ISO 27001 Risikobewertung

Q: Welche Rolle spielt ISO 27005 bei der Risikobewertung?

ISO 27005 ergänzt die ISO 27001 als methodischer Leitfaden, weil die Norm keine konkrete Berechnungsmethode vorgibt. Der Standard hilft, Inhalt, Kriterien, Skalen und Methoden für eine belastbare Risikoeinschätzung im ISMS aufzubauen.

Q: Hilft die ISO-27001-Risikobewertung auch bei NIS 2?

Ja, die ISO-27001-Risikobewertung unterstützt Unternehmen bei der strukturierten Erfüllung zentraler Vorgaben aus der EU-Richtlinie NIS 2. Ein etabliertes Informationssicherheits-Managementsystem schafft dafür einen klaren Rahmen, dokumentiert geeignete Schutzmaßnahmen und kann auf regulatorischer Seite auch bei angrenzenden Themen wie KI-Governance Orientierung geben.

ISO 27001-Risikobewertung schafft Klarheit darüber, welche Informationssicherheitsrisiken ein Unternehmen tragen kann und wo zielgerichtete Maßnahmen notwendig werden. Sie verbindet Risikodaten, Managementvorgaben und praktische Umsetzung zu einer nachvollziehbaren Entscheidungsgrundlage im ISMS und legt damit den Grundstein für belastbares Sicherheitsmanagement.

ISO 27001 Risikobewertung – Auf einen Blick

Was bedeutet ISO 27001 Risikobewertung?

Mit der ISO-27001-Risikobewertung ordnen Unternehmen Informationssicherheitsrisiken anhand definierter Kriterien ein und erkennen, welche Risiken tragbar sind und welche behandelt werden müssen.

Warum ist die Risikobewertung im ISMS wichtig?

Im ISMS schafft die Risikobewertung klare Prioritäten, lenkt Sicherheitsmaßnahmen gezielt und bildet die Grundlage für einen nachvollziehbaren Risikobehandlungsplan.

Wie unterscheidet sich die Risikobewertung von der Risikoanalyse?

Während die Risikoanalyse Bedrohungen, Schwachstellen und mögliche Auswirkungen sichtbar macht, gleicht die Risikobewertung diese Ergebnisse mit den Akzeptanzkriterien des Unternehmens ab.

Wodurch wird die Risikobewertung auditfähig?

Auditfähig wird die Risikobewertung durch eine dokumentierte Methode, einheitliche Skalen, klare Akzeptanzkriterien, benannte Risk Owner und nachvollziehbare Entscheidungen.

Was bedeutet die Risikobewertung nach ISO 27001?

Die Risikobewertung nach ISO 27001 ist der Moment, in dem aus einem möglichen Sicherheitsrisiko eine Managemententscheidung wird. Nicht jede Schwachstelle ist geschäftskritisch. Die Risikobewertung trennt hier das dringende Risiko vom bloß denkbaren Szenario.

Sie baut auf den Ergebnissen der ISO-27001-Risikoanalyse auf. Dort werden Risiken, Bedrohungen und Schwachstellen sichtbar. In der Bewertung wird anschließend eingeordnet, welche Findings für das Unternehmen wirklich kritisch sind, welche akzeptiert werden können und welche in den Risikobehandlungsplan gehören.

Als zentraler Bestandteil des ISMS-Risikomanagements schafft die Risikobewertung klare Prioritäten, lenkt Sicherheitsmaßnahmen und stärkt die ISO-27001-Compliance. Ohne diese Bewertung bleibt Informationssicherheit reaktiv und schwer steuerbar.

Risikoanalyse, Risikobewertung und Risikobehandlung: Wo liegt der Unterschied?

Risikoanalyse, Risikobewertung und Risikobehandlung gehören zusammen und bilden die logische Abfolge des Risikomanagementprozesses nach ISO 27001. Auch technische Findings aus dem ISO-27001-Schwachstellenmanagement können direkt in die Risikobewertung einfließen, etwa wenn eine kritische Schwachstelle ein produktives System betrifft.

Die folgende Tabelle zeigt, wo welcher Schritt ansetzt.

Schritt	Aufgabe	Leitfrage	Ergebnis
Risikoanalyse	Bedrohungen, Schwachstellen, Eintrittswahrscheinlichkeit und Auswirkungen untersuchen	Was kann passieren und wie schwerwiegend sind die Folgen?	Findings und Datenbasis für die Bewertung
Risikobewertung	Analyseergebnisse mit den Akzeptanzkriterien des Unternehmens abgleichen	Ist dieses Risiko für uns tragbar?	Priorisierung und Entscheidung
Risikobehandlung	Umgang mit nicht akzeptablen Risiken festlegen	Was tun wir operativ oder strategisch dagegen?	Maßnahmen, Controls, Risikobehandlungsplan

Beratung zur ISO-27001-Risikobewertung

Eine belastbare ISO-27001-Risikobewertung braucht klare Kriterien, nachvollziehbare Entscheidungen und eine saubere Verbindung zum Risikobehandlungsplan. CSM-Consulting unterstützt Sie beim Aufbau der Bewertungsmethodik, der ISMS-Dokumentation und der Vorbereitung auf eine auditfähige ISO-27001-Zertifizierung.

ISO 27001 Risikobewertung: Best Practices in 7 Schritten

Erst durch standardisierte Regeln, einheitliche Skalen und verantwortliche Entscheidungen wird aus isolierten Risikoeinschätzungen ein steuerbarer Managementprozess. Nur so bleibt das Verfahren auch im ISO-27001-Audit nachvollziehbar und transparent.

Die Anforderungen der ISO/IEC 27001 schreiben keine starre Methode zur Risikobewertung vor. Die ISO-Norm verlangt aber, dass Unternehmen ihr Vorgehen als Basis für die Implementierung festlegen, konsistent anwenden und nachvollziehbar dokumentieren.

Der folgende Ablauf zeigt, wie der Risikobewertungsprozess schlank bleibt und trotzdem genug Substanz für Compliance, Management und Informationssicherheit liefert.

1. Bewertungsmethode und Skalen festlegen

Am Anfang steht die Bewertungslogik. Das Unternehmen legt fest, nach welcher Methode Risiken eingestuft werden und welche Skalen dafür gelten.

In der Praxis bewähren sich einfache Modelle:

qualitative Bewertung mit Stufen wie niedrig, mittel und hoch

numerische Skalen von 1 bis 5

kombinierte Verfahren mit kurzer Begründung je Risikowert

Wenn IT, Fachbereiche und Management unterschiedliche Maßstäbe nutzen, verliert die Bewertung ihre Vergleichbarkeit. ISO 27005 kann hier als Leitfaden helfen, geeignete Methoden für Informationssicherheitsrisiken sauber zu strukturieren.

2. Risikoakzeptanzkriterien definieren

Die Geschäftsführung legt fest, welche Risiken das Unternehmen tragen kann und ab welchem Schwellenwert Handlungsbedarf entsteht. Diese Grenze beschreibt den Risikoappetit der Organisation.

Ein Wert unterhalb der Akzeptanzgrenze kann beobachtet oder begründet akzeptiert werden. Ein Wert darüber gehört in den Risikobehandlungsplan. Ohne diesen Managementrahmen bleibt Priorisierung wackelig, besonders bei knappen Budgets und vielen offenen Maßnahmen.

3. Eintrittswahrscheinlichkeit bestimmen

Jetzt wird bewertet, wie wahrscheinlich ein Risiko tatsächlich eintritt. Voraussetzung dafür ist eine Skala, die so konkret beschrieben ist, dass verschiedene Personen zum gleichen Ergebnis kommen können. Klare Stufen reduzieren Diskussionen, Fehlinterpretationen und nachträgliche Schönfärbung.

Ein mögliches Modell:

Stufe	Einschätzung	Beispielhafte Bedeutung
1	selten	weniger als einmal in 5 Jahren
3	möglich	gelegentlich oder bei bestimmten Auslösern
5	sehr häufig	mehrmals pro Monat denkbar

4. Schadensausmaß und Business Impact bewerten

Ein Risiko wirkt erst durch seinen Schaden. Deshalb bewertet dieser Schritt, welche Folgen ein Vorfall für das Unternehmen hätte.

Im Zentrum stehen die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Für eine geschäftsnahe ISO-27001-Risikobewertung reicht diese technische Sicht jedoch selten aus. Ein scheinbar kleines IT-Problem kann massive Folgen für Lieferfähigkeit, Compliance, Schutz sensibler Daten oder das Vertrauen der Kunden auslösen. Deshalb gehört der Business-Impact fest in die Bewertung:

Finanzielle Schäden: Ausfälle, Wiederherstellung, entgangene Aufträge, Produktionsstillstand

Rechtliche Folgen: DSGVO-Bußgelder, NIS-2-Anforderungen, Vertragsstrafen

Reputationsverlust: Vertrauensschäden bei Kunden, Partnern und Markt

Betriebsunterbrechungen: Stillstand kritischer Prozesse, Infrastrukturen, Produkte oder Einrichtungen

5. Risikowert berechnen und priorisieren

Aus Eintrittswahrscheinlichkeit und Schadensausmaß entsteht der finale Risikowert. Die Berechnung folgt einer einfachen mathematischen Logik:

Risikowert = Eintrittswahrscheinlichkeit × Schadensausmaß

Der Wert wird anschließend in die Risikomatrix eingeordnet und mit den Akzeptanzkriterien verglichen. Risiken oberhalb der Akzeptanzgrenze erhalten Vorrang. Risiken darunter können beobachtet, später erneut bewertet oder mit kurzer Begründung akzeptiert werden. So steuert die Organisation ihre Risikoexposition nach einem risikobasierten Ansatz und setzt Ressourcen dort ein, wo der größte Schutzbedarf besteht.

6. Risk Owner formal benennen

Jedes bewertete Risiko braucht eine verantwortliche Person, die auch Feedback aus Fachbereichen, dem internen Audit oder Sicherheitsvorfällen einordnen kann. Der Risk Owner kennt den betroffenen Prozess, das Asset aus dem ISO-27001-Asset-Management oder den Fachbereich und trägt die Entscheidung mit.

Der Informationssicherheitsbeauftragte kann die Methodik begleiten, die Verantwortung für einzelne Risiken bleibt jedoch beim jeweiligen Risikoeigentümer. Damit wird aus einem Eintrag im Risikoregister eine verbindliche Managemententscheidung.

Seine Aufgabe umfasst vor allem:

Bewertung fachlich prüfen

Behandlung oder Akzeptanz freigeben

Restrisiko verantworten

Umsetzung nachhalten

Nachweise für das ISMS bereitstellen

7. Risikobehandlung und die Controls in Anhang A / Annex A

Am Ende der Bewertung steht die Wahl der passenden Behandlung. Für inakzeptable Risiken legt der Risk Owner fest, wie das Unternehmen weiter vorgeht.

Typische Behandlungsoptionen sind:

Reduzieren: Sicherheitsmaßnahmen oder Controls aus ISO 27001 Annex A einsetzen

Vermeiden: riskante Aktivität, Anwendung oder Prozessvariante beenden

Übertragen: Risiko an Versicherungen, Dienstleister oder Vertragspartner weitergeben

Akzeptieren: Restrisiko bewusst tragen und dokumentieren

Die gewählten Risikomanagementmaßnahmen fließen in den Risikobehandlungsplan ein. Passende Controls werden mithilfe von ISO 27002 eingeordnet und im Statement of Applicability, kurz SoA, begründet. Genau diese Linie macht die Risikobewertung auditfähig.

Häufige Fragen und Antworten

Was ist der Unterschied zwischen Bedrohungen und Schwachstellen nach ISO 27001?

Eine Bedrohung ist ein mögliches Ereignis, das die Sicherheit gefährdet, zum Beispiel Ransomware oder menschliche Fehler. Eine Schwachstelle ist die interne Sicherheitslücke, etwa fehlende MFA oder veraltete Software. Erst aus dem Zusammenspiel beider Faktoren entstehen konkrete Sicherheitsrisiken für die Risikoidentifikation.

Welche Rolle spielt ISO 27005 bei der Risikobewertung?

ISO 27005 ergänzt die ISO 27001 als methodischer Leitfaden, weil die Norm keine konkrete Berechnungsmethode vorgibt. Der Standard hilft, Inhalt, Kriterien, Skalen und Methoden für eine belastbare Risikoeinschätzung im ISMS aufzubauen.

Hilft die ISO-27001-Risikobewertung auch bei NIS 2?

Ja, die ISO-27001-Risikobewertung unterstützt Unternehmen bei der strukturierten Erfüllung zentraler Vorgaben aus der EU-Richtlinie NIS 2. Ein etabliertes Informationssicherheits-Managementsystem schafft dafür einen klaren Rahmen, dokumentiert geeignete Schutzmaßnahmen und kann auf regulatorischer Seite auch bei angrenzenden Themen wie KI-Governance Orientierung geben.

Sollten Unternehmen eine qualitative oder quantitative Risikobewertung nutzen?

Für viele Unternehmen reicht eine qualitative Risikobewertung mit klarer Skala aus, etwa niedrig, mittel und hoch oder Werte von 1 bis 5. Wichtig ist, dass die Methode in einer Richtlinie beschrieben wird und die Durchführung im Alltag konsistent bleibt. Quantitative Modelle mit Geldwerten können bei komplexen Budgetentscheidungen helfen, benötigen aber deutlich mehr Daten und Aufwand.