Was ist Information Security Risk Management (ISRM)?
Zuletzt aktualisiert:
Kurz erklärt: Information Security Risk Management (ISRM) ist der fortlaufende Prozess, mit dem ein Unternehmen Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit seiner Informationen identifiziert, analysiert, bewertet und behandelt. ISRM ist das risikobasierte Herzstück eines ISMS nach ISO 27001 und methodisch in ISO/IEC 27005 ausgearbeitet. Der Prozess liefert die Grundlage für jede Sicherheitsentscheidung — welche Maßnahmen umgesetzt werden, ergibt sich aus den bewerteten Risiken, nicht aus einer pauschalen Checkliste.
Information Security Risk Management (ISRM) ist der systematische, fortlaufende Prozess, mit dem ein Unternehmen Risiken für seine Informationen identifiziert, bewertet und behandelt. ISRM ist das risikobasierte Herzstück eines ISMS nach ISO 27001: Welche Sicherheitsmaßnahmen ein Unternehmen umsetzt, leitet sich aus den bewerteten Risiken ab — nicht aus einer pauschalen Checkliste.
Foundational Facts
- Bedeutung: Information Security Risk Management (Informationssicherheits-Risikomanagement)
- Zentrale Norm: ISO/IEC 27005
- Verpflichtend in: ISO 27001 (Kapitel 6.1 und 8 verlangen einen Risikoprozess)
- Verwandte Standards: ISO 31000 (allgemeines Risikomanagement), NIST SP 800-30/800-39
- Ergebnis-Artefakte: Risikoregister, Risk Treatment Plan, Statement of Applicability
Warum risikobasiert?
Der entscheidende Gedanke hinter ISRM ist: Sicherheit ist nie absolut, sondern eine Frage des angemessenen Umgangs mit Risiken. Ein Unternehmen kann nicht jedes denkbare Risiko mit maximalem Aufwand bekämpfen. ISRM sorgt dafür, dass begrenzte Ressourcen dort eingesetzt werden, wo sie den größten Effekt haben — bei den höchsten und wahrscheinlichsten Risiken.
Das unterscheidet einen reifen Sicherheitsansatz von blindem Maßnahmen-Aktionismus. Genau deshalb verlangt ISO 27001 zwingend einen dokumentierten Risikoprozess als Grundlage für die Auswahl der Maßnahmen.
Der ISRM-Prozess Schritt für Schritt
1. Kontext festlegen
Geltungsbereich, Verantwortlichkeiten und vor allem die Bewertungs- und Akzeptanzkriterien werden definiert. Hier kommen die Risk Tolerance Criteria ins Spiel — sie legen fest, welche Risiken akzeptabel sind und welche behandelt werden müssen.
2. Risiken identifizieren
Erfassung der Assets (Informationen, Systeme, Prozesse), der Bedrohungen und der Schwachstellen, die ausgenutzt werden könnten. Ergebnis ist eine Liste konkreter Risikoszenarien.
3. Risiken analysieren und bewerten
Jedes Risiko wird nach Eintrittswahrscheinlichkeit und Auswirkung bewertet — qualitativ (niedrig/mittel/hoch) oder quantitativ (in Geldwert). Die Bewertung ergibt eine Priorisierung.
4. Risiken behandeln
Für jedes Risiko wird eine der vier Behandlungsoptionen gewählt:
| Option | Bedeutung | Beispiel |
|---|---|---|
| Mindern | Wahrscheinlichkeit/Auswirkung durch Maßnahmen senken | MFA einführen, Backups |
| Übertragen | Risiko an Dritte abgeben | Cyber-Versicherung, Auslagerung |
| Vermeiden | risikobehaftete Aktivität einstellen | unsicheren Dienst abschalten |
| Akzeptieren | Risiko bewusst tragen | Restrisiko innerhalb der Toleranz |
Die Entscheidungen werden im Risk Treatment Plan (RTP) dokumentiert.
5. Überwachen und kommunizieren
Risiken ändern sich — neue Bedrohungen, neue Systeme, neue Schwachstellen. ISRM ist deshalb zyklisch: Der Prozess wird regelmäßig wiederholt und die Ergebnisse an die Leitung berichtet.
ISRM im Verhältnis zu ISMS und GRC
- Das ISMS ist der Rahmen — ISRM ist der risikobasierte Motor darin.
- Im breiteren GRC-Kontext ist ISRM die „R”-Dimension, spezialisiert auf Informationssicherheit.
- Das Ergebnis des ISRM — die ausgewählten Maßnahmen — schlägt sich im Statement of Applicability und im Risk Treatment Plan nieder.
Bedeutung für den Mittelstand
Auch ohne Zertifizierung profitieren KMU von einem schlanken ISRM: ein einfaches Risikoregister, in dem die wichtigsten Risiken bewertet und mit einer Behandlungsentscheidung versehen sind, ersetzt teure Pauschal-Maßnahmen durch gezielte Investitionen. Für regulierte Unternehmen (NIS2, DORA) ist ein nachweisbarer ISRM-Prozess ohnehin Pflicht.
Weiterführende Links
Häufige Fragen
- Was ist der Unterschied zwischen ISRM und einem ISMS?
- Das ISMS (Informationssicherheits-Managementsystem) ist der gesamte organisatorische Rahmen zum Steuern der Informationssicherheit. ISRM (Information Security Risk Management) ist der Risikomanagement-Prozess innerhalb dieses Rahmens. Anders gesagt; das ISMS ist das Haus, ISRM ist der Motor, der entscheidet, welche Schutzmaßnahmen das Haus braucht. ISO 27001 verlangt zwingend einen ISRM-Prozess als risikobasierte Grundlage.
- Welche Norm beschreibt ISRM?
- Die zentrale Norm ist ISO/IEC 27005 — sie liefert Leitlinien für das Informationssicherheits-Risikomanagement und ergänzt die Anforderungen von ISO 27001 um konkrete methodische Hilfestellung. Daneben sind ISO 31000 (allgemeines Risikomanagement) und der NIST-Ansatz (SP 800-30 / 800-39) gängige Referenzen. ISO 27001 selbst schreibt keine bestimmte Methode vor, verlangt aber einen definierten, wiederholbaren Risikoprozess.
- Aus welchen Schritten besteht der ISRM-Prozess?
- Typisch sind fünf Schritte; Kontext festlegen (Bewertungskriterien, Geltungsbereich), Risiken identifizieren (Assets, Bedrohungen, Schwachstellen), Risiken analysieren und bewerten (Eintrittswahrscheinlichkeit und Auswirkung), Risiken behandeln (vermeiden, mindern, übertragen oder akzeptieren) und schließlich Überwachung und Kommunikation. Der Prozess ist zyklisch und wird regelmäßig wiederholt.
- Was sind die vier Optionen der Risikobehandlung?
- Bei jedem bewerteten Risiko stehen vier Optionen zur Wahl; das Risiko mindern (Maßnahmen umsetzen, um Wahrscheinlichkeit oder Auswirkung zu senken), das Risiko übertragen (etwa per Versicherung oder Auslagerung), das Risiko vermeiden (die risikobehaftete Aktivität einstellen) oder das Risiko akzeptieren (bewusst tragen, wenn es innerhalb der Risikotoleranz liegt). Die getroffenen Entscheidungen werden im Risk Treatment Plan dokumentiert.