Risikoanalyse

Bei einer Risikoanalyse wird geprüft, was einem Betrieb passieren kann, wie wahrscheinlich das ist und wie groß der Schaden wäre. Daraus wird entschieden, wie mit jedem Risiko umgegangen wird.

Genauer erklärt

Im IT-Grundschutz bezeichnet Risikoanalyse den gesamten Prozess, Risiken zu identifizieren, einzuschätzen, zu bewerten und zu behandeln. Die ISO-Normen 31000 und 27005 fassen den Begriff enger, als einen Schritt der Risikobeurteilung. Das Vorgehen beschreibt BSI-Standard 200-3: Gefährdungsübersicht auf Basis der elementaren Gefährdungen, Einstufung nach Eintrittshäufigkeit und Schadenshöhe, Behandlung durch Vermeiden, Reduzieren, Transferieren oder Akzeptieren und Konsolidierung des Sicherheitskonzepts. Nötig ist sie vor allem bei hohem oder sehr hohem Schutzbedarf oder wenn passende Bausteine fehlen.

Artikel zum Begriff

• Basis-Absicherung für kleine UnternehmenBasis-Absicherung nach BSI für kleine Unternehmen: was dazugehört, in welcher Reihenfolge Sie vorgehen und welche Hilfen es vom BSI gibt.
• Was ist IT-Grundschutz?IT-Grundschutz des BSI einfach erklärt: woraus er besteht, für wen er gedacht ist und wie kleine Betriebe sinnvoll einsteigen, ohne sich zu verzetteln.
• Informationssicherheitsbeauftragter (ISB)Was ein Informationssicherheitsbeauftragter ist, wo er im Betrieb angesiedelt sein sollte, welche Qualifikation nötig ist und wann ein ISB vorgeschrieben ist.
• ISMS: Managementsystem für InformationssicherheitWas ein ISMS ist, woraus es nach BSI-Standard 200-1 besteht und wie viel Managementsystem ein kleiner Betrieb für seine Informationssicherheit wirklich braucht.
• Ein ISMS aufbauenEin ISMS aufbauen, ohne sich zu verzetteln: die Schritte nach BSI-Standard 200-2 von der Entscheidung der Leitung bis zur ersten Überprüfung im Betrieb.
• NIS-2 einfach erklärtNIS-2 (NIS2) einfach erklärt: was die EU-Richtlinie regelt, welche Unternehmen in Deutschland betroffen sind und welche Pflichten seit Dezember 2025 gelten.