- Belegbarkeit: Kriterien, Annahmen, Quellen und Unsicherheiten werden dokumentiert.
- Keine Scheingenauigkeit: Punktwerte unterstützen Entscheidungen, ersetzen aber keine fachliche Begründung.
- Kontrollrealismus: Geplante oder nur dokumentierte Kontrollen reduzieren das Restrisiko nicht automatisch.
- Vorsorge: Hohe Unsicherheit und mögliche Kaskadeneffekte werden nicht durch fehlende historische Vorfälle verharmlost.
- Nachsteuerung: Vorfälle, Änderungen, Tests und neue Bedrohungen aktualisieren die Bewertung.
¶ 5. Bewertungsobjekt und Scope
Ausgangspunkt ist ein freigegebener relevanter Dienst. In die Bewertung fließen die zur Diensterbringung erforderlichen Elemente ein:
- Geschäfts- und Unterstützungsprozesse,
- Netz- und Informationssysteme, Komponenten und Anwendungen,
- Informationen, Datenflüsse und Schnittstellen,
- Identitäten, Rollen und privilegierte Berechtigungen,
- Standorte, Rechenzentren und Versorgung,
- unmittelbare Anbieter und Diensteanbieter,
- Cloud-, Plattform- und Managed-Service-Abhängigkeiten,
- Backup-, Wiederanlauf- und Notfallfähigkeiten,
- regulatorische, vertragliche und gesellschaftliche Wirkungen.
Für jedes Risiko werden Scope-Grenzen und ausgeschlossene Elemente begründet. Querschnittsrisiken können mehrere Dienste betreffen; sie erhalten eine führende Bewertung und eindeutige Verknüpfungen statt unkontrollierter Kopien.
¶ 6. Rollen und Entscheidungskompetenzen
| Rolle | Aufgabe in der Risikomethodik |
|---|---|
| Geschäftsleitung | Risikoappetit, Toleranzen, Eskalationsgrenzen und wesentliche Akzeptanzen genehmigen |
| NIS2-/Risikokoordination | Methodik pflegen, Bewertungen moderieren, Qualität und Fristen überwachen |
| Dienst-/Prozess-Owner | Kritikalität, Auswirkungen, Mindestbetriebsniveau und betriebliche Annahmen bestätigen |
| Asset-/System-Owner | technische Exposition, Schwachstellen, Abhängigkeiten und Kontrollen beitragen |
| Informationssicherheitsfunktion | Bedrohungen, Szenarien, Kontrollwirkung und Restrisiko plausibilisieren |
| BCM/Notfallmanagement | Ausfallfolgen, Wiederanlaufziele und Notbetriebsfähigkeit bewerten |
| Einkauf/Lieferantenmanagement | Anbieter-, Konzentrations- und Auslagerungsrisiken beitragen |
| Datenschutz/Recht/Compliance | personenbezogene, gesetzliche, vertragliche und Meldefolgen bewerten |
| Maßnahmen-Owner | Behandlung, Ressourcen, Frist und Wirksamkeitsnachweis verantworten |
| unabhängige Prüfung/Audit | Methodikanwendung und Stichproben auf Nachvollziehbarkeit prüfen |
Selbstbewertung, Maßnahmenverantwortung und Risikoakzeptanz werden bei hohen oder kritischen Risiken angemessen getrennt. Die Geschäftsleitung darf eine Bewertung fachlich hinterfragen, aber Unsicherheiten oder Pflichten nicht allein durch Herabstufung der Punktzahl beseitigen.
¶ 7. Bewertungsprozess
- relevanten Dienst, Owner und Bewertungsstichtag bestimmen,
- Scope, Assets, Abhängigkeiten und Mindestbetriebsniveau erfassen,
- Quellen und aktuelle Bedrohungsinformationen zusammentragen,
- Risikoszenario formulieren,
- inhärente Auswirkung und Eintrittswahrscheinlichkeit bewerten,
- Datenqualität und Unsicherheit einstufen,
- vorhandene Kontrollen und deren Wirksamkeitsstatus prüfen,
- Restrisiko begründet bewerten,
- Behandlungsoption und Maßnahmen festlegen,
- Freigabe oder Eskalation durchführen,
- Nachweise, Reviewtermin und Änderungsereignisse dokumentieren,
- Ergebnisse aggregieren und der Geschäftsleitung berichten.
Jeder Schritt hinterlässt einen nachvollziehbaren Datensatz. Eine Bewertung ohne Dienst, Szenario, Kriterienbezug, Owner und Stichtag ist unvollständig.
¶ 8. All-Gefahren-Ansatz
Die Risikoidentifikation betrachtet mindestens:
- gezielte Angriffe, Schadsoftware, Erpressung und Sabotage,
- Missbrauch von Identitäten und privilegierten Zugängen,
- menschliche Fehler, Fehlbedienung und Social Engineering,
- Software-, Hardware-, Konfigurations- und Schnittstellenfehler,
- Schwachstellen, veraltete Komponenten und fehlende Patches,
- Lieferketten-, Cloud- und Managed-Service-Ausfälle,
- Konzentrations- und Unterauftragnehmerrisiken,
- Strom-, Telekommunikations-, Kühlungs- und Versorgungsausfälle,
- Feuer, Wasser, Hitze, Naturereignisse und physischer Zutritt,
- Personalausfall, Wissenskonzentration und organisatorische Fehler,
- fehlerhafte oder manipulierte Daten und Automatisierungen,
- gleichzeitige oder kaskadierende Ereignisse.
Die Liste ist kein abgeschlossener Gefährdungskatalog. Dienstspezifische Gefährdungen werden ergänzt.
¶ 9. Risikoszenario formulieren
Ein verständliches Szenario folgt beispielsweise diesem Muster:
Wenn
[Ursache oder Bedrohung]auf[Schwachstelle oder Abhängigkeit]trifft, kann[Ereignis]eintreten. Dadurch kann[relevanter Dienst]für[Dauer/Umfang]beeinträchtigt werden und[betriebliche, wirtschaftliche, gesellschaftliche oder rechtliche Wirkung]entstehen.
Ein Szenario ist weder zu allgemein („Cyberangriff“) noch unnötig produktspezifisch. Es muss bewertbar bleiben und eine Behandlungsentscheidung ermöglichen. Varianten mit wesentlich anderen Auswirkungen oder Kontrollen werden getrennt bewertet.
¶ 10. Quellen der Risikoidentifikation
Geeignete Quellen sind:
- Dienst-, Prozess-, Asset- und Abhängigkeitsregister,
- Kritikalitäts- und Business-Impact-Analysen,
- Schwachstellen- und Patchinformationen,
- Bedrohungsinformationen von BSI, CERTs, Herstellern und Branchenstellen,
- Vorfälle, Beinahevorfälle und Lessons Learned,
- Ergebnisse von Audits, Übungen und technischen Tests,
- Lieferantenbewertungen und Serviceberichte,
- Architektur-, Standort- und Projektprüfungen,
- Rechts-, Aufsichts- und Vertragsanforderungen,
- Änderungen an Diensten, Organisation oder Technik.
Quellen erhalten Datum, Gültigkeitsbereich und Verantwortliche. Veraltete oder nicht überprüfbare Quellen werden als Unsicherheit ausgewiesen.
¶ 11. Skala der Eintrittswahrscheinlichkeit
Die Beispielskala kombiniert Häufigkeit, Exposition, Ausnutzbarkeit, Bedrohungsaktivität und vorhandene Erkenntnisse. Zeitangaben sind nur Orientierung und müssen zum betrachteten Dienst passen.
| Wert | Bezeichnung | Musterkriterien vor Kalibrierung |
|---|---|---|
| 1 | sehr selten | nur unter außergewöhnlichen Bedingungen plausibel; geringe Exposition; keine konkreten Hinweise |
| 2 | selten | möglich, aber besondere Voraussetzungen erforderlich; wenige passende Beobachtungen |
| 3 | möglich | realistische Voraussetzungen; vergleichbare Ereignisse oder relevante Schwachstellen bekannt |
| 4 | wahrscheinlich | deutliche Exposition, aktive Bedrohung oder wiederkehrende vergleichbare Ereignisse |
| 5 | sehr wahrscheinlich | unmittelbar bevorstehend, bereits eingetreten, fortlaufend beobachtet oder leicht wiederholbar |
Bei seltenen Ereignissen mit sehr hoher Wirkung ist fehlende Historie kein Beweis für geringe Wahrscheinlichkeit. Annahmen, Zeitbezug und Quellen werden mit der Stufe dokumentiert.
¶ 12. Auswirkungsdimensionen
Die Auswirkung wird nicht ausschließlich finanziell bewertet. Mindestens folgende Dimensionen werden betrachtet:
| Dimension | Beispiele für Kriterien |
|---|---|
| Diensterbringung | Dauer, Umfang, betroffene Empfänger, Mindestbetriebsniveau, Wiederanlauf |
| Verfügbarkeit | Ausfall, Verzögerung, Kapazitätsverlust, fehlende Ersatzverfahren |
| Integrität und Authentizität | falsche Ergebnisse, manipulierte Daten, fehlerhafte Entscheidungen |
| Vertraulichkeit | Offenlegung sensibler Informationen, Geschäfts- oder Personenschäden |
| Sicherheit von Personen | Gesundheit, körperliche Sicherheit oder gefährliche Betriebszustände |
| wirtschaftliche Wirkung | Betriebsunterbrechung, Wiederherstellung, Vertrags- und Folgekosten |
| gesellschaftliche Wirkung | Versorgung, Sicherheit, Öffentlichkeit oder grenzüberschreitende Folgen |
| Recht und Aufsicht | Meldepflichten, Untersuchungen, Sanktionen oder Haftungsfolgen |
| Kunden und Lieferkette | Kaskaden, Abhängigkeiten, Vertrauens- und Reputationswirkung |
Die höchste relevante Einzelwirkung kann die Gesamtstufe bestimmen. Eine Mittelung darf keine kritische Personensicherheits-, Versorgungs- oder Rechtsfolge verdecken.
¶ 13. Skala der Auswirkung
| Wert | Bezeichnung | Musterkriterien vor Kalibrierung |
|---|---|---|
| 1 | gering | lokal und kurzfristig; normaler Betrieb behebt die Wirkung; keine wesentliche Dienstbeeinträchtigung |
| 2 | begrenzt | erkennbare Beeinträchtigung mit beherrschbarem Zusatzaufwand; geringe externe Wirkung |
| 3 | wesentlich | relevanter Dienst spürbar beeinträchtigt; Managementkoordination oder besondere Wiederherstellung nötig |
| 4 | schwer | länger anhaltende oder umfangreiche Dienstauswirkung; erhebliche wirtschaftliche, vertragliche oder rechtliche Folgen |
| 5 | existenziell/kritisch | sehr schwere oder weitreichende Folgen, mögliche Personengefährdung, Versorgungsauswirkung oder Bestandsgefährdung |
Vor Freigabe werden je Dimension beobachtbare Schwellen festgelegt, zum Beispiel Ausfalldauer, Anzahl betroffener Empfänger oder qualitative Rechtsfolgen. Geldwerte allein reichen nicht für alle Dienste.
¶ 14. Datenqualitätsampel
Die Datenqualität wird getrennt von der Risikohöhe bewertet. Ein scheinbar niedriges Risiko mit roter Datenqualität ist kein belastbares grünes Risiko.
Aktuelle Quellen, bestätigter Scope, nachvollziehbare Kriterien und ausreichende Nachweise.
Annahmen oder Datenlücken bestehen; zusätzliche Analyse oder zeitnahe Bestätigung ist erforderlich.
Scope, Quellen oder Wirkungsannahmen sind unzureichend; Entscheidung nur mit Vorbehalt und Eskalation.
Hohe Unsicherheit kann zu konservativer Bewertung, kurzfristiger Datenerhebung, zusätzlicher Überwachung oder einer vorläufigen Schutzmaßnahme führen. Sie wird nicht durch einen willkürlichen Aufschlag verborgen, sondern transparent berichtet.
¶ 15. Beispiel einer farbigen 5×5-Risikomatrix
Der Beispielscore ergibt sich aus Eintrittswahrscheinlichkeit × Auswirkung. Die Matrix ist erst nach Kalibrierung verbindlich.
| Auswirkung ↓ / Eintritt → | 1 sehr selten | 2 selten | 3 möglich | 4 wahrscheinlich | 5 sehr wahrscheinlich |
|---|---|---|---|---|---|
| 5 existenziell/kritisch | ● M · 5 | ▲ H · 10 | ▲ H · 15 | ■ K · 20 | ■ K · 25 |
| 4 schwer | ● N · 4 | ● M · 8 | ▲ H · 12 | ▲ H · 16 | ■ K · 20 |
| 3 wesentlich | ● N · 3 | ● M · 6 | ● M · 9 | ▲ H · 12 | ▲ H · 15 |
| 2 begrenzt | ● N · 2 | ● N · 4 | ● M · 6 | ● M · 8 | ▲ H · 10 |
| 1 gering | ● N · 1 | ● N · 2 | ● N · 3 | ● N · 4 | ● M · 5 |
¶ Interpretationsregeln
- Kritische Einzelwirkungen dürfen unabhängig vom Produktwert eskaliert werden.
- Verpflichtende Maßnahmen entfallen nicht durch einen niedrigen Score.
- Ein Score darf nur mit den dahinterliegenden Kriterien und Annahmen verglichen werden.
- Gleiche Scores können unterschiedliche Behandlungen erfordern.
- Matrix und Schwellen werden mit realistischen Pilotszenarien kalibriert.
- Änderungen an Skalen dürfen historische Trends nicht unbemerkt verfälschen.
¶ 16. Ampel und Handlungsfolgen
| Ampel | Musterentscheidung | Mindestaktivität | Beispielhafte Freigabe |
|---|---|---|---|
| ● N – niedrig | beobachten oder bestehende Behandlung fortführen | Owner und Reviewtermin dokumentieren | Risikoeigner im freigegebenen Rahmen |
| ● M – mittel | Behandlung oder begründete Akzeptanz prüfen | Kosten/Nutzen, Pflichtbezug und Unsicherheit bewerten | Dienst-/Bereichsverantwortung |
| ▲ H – hoch | priorisierte Behandlung | Maßnahme, Ressourcen, Termin, Zwischenkontrolle und Managementinformation | zuständige Geschäftsleitungsinstanz |
| ■ K – kritisch | unverzügliche Eskalation | Sofort-/Zwischenmaßnahmen, Entscheidungsrunde und engmaschige Überwachung | Geschäftsleitung nach Eskalationsregel |
Die Freigabestufen sind Musterwerte. Gesetzliche, vertragliche, sicherheitskritische oder personenbezogene Folgen können eine höhere Entscheidungsebene erfordern.
¶ 17. Bruttorisiko, Kontrollstatus und Restrisiko
Das Bruttorisiko beschreibt das Szenario ohne Anrechnung der dafür beanspruchten risikomindernden Kontrollen. Es macht die ursprüngliche Exposition und Bedeutung sichtbar.
Anschließend werden Kontrollen einzeln betrachtet:
| Kontrollstatus | Berücksichtigung in der Restrisikobewertung |
|---|---|
| nur vorgesehen | keine bestätigte Risikominderung |
| freigegeben/geplant | keine vorzeitige Risikominderung; Terminrisiko separat |
| umgesetzt, ungeprüft | mögliche Wirkung mit hoher Unsicherheit; konservativ bewerten |
| getestet, teilweise erfüllt | nur belegte Teilwirkung berücksichtigen; Restlücke dokumentieren |
| wirksam nach Kriterien | belegte Risikominderung im geprüften Scope berücksichtigen |
| veraltet oder Scope geändert | Wirkung erneut prüfen; nicht automatisch fortschreiben |
Das Restrisiko wird nicht automatisch durch Division oder pauschale Kontrollfaktoren berechnet. Eintritt und Auswirkung werden unter Berücksichtigung nachgewiesener Kontrollen neu begründet. Dabei bleiben Kaskaden, Umgehungsmöglichkeiten und Datenqualität sichtbar.
¶ 18. Kontrollwirksamkeit
Eine Kontrolle ist nur dann risikomindernd anrechenbar, wenn mindestens geklärt ist:
- welches Kontrollziel sie verfolgt,
- welchen Scope sie abdeckt,
- wer sie betreibt und überwacht,
- wie häufig oder wodurch sie ausgelöst wird,
- welches Akzeptanzkriterium gilt,
- mit welcher Methode sie geprüft wurde,
- wann und mit welchem Ergebnis die Prüfung erfolgte,
- welche Abweichungen oder Einschränkungen bestehen.
Beispiele sind MFA-Abdeckung privilegierter Zugänge, Restore-Erfolg innerhalb des Wiederanlaufziels, fristgerechte Patchbehandlung, vollständiges Offboarding oder erfolgreiche Notfallkommunikation. Dokumentenbesitz allein belegt keine Wirksamkeit.
¶ 19. Risikobehandlungsoptionen
| Option | Bedeutung | Erforderliche Dokumentation |
|---|---|---|
| vermeiden | risikobegründende Tätigkeit, Technik oder Abhängigkeit beenden | Entscheidung, Auswirkungen und Übergang |
| vermindern | Wahrscheinlichkeit oder Auswirkung durch Kontrollen senken | Zielzustand, Maßnahmen, Owner, Termin und Test |
| übertragen/teilen | finanzielle oder operative Anteile vertraglich verlagern | Vertrag, verbleibende Eigenverantwortung und Restrisiko |
| akzeptieren | Restrisiko innerhalb genehmigter Toleranz befristet tragen | Begründung, Kompetenz, Bedingungen und Review |
Übertragung beseitigt die Verantwortung der Einrichtung nicht. Versicherungen oder Dienstleister können Folgen oder Leistungen übernehmen, nicht aber automatisch die gesetzliche Pflicht zur angemessenen Risikosteuerung.
¶ 20. Maßnahmenplanung
Eine Risikobehandlung enthält mindestens:
- Risiko- und Anforderungsreferenz,
- konkreten Zielzustand,
- verantwortlichen Maßnahmen-Owner,
- Arbeitspakete und Abhängigkeiten,
- benötigte personelle und finanzielle Ressourcen,
- Zieltermin und Meilensteine,
- vorläufige oder kompensierende Kontrolle,
- erwartete Veränderung von Eintritt oder Auswirkung,
- Prüfmethode und Erfolgsnachweis,
- Eskalation bei Verzug,
- geplante Neubewertung des Restrisikos.
Eine Maßnahme in Bearbeitung wird nicht vor ihrer belegten Umsetzung als Risikominderung angesetzt.
¶ 21. Risikoakzeptanz und Toleranz
Der Risikoappetit beschreibt, welche Arten und Höhen von Risiken die Organisation grundsätzlich einzugehen bereit ist. Toleranzen konkretisieren dies nach Dienst, Wirkung oder Risikoklasse.
Eine Risikoakzeptanz dokumentiert:
- aktuelles Restrisiko und Datenqualität,
- Pflicht- und Vertragsbezug,
- geprüfte Behandlungsalternativen,
- Gründe für die Entscheidung,
- Bedingungen und kompensierende Maßnahmen,
- entscheidungsbefugte Rolle,
- Gültigkeitsdauer und Reviewtermin,
- Ereignisse für vorzeitige Neubewertung.
Eine interne Akzeptanz hebt gesetzliche Verpflichtungen nicht auf. Kritische oder dauerhaft hohe Risiken verlangen eine ausdrücklich geregelte Geschäftsleitungsentscheidung und nachvollziehbare Behandlungsperspektive.
¶ 22. Aggregation und Konzentrationsrisiken
Einzelrisiken werden auf gemeinsame Ursachen und Abhängigkeiten untersucht:
- derselbe Cloud- oder Telekommunikationsanbieter,
- gemeinsames Identitäts- oder Administrationssystem,
- einzelne Standorte oder Netzübergänge,
- Schlüsselpersonen und Wissenskonzentration,
- gemeinsame Softwarekomponenten oder Bibliotheken,
- gleichartige End-of-Life-Systeme,
- dieselben Notfall- oder Backupressourcen,
- gruppenweite Prozesse und zentrale Dienstleister.
Mehrere mittlere Einzelrisiken können gemeinsam ein hohes Konzentrationsrisiko bilden. Die Aggregation erfolgt transparent; sie ersetzt nicht die Detailbewertungen.
¶ 23. Risikoregister – Mindestfelder
| Feld | Zweck |
|---|---|
| Risiko-ID und Version | eindeutige Referenz und Historie |
| relevanter Dienst | rechtlicher und betrieblicher Bezug |
| Szenario | Ursache, Schwachstelle, Ereignis und Wirkung |
| betroffene Assets/Abhängigkeiten | technischer und organisatorischer Scope |
| Risikoeigner | Entscheidung und Überwachung |
| Bewertungsdatum und Quellen | Aktualität und Nachvollziehbarkeit |
| Brutto-Eintritt/Auswirkung | Ausgangsexposition mit Begründung |
| Kontrollen und Wirksamkeit | belegte Risikominderung |
| Restrisiko und Ampel | verbleibende Bewertung |
| Datenqualität | Belastbarkeit der Entscheidung |
| Behandlungsoption | vermeiden, vermindern, übertragen oder akzeptieren |
| Maßnahmen/Owner/Termin | operative Nachverfolgung |
| Freigabe und Gültigkeit | Entscheidungskompetenz und Befristung |
| Review und Auslöser | Aktualisierung und Ereignisbezug |
Konkrete Schwachstellen, Angriffswege und technische Originalnachweise werden geschützt gespeichert. Das Wiki beschreibt Methodik und Metadaten, nicht vertrauliche Risikodetails.
¶ 24. Review- und Änderungsanlässe
Risiken werden nach freigegebenem Rhythmus sowie anlassbezogen überprüft. Auslöser sind insbesondere:
- neue oder wesentlich geänderte Dienste,
- Architektur-, Standort- oder Anbieteränderungen,
- neue Schwachstellen und Bedrohungsinformationen,
- Sicherheitsvorfälle und Beinahevorfälle,
- fehlgeschlagene Kontrollen, Tests oder Übungen,
- überfällige oder unwirksame Maßnahmen,
- neue Rechts-, Aufsichts- oder Vertragsanforderungen,
- deutliche Änderung von Nutzung, Exposition oder Kritikalität,
- neue Erkenntnisse zu Kaskaden- oder Konzentrationsrisiken.
Der Review bestätigt Szenario, Scope, Quellen, Brutto- und Restrisiko, Datenqualität, Kontrollen, Behandlung und Freigabe.
¶ 25. Managementbericht
Der Bericht an die Geschäftsleitung enthält mindestens:
- höchste und kritischste Restrisiken nach relevanten Diensten,
- Veränderungen seit dem letzten Bericht,
- Risiken mit roter oder gelber Datenqualität,
- neue oder eskalierte Risiken,
- überfällige Behandlungen und Wirksamkeitsprüfungen,
- Konzentrations- und Kaskadenrisiken,
- auslaufende Risikoakzeptanzen,
- Ressourcen- und Entscheidungsbedarf,
- wesentliche Vorfälle und daraus abgeleitete Neubewertungen.
Ampelfarben werden immer mit Klartext, Anzahl, Scope und Stichtag erläutert. Eine Gesamtampel ohne Detailbezug kann wesentliche Einzelrisiken verschleiern.
¶ 26. Beispiel eines Risikoszenarios
Reines Muster – keine reale Bewertung: Die folgenden Angaben zeigen die Anwendung der Methodik und dürfen nicht als tatsächlicher Sicherheitsstatus übernommen werden.
| Feld | Musterwert |
|---|---|
| relevanter Dienst | Kundenportal – organisationsbezogen zu bestätigen |
| Szenario | Wenn kompromittierte Administrationszugänge auf unzureichend geschützte Fernwartung treffen, kann ein Angreifer zentrale Portalressourcen verändern oder verschlüsseln und den Dienst unterbrechen. |
| Brutto-Eintritt | 4 – wahrscheinlich; angenommene externe Exposition, Quellen zu bestätigen |
| Brutto-Auswirkung | 4 – schwer; angenommener mehrtägiger Dienstausfall und erheblicher Kundenbezug |
| Bruttorisiko | ▲ H · 16 |
| vorhandene Kontrollen | MFA, privilegierte Kontentrennung, Backup und Protokollierung – Umsetzung und Scope nicht bestätigt |
| Kontrollstatus | nicht bewertet |
| Restrisiko | offen; erst nach Kontroll- und Nachweisprüfung festzulegen |
| Datenqualität | × ROT – hohe Unsicherheit |
| vorläufige Entscheidung | Bestandsaufnahme und Schutzprüfung priorisieren; keine reale Freigabe enthalten |
| Owner/Termin | organisationsbezogen zu benennen |
| Freigabe | ausstehend |
Das Beispiel zeigt, warum eine orange Bruttoampel nicht einfach durch die Aufzählung vorhandener Kontrollen grün werden darf.
¶ 27. Kalibrierung der Methodik
Vor Freigabe werden mehrere realistische Pilotszenarien aus unterschiedlichen Diensten bewertet. Dabei wird geprüft:
- unterscheiden die Skalen erkennbar zwischen leichten und schweren Fällen,
- führen vergleichbare Szenarien zu vergleichbaren Ergebnissen,
- sind Schwellen mit Entscheidungs- und Ressourcenkompetenzen vereinbar,
- werden kritische Einzelwirkungen ausreichend berücksichtigt,
- erzeugt die Matrix zu viele grüne oder zu viele rote Bewertungen,
- sind die Kriterien mit verfügbaren Daten praktisch anwendbar,
- stimmen Risikomethodik, Maßnahmenkatalog und Managementbericht überein.
Kalibrierungsänderungen werden versioniert. Bestehende Risiken werden bei wesentlichen Änderungen neu bewertet oder mit einem Umrechnungs- und Vergleichshinweis versehen.
¶ 28. Qualitätsprüfung einer Bewertung
- Ist der relevante Dienst eindeutig bestimmt?
- Verbindet das Szenario Ursache, Schwachstelle, Ereignis und Wirkung?
- Wurde der gefahrenübergreifende Ansatz berücksichtigt?
- Sind Eintritt und Auswirkung anhand freigegebener Kriterien begründet?
- Ist die höchste kritische Wirkungsdimension sichtbar?
- Sind Quellen, Annahmen und Datenqualität dokumentiert?
- Wurden nur nachweislich wirksame Kontrollen risikomindernd berücksichtigt?
- Sind Brutto- und Restrisiko nachvollziehbar getrennt?
- Passen Ampel, Behandlung, Freigabestufe und Termin zusammen?
- Sind Pflichtbezug, Kaskaden und Konzentrationen berücksichtigt?
- Sind Reviewtermin und Änderungsereignisse festgelegt?
- Enthält die öffentliche Darstellung keine realen Schwachstellen oder Angriffsdaten?
¶ 29. Häufige Fehler und Gegenmaßnahmen
| Fehler | Wirkung | Gegenmaßnahme |
|---|---|---|
| Farbe ohne Klartext | nicht barrierearm und missverständlich | Symbol, Buchstabe, Text und Score gemeinsam anzeigen |
| Score ohne Begründung | Scheingenauigkeit | Kriterien, Quellen und Annahmen dokumentieren |
| niedrige Historie = geringe Wahrscheinlichkeit | seltene schwere Ereignisse werden unterschätzt | Exposition, Bedrohung und Unsicherheit berücksichtigen |
| Mittelwert verdeckt kritische Auswirkung | Personensicherheit oder Versorgung bleibt unsichtbar | höchste relevante Einzelwirkung und Eskalationsregeln nutzen |
| geplante Maßnahme senkt Restrisiko | Fortschritt wird überschätzt | Wirkung erst nach Umsetzung und Prüfung anrechnen |
| grün = gesetzlich erfüllt | Mindestpflichten werden übersehen | Pflichtbezug getrennt beurteilen |
| Gesamtampel ohne Dienstbezug | kritische Einzelrisiken verschwinden | dienst- und szenariobezogen berichten |
¶ 30. Offene Punkte vor organisationsbezogener Freigabe
- relevante Dienste und führende Register bestätigen,
- Eintritts- und Auswirkungskriterien je Dimension kalibrieren,
- Matrix und Ampelgrenzen genehmigen,
- Risikoappetit, Toleranzen und Freigabestufen festlegen,
- Datenqualitätskriterien und Unsicherheitsregeln bestätigen,
- Wirksamkeitskriterien für Kontrollen bestimmen,
- Risikoregister und geschützte Nachweisablage einrichten,
- Managementbericht und Eskalationsrhythmus abstimmen,
- Pilotszenarien durchführen und Ergebnisse kalibrieren,
- Schnittstelle zum unternehmensweiten Risikomanagement freigeben.
¶ 31. Verknüpfte Seiten im Wiki
- Geltungsbereich und relevante Dienste
- NIS2-Risikoregister
- Risikobehandlungsplan
- Maßnahmenkatalog nach BSIG
- Verhältnismäßigkeit und Stand der Technik
- Wirksamkeitsprüfung
- Kritikalität und Abhängigkeiten
- ISMS Methodik Risikobewertung
¶ 32. Amtliche und methodische Grundlagen
Die externen Links öffnen in einem neuen Tab. Vor einer Freigabe sind Rechtsstand, Anwendungsbereich und organisationsbezogene Methodik erneut zu prüfen.
- § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen
- EUR-Lex – Richtlinie (EU) 2022/2555, insbesondere Artikel 21
- EUR-Lex – Durchführungsverordnung (EU) 2024/2690 für bestimmte digitale Einrichtungsarten
- BSI – Standard 200-3 Risikomanagement
¶ 33. Weiterführende Unterstützung durch SMCT-Management
SMCT-Management unterstützt bei Dienstescope, Risikokriterien, Workshops, Ampellogik, Risikoregister, Behandlung, Wirksamkeitsprüfung und Managementberichten. Informationen zur NIS2-Beratung öffnen.
¶ 34. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 0.3 | 09.08.2026 | Rechtsrahmen, Grundsätze, Rollen, Bewertungsprozess, fünfstufige Skalen, barriereärmere Risiko- und Datenqualitätsampel, farbige 5×5-Matrix, Kontrollwirksamkeit, Behandlung, Akzeptanz, Aggregation, Register, Managementbericht, Musterszenario und Kalibrierung umfassend ergänzt | Ausstehend |
| 0.2 | 08.08.2026 | Rollen, Szenariobildung, Skalen, Brutto- und Restrisiko, Toleranz, Aggregation, Review und Qualitätskriterien fachlich vertieft | Ausstehend |
| 0.1 | 08.08.2026 | Mustermethodik für dienstbezogene NIS2-Risiken erstellt | Ausstehend |