Grundschutz++ Risikomanagement: Methode, Risikoeigentümer und Freigaben (RISK)

Die Praktik «Risikomanagement» (RISK) ist im Anwenderkatalog Grundschutz++ mit einer Gruppe und vier Anforderungen die kleinste Praktik. Sie gehört in der Stand-der-Technik-Bibliothek zum Schwerpunkt Methodik. Dieser Artikel erklärt das Grundschutz++ Risikomanagement anhand des Katalogstands vom 22. Oktober 2026 und des Leitfadens zur Methodik.

Ziel der Praktik

Der Katalog beschreibt Risikomanagement als systematischen, wiederkehrenden Zyklus, mit dem Ziel, Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu identifizieren, zu bewerten, zu steuern und kontinuierlich zu überwachen. Es dient dazu, Risiken auf ein akzeptables Maß zu reduzieren.

Die vier MUSS-Anforderungen

Die Praktik besteht aus der Gruppe RISK.1 «Risiko». Alle vier Anforderungen sind MUSS-Anforderungen:

RISK.1.1 «Risikomanagement MUSS einheitliche Methoden nach einem anerkannten Standard verankern.»

RISK.1.3 «Risikomanagement MUSS die Rolle des Risikoeigentümers mit den notwendigen Aufgaben und Befugnissen verankern.»

RISK.1.5 «Risikomanagement MUSS Verfahren, Rollendefinitionen und Kriterien durch die Institutionsleitung autorisieren.»

RISK.1.10 «Risikomanagement MUSS die Umsetzungsplanung durch die Risikoeigentümer autorisieren.»

Laut Erläuterung zu RISK.1.1 müssen die Methoden den Kontext der Institution, die Anforderungen interessierter Parteien und die daraus abgeleiteten Ziele berücksichtigen. Sie können frei gewählt werden. «Einem anerkannten Standard» ist im Katalog ein Parameter, den Sie mit dem gewählten Standard belegen. Der Risikoeigentümer trägt nach der Erläuterung zu RISK.1.3 die Verantwortung für die Behandlung von Risiken und hat die Befugnis, über eine geeignete Risikobehandlung zu entscheiden.

Wann Grundschutz++ eine Risikobetrachtung verlangt

Die Praktik RISK legt den Rahmen fest. Wann eine Risikobetrachtung durchgeführt werden muss, regeln andere Praktiken. Die Erläuterung zu STM.4.1 nennt insbesondere:

• Geschäftsprozesse oder Assets mit hohem Schutzbedarf (siehe auch GC.7.2)
• die Herabstufung des Sicherheitsniveaus einer Anforderung von erhöht auf normal-SdT
• die Nicht-Umsetzung von Anforderungen
• die Ergänzung des Anforderungspakets, etwa bei Assets ohne passende Anforderungen

Nach der Methodik ist für nicht umgesetzte, aber relevante MUSS- und SOLLTE-Anforderungen eine Risikobetrachtung durchzuführen. Die Ergebnisse werden als zusätzliche Anforderungen für hohen Schutzbedarf in das Anforderungspaket übernommen und in der Umsetzung weiterverwendet. Das verbleibende Restrisiko soll nach UMS.1.2 festgelegt werden.

Zusammenhang mit GC.12.1

Auch die Praktik Governance und Compliance enthält eine Anforderung zur Risikomethodik:

GC.12.1 «Governance und Compliance MUSS eine einheitliche Methodik für das Informationssicherheitsrisikomanagement unter Berücksichtigungen von Kontext, Geschäftsprozessanalyse und interessierten Parteien verankern.»

GC.12.1 verankert die Methodik als Teil des strategischen Rahmens, RISK konkretisiert Standard, Rollen und Freigaben. Als gängige Grundlagen nennt die Erläuterung zu GC.7.2 ISO 27005, ISO 31000 und den BSI-Standard 200-3.

Ein eigener Katalog zum Risikomanagement

In der Stand-der-Technik-Bibliothek gibt es zusätzlich einen eigenen Katalog «BSI Anforderungen zum Risikomanagement» mit Stand vom 22. Oktober 2026. Er enthält zehn Anforderungen, RISK.1.1 bis RISK.1.10. In den Anwenderkatalog Grundschutz++ sind davon die vier oben zitierten übernommen. Die übrigen betreffen nach ihren Titeln die Einhaltung der BSI-Kriterien bei der Methodenauswahl, den Risikoappetit, Kritikalitätskriterien für Geschäftsprozesse, Kriterien für Risikobeurteilung und Risikoakzeptanz sowie die Bestätigung des Restrisikos. Die Methodik kündigt außerdem ein separates Dokument zur Risikobetrachtung mit verbindlichen Vorgaben an die Risikomethodik an. Innerhalb dieses Rahmens soll die Methode frei wählbar sein.

Normale und erhöhte Sicherheitsstufe

Alle vier Anforderungen gehören zum Sicherheitsniveau normal (Stand der Technik). Eine erhöhte Stufe gibt es nicht. Hoher Schutzbedarf wirkt sich nicht über zusätzliche RISK-Anforderungen aus, sondern löst über GC.7.2 und STM.4.1 die Risikobetrachtung aus.

Typische Nachweise

Drei Anforderungen nennen als Dokumentation die Richtlinie zur Risikoanalyse, RISK.1.10 den Umsetzungsplan. Die Erläuterung zu RISK.1.10 beschreibt dessen Inhalt: Anforderungsbeschreibung, Zielobjekt bzw. Anwendungsbereich, verantwortliche Stelle, Start- und Zieldatum, Prioritäten, Status der Umsetzung, ergänzende Aktivitäten wie Schulungen, Risiken mit Begründung, Ressourcenplanung, Abhängigkeiten, Datum der Freigabe und Unterschrift des Risikoeigentümers.

Betroffene Zielobjekte

Keine Anforderung der Praktik ist einer Zielobjektkategorie zugeordnet. Die Regeln gelten für den gesamten Geltungsbereich.

Vergleich mit dem bisherigen IT-Grundschutz

Bisher beschrieb der BSI-Standard 200-3 die Risikoanalyse auf Basis von IT-Grundschutz, ausgelöst vor allem bei hohem oder sehr hohem Schutzbedarf und bei Zielobjekten ohne passenden Baustein. Grundschutz++ lässt die Methode innerhalb eines Rahmens offen, verlangt aber ausdrücklich einen Risikoeigentümer und dessen Freigabe der Umsetzungsplanung. Der BSI-Standard 200-3 bleibt als anerkannte Grundlage nutzbar.

Umsetzungstipps für kleine und mittlere Unternehmen

• Bewährtes nutzen: Wer bereits nach BSI-Standard 200-3 arbeitet, kann diese Methode als «anerkannten Standard» weiterführen.
• Einfache Matrix: Eintrittshäufigkeit und Schadenshöhe in wenigen Stufen genügen oft, solange die Kriterien einheitlich angewendet werden.
• Eigentümer benennen: Risikoeigentümer sollte sein, wer über Budget und Abläufe des betroffenen Bereichs entscheiden darf, im kleinen Betrieb häufig die Geschäftsführung.
• Freigabe dokumentieren: Eine kurze Richtlinie zur Risikoanalyse mit Unterschrift der Leitung und ein Umsetzungsplan mit Unterschrift der Risikoeigentümer decken die vier Anforderungen ab.
• Restrisiken sichtbar machen: Fassen Sie offene Risiken für die Geschäftsleitung zusammen. Der Katalog empfiehlt, Risiken der Nichtumsetzung zu konsolidieren, damit sie nachvollziehbarer werden.