Fast jedes Unternehmen hat ein Risikoregister. Deutlich weniger können erklären, wie sie zu ihren Bewertungen gekommen sind — und genau danach fragt der Auditor. ISO 27005 liefert die Methodik dahinter.
30 Minuten · kostenlos · kein Verkaufsdruck · Sie bekommen danach eine schriftliche Einschätzung
Die 27005 ist keine Pflicht. Sie ist die Antwort auf eine Frage, die früher oder später jeder gestellt bekommt: Wie genau sind Sie zu dieser Risikobewertung gekommen?
Warum diese Seite hier steht: Risikomanagement ist der Punkt, an dem in Zertifizierungsaudits die meisten Feststellungen entstehen — nicht weil Unternehmen keine Risiken kennen, sondern weil die Bewertung nicht nachvollziehbar dokumentiert ist. Es ist zugleich die Stelle, an der sich Aufwand am schnellsten rechnet: Ein sauber aufgesetztes Risikomanagement bedient ISO 27001, NIS-2 und DORA gleichzeitig.
Die Leitlinie schreibt kein Werkzeug und keine Skala vor. Sie verlangt, dass Ihre Entscheidungen einem Dritten erklärbar sind — und das ist anspruchsvoller, als es klingt.
Was soll geschützt werden, mit welchem Anspruch, und ab welcher Schwelle ist ein Risiko nicht mehr akzeptabel? Diese Festlegung trifft die Geschäftsführung — nicht die IT.
Über Werte, Bedrohungen und Schwachstellen — oder szenariobasiert. Beide Wege sind zulässig; der szenariobasierte liefert in der Praxis oft die brauchbareren Ergebnisse.
Eintrittswahrscheinlichkeit und Auswirkung nach definierten Skalen, nicht nach Gefühl. Entscheidend ist, dass zwei Personen unabhängig voneinander zum selben Ergebnis kämen.
Vermeiden, vermindern, übertragen oder akzeptieren. Jede Entscheidung braucht einen Verantwortlichen, einen Termin und eine Begründung — besonders die Akzeptanz.
Was nach der Behandlung übrig bleibt, muss die Leitung formal akzeptieren. Der Schritt, der in der Praxis am häufigsten fehlt — und im Audit sofort auffällt.
Risiken ändern sich mit jedem neuen System und jedem neuen Dienstleister. Ohne festen Turnus und benannte Zuständigkeit ist das Register nach einem Jahr Fiktion.
Unter Auditdruck einmal vollständig befüllt, danach nie wieder angefasst. Nach zwölf Monaten stehen dort Systeme, die es nicht mehr gibt — und die drei wichtigsten neuen Risiken fehlen.
Zahlen von eins bis fünf, aber niemand kann sagen, was eine Vier bedeutet. Der Auditor fragt genau das — und die Bewertung fällt als nicht nachvollziehbar durch, obwohl inhaltlich nichts falsch war.
Behandlungsentscheidungen ohne Namen und ohne Termin. Beim nächsten Audit steht dieselbe Maßnahme noch immer auf „geplant“ — was schlechter aussieht, als das Risiko bewusst akzeptiert zu haben.
Der Unterschied zwischen einem Register, das ein Audit übersteht, und einem, das danach einschläft, entsteht in den letzten beiden Schritten.
Skalen, Akzeptanzschwelle, Zuständigkeiten. Eine Stunde mit der Geschäftsführung, die später jede Diskussion über Einstufungen erspart.
Was ist überhaupt schützenswert — Systeme, Daten, Prozesse, Dienstleister? Der zeitaufwendigste Teil, weil das Wissen im Haus verstreut liegt.
Identifikation, Analyse und Bewertung nach den festgelegten Kriterien — in Workshops mit den Fachbereichen statt am Schreibtisch.
Maßnahmen mit Verantwortlichen und Terminen, Restrisiken dokumentiert und von der Leitung formal akzeptiert.
Das Register zieht in die Plattform, bekommt Termine und Erinnerungen. Ab hier pflegt es sich mit dem Tagesgeschäft statt gegen es.
Diese Unterlagen sind genau die, nach denen ein Auditor bei der Risikobeurteilung fragt.
Platzhalter: Die drei Kennzahlen oben sind noch nicht belegt. Vor dem Livegang durch echte Werte ersetzen — oder den Zahlenblock entfernen und nur die Liste stehen lassen. Markierung entfernen: class="todo" im Quelltext löschen.
In 30 Minuten sehen Sie, ob Ihre Methodik einem Audit standhält, wo die Lücken sind und was zuerst dran ist. Ohne Fachchinesisch, ohne Verkaufsdruck.