Risikoanalyse
Definition
Die Risikoanalyse ist der systematische Prozess zur Identifikation, Bewertung und Priorisierung von Bedrohungen und Schwachstellen in der IT-Infrastruktur einer Organisation. Im Kontext des NIS2UmsuCG bildet sie die unverzichtbare Grundlage für alle nachgelagerten Sicherheitsentscheidungen: Welche Assets sind schützenswert? Welche Bedrohungen sind realistisch und wahrscheinlich? Welche Schutzmaßnahmen sind verhältnismäßig und technisch umsetzbar? Die Risikoanalyse muss regelmäßig wiederholt und bei wesentlichen Infrastrukturänderungen oder nach Sicherheitsvorfällen unverzüglich aktualisiert werden. Ergebnis ist ein dokumentiertes Risikoregister mit Behandlungsoptionen für jedes identifizierte Risiko.
Rechtsgrundlage
Die Pflicht zur Risikoanalyse ist explizit in § 30 Abs. 2 Nr. 1 BSIG geregelt, der Einrichtungen verpflichtet, Konzepte in Bezug auf die Risikoanalyse und Informationssicherheit zu dokumentieren und regelmäßig zu überprüfen. Die Methodik muss dem aktuellen Stand der Technik entsprechen — das BSI verweist hierfür auf ISO 31000 und die ENISA-Richtlinien zur Risikobeurteilung in NIS-2-Kontexten. Bei wesentlichen Änderungen der IT-Infrastruktur, bei der Einführung neuer kritischer Dienste oder nach Sicherheitsvorfällen ist eine erneute vollständige Risikoanalyse gemäß § 30 Abs. 3 BSIG vorgeschrieben. Das BSI kann im Rahmen von Prüfungen nach § 64 BSIG die Vorlage der vollständigen Risikoanalyse-Dokumentation verlangen.
Praktische Implikation
Eine praxistaugliche Risikoanalyse für den Mittelstand beginnt mit einer strukturierten Asset-Inventur: Welche IT-Systeme, Datenbestände und Geschäftsprozesse sind für den kontinuierlichen Betrieb kritisch? Anschließend werden realistische Bedrohungsszenarien wie Ransomware, Phishing und Lieferantenausfall systematisch bewertet und Gegenmaßnahmen nach Risikoprioritäten geordnet. Das Ergebnis sollte in einem gepflegten Risikoregister dokumentiert werden, das die Grundlage für den Maßnahmenplan und den strukturierten Nachweis gegenüber dem BSI bei Kontrollen bildet. Eine jährliche Aktualisierung des Risikoregisters ist unerlässlich. Verantwortliche für jeden identifizierten Risikopunkt, Behandlungsoptionen (Akzeptieren, Mindern, Transferieren) und Restrisiken müssen klar dokumentiert und vom Leitungsorgan genehmigt sein.
Verwandte Inhalte
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen