Risikomethodik nach BSI-Standard 200-3 einrichten – Teil 3 der BSI-Reihe
Teil 3 der Video-Reihe „BSI IT-Grundschutz mit preeco“: Risikomatrix nach BSI-Standard 200-3, Akzeptanzschwelle, Risikokriterien je Schadensszenario, BSI-Gefährdungskatalog und den Hinweis bei hohem Schutzbedarf ohne Risikobetrachtung einrichten.
Letzte Aktualisierung:
Transkript des Videos
In diesem Video richten Sie die Risikomethodik nach BSI-Standard 200-3 ein.
Für Objekte mit hohem Schutzbedarf reicht der Grundschutz allein nicht. Dann folgt eine Risikoanalyse.
Damit alle Risiken vergleichbar sind, legen Sie die Regeln vorher fest: Matrix, Kriterien und die Grenze, bis zu der die Leitung akzeptiert.
Öffnen Sie in den Einstellungen das Risikomanagement.
Die Methodik ist in Abschnitte gegliedert. Wir beginnen mit der Risikomatrix.
Die Datensicherheit GmbH nutzt bisher die Standard-Vorlage.
Wählen Sie die Vorlage ‚BSI 200-3‘.
Sie gibt eine Matrix mit vier mal vier Feldern vor: Eintrittshäufigkeit mal Schadensauswirkung. Speichern Sie die Auswahl.
Daraus ergeben sich vier Risikokategorien, von gering bis sehr hoch.
Das ist die Einstufung aus BSI-Standard 200-3. Häufigkeit von selten bis sehr häufig, Auswirkung von vernachlässigbar bis existenzbedrohend.
Die Akzeptanzschwelle: Ab dieser Stufe gilt ein Risiko als offen und braucht eine bewusste Entscheidung.
Dann wird es behandelt – vermieden, vermindert oder übertragen – oder ausdrücklich akzeptiert.
Unter ‚Risikokriterien‘ beschreiben Sie jede Stufe in eigenen Worten.
Zum Beispiel: Selten heißt, höchstens alle fünf Jahre.
Für das Schadensausmaß gibt es eine Definition pro Schadensszenario – dieselben Szenarien wie beim Schutzbedarf.
Nutzen Sie dieselben Schwellen wie beim Schutzbedarf. Dann sprechen Schutzbedarf und Risiko dieselbe Sprache.
Unter ‚Kataloge & Vorlagen‘ ist der BSI-Gefährdungskatalog aktiv.
Er enthält die 47 elementaren Gefährdungen, von G 0.1 Feuer bis G 0.47 schädliche Seiteneffekte IT-gestützter Angriffe.
Dazu kommen preeco-Risikovorlagen und Ausfallszenarien nach BSI-Standard 200-4 für das Notfallmanagement.
Eigene Vorlagen ergänzen Sie mit Gefährdung und Vorbewertung.
Das Bewertungsintervall steht auf ‚Jährlich‘: Nach zwölf Monaten erscheint ein Risiko als ‚Bewertung überfällig‘.
Dieser Schalter ist besonders wichtig.
preeco weist Sie auf jedes Asset mit hohem Schutzbedarf hin, für das noch keine Risikobetrachtung existiert. Genau das verlangt BSI-Standard 200-2.
Unter ‚Wirkung der Maßnahmen‘ sehen Sie, um wie viele Stufen eine Maßnahme ein Risiko senken kann.
Speichern Sie. Die Methodik gilt ab jetzt für alle Risiken im Team.
Im nächsten Teil: die Strukturanalyse – welche Werte gehören in Ihren Informationsverbund?
Für Objekte mit hohem Schutzbedarf reicht der Grundschutz allein nicht: BSI-Standard 200-2 verlangt dann eine Risikoanalyse. Damit alle Risiken vergleichbar sind, legen Sie die Regeln vorher fest – Matrix, Kriterien und Akzeptanzschwelle. Dieser Artikel ist Teil 3 der Video-Reihe „BSI IT-Grundschutz mit preeco“.
Voraussetzungen
- Ihr Team verfügt über eine Lizenz für die Informationssicherheit (ISMS).
- Sie sind als Administrator angemeldet.
- Die Schutzbedarf-Methodik ist festgelegt (Teil 2 der Reihe).
Risikomatrix nach BSI-Standard 200-3 wählen
- Öffnen Sie „Einstellungen → Risikomanagement“. Die Abschnitte erreichen Sie über die Leiste „In diesem Reiter“.
- Klicken Sie bei „Risikomatrix“ auf „Bearbeiten“ und wählen Sie die Vorlage „BSI 200-3“. Speichern Sie die Auswahl.
- Die Vorlage gibt eine Matrix mit vier mal vier Feldern vor: Eintrittshäufigkeit mal Schadensauswirkung. Die „Zonen-Vorschau“ zeigt die vier Risikokategorien von gering bis sehr hoch.
- Die „Akzeptanzschwelle“ legt fest, ab welcher Stufe ein Risiko als offen gilt und eine bewusste Entscheidung braucht: Es wird vermieden, vermindert, übertragen oder ausdrücklich akzeptiert.
Risikokriterien beschreiben
- Klicken Sie bei „Risikokriterien“ auf „Bearbeiten“.
- Vergeben Sie für jede Stufe der Eintrittshäufigkeit eine Bezeichnung und eine verbindliche Definition, zum Beispiel „Selten: höchstens alle fünf Jahre“.
- Für das Schadensausmaß gibt es zusätzlich eine Definition je Schadensszenario – dieselben Szenarien wie beim Schutzbedarf.
- Speichern Sie. Jede Änderung der Methodik erzeugt automatisch eine Revision.
Best Practice: Nutzen Sie dieselben Schwellen wie beim Schutzbedarf, etwa 50.000 und 500.000 Euro bei finanziellen Auswirkungen. Dann sprechen Schutzbedarf und Risiko dieselbe Sprache.
Kataloge, Vorlagen und Automatisierung
- Unter „Kataloge & Vorlagen“ aktivieren Sie den BSI-Gefährdungskatalog mit den 47 elementaren Gefährdungen (G 0.1 bis G 0.47), die preeco-Risikovorlagen und die Ausfallszenarien nach BSI-Standard 200-4. Eigene Vorlagen ergänzen Sie mit Gefährdung und Vorbewertung.
- Unter „Automatisierung & Benachrichtigungen“ legen Sie das Bewertungsintervall fest. Steht es auf „Jährlich“, erscheint ein Risiko nach zwölf Monaten als „Bewertung überfällig“.
- Der „Hinweis bei hohem Schutzbedarf ohne Risikobetrachtung“ weist auf jedes Asset mit hohem Schutzbedarf hin, für das noch keine Risikobetrachtung existiert – genau das verlangt BSI-Standard 200-2.
- Unter „Wirkung der Maßnahmen“ sehen Sie, um wie viele Stufen eine Maßnahme ein Risiko senken kann.
Alle Teile der Reihe
← Teil 2: Schutzbedarf-Methodik festlegen · Teil 4: Strukturanalyse →
- Auftakt: IT-Grundschutz in neun Schritten
- Teil 1: Initiierung – Leitung, ISB und Leitlinie
- Teil 2: Schutzbedarf-Methodik festlegen
- Teil 3: Risikomethodik nach BSI-Standard 200-3 (dieser Artikel)
- Teil 4: Strukturanalyse
- Teil 5: Schutzbedarfsfeststellung
- Teil 6: Modellierung
- Teil 7: IT-Grundschutz-Check im Cockpit
- Teil 8: Risikoanalyse nach BSI-Standard 200-3
- Teil 9: Audit vorbereiten