Risikobewertung nach NIS 2: so schreiben Sie die Methodik

Was verlangt das Gesetz?

Art. 21 Abs. 2 Buchst. a NIS 2 nennt unter den Maßnahmen jeder wesentlichen und wichtigen Einrichtung „Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme“. In Deutschland setzt § 30 Abs. 2 Nr. 1 BSIG das um als „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“.

Keiner der beiden Texte schreibt eine Form, eine Länge oder ein Verfahren vor. Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein, und Sie dokumentieren, dass Sie die Pflicht einhalten (§ 30 Abs. 1 Satz 3 BSIG). Was verhältnismäßig ist, hängt vom Ausmaß Ihrer Risikoexposition ab, von Ihrer Größe, den Umsetzungskosten sowie von Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen mit ihren gesellschaftlichen und wirtschaftlichen Auswirkungen (Art. 21 Abs. 1 NIS 2, § 30 Abs. 1 Satz 2 BSIG).

Mit der Methodik beginnt diese Dokumentation. Sie zeigt, wie Sie Risiken finden, bewerten und behandeln, sodass sich jede Bewertung in Ihrem Risikoregister auf Regeln zurückführen lässt, die eine verantwortliche Person freigegeben hat.

Art. 21 Abs. 1 und Abs. 2 Buchst. a NIS 2 · § 30 Abs. 1 und Abs. 2 Nr. 1 BSIG

Was muss die Methodik beantworten?

Am genauesten beschreibt es die Durchführungsverordnung (EU) 2024/2690 der Kommission. Punkt 2.1.2 ihres Anhangs verlangt eine Risikomanagementmethodik, eine Risikotoleranzschwelle im Einklang mit der Risikobereitschaft des Unternehmens und Risikokriterien, die eingeführt und gepflegt werden.

Dann folgen die Arbeitsschritte. Die Risiken werden nach einem gefahrenübergreifenden Ansatz ermittelt und dokumentiert, besonders solche in Bezug auf Dritte und solche, die Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit stören könnten, punktuelle Ausfälle eingeschlossen. Jedes Risiko wird nach Bedrohung, Wahrscheinlichkeit, Auswirkung und Risikoniveau analysiert, mit dem, was Sie über Cyberbedrohungen und Schwachstellen wissen. Danach wird es an Ihren Kriterien gemessen, und Sie wählen, wie Sie es behandeln.

Zum Schluss die Umsetzung: die Behandlung fortlaufend überwachen, für jede Maßnahme festhalten, wer verantwortlich ist und bis wann, die Maßnahmen in einem Risikobehandlungsplan dokumentieren und die Gründe für das Eingehen von Restrisiken umfassend erläutern.

Die Verordnung bindet nur die Einrichtungsarten, die sie nennt, etwa DNS Diensteanbieter, Anbieter von Cloud Computing Diensten, Rechenzentrumsdiensten und Managed Services (ihr Art. 1; für Deutschland § 30 Abs. 3 BSIG). Für alle anderen Unternehmen ist sie nicht verbindlich. Sie ist trotzdem die vollständigste Liste dessen, was eine Methodik beantworten muss, und taugt deshalb als Prüfliste für Ihre.

DVO (EU) 2024/2690, Art. 1 und Anhang Punkt 2.1.2 · § 30 Abs. 3 BSIG

Eine Skala, die alle gleich anwenden

Kern der Methodik ist die Skala. Der BSI-Standard 200-3, die Methode des Bundesamts für Sicherheit in der Informationstechnik zur Risikoanalyse, bewertet jedes Risiko in zwei Dimensionen: wie oft es eintreten kann und wie groß der Schaden wäre. Er empfiehlt Kategorien in Worten statt Zahlen, weil für eine genaue Berechnung meist die Statistik fehlt, und nicht mehr als fünf Kategorien je Dimension.

Als Beispiel nutzt das BSI je vier Stufen. Eintrittshäufigkeit: selten (höchstens alle fünf Jahre), mittel (einmal alle fünf Jahre bis einmal im Jahr), häufig (einmal im Jahr bis einmal pro Monat), sehr häufig (mehrmals im Monat). Schadenshöhe: vernachlässigbar, begrenzt, beträchtlich, existenzbedrohend. Eine Matrix verbindet beides zu vier Risikokategorien, von gering bis sehr hoch. Das BSI schreibt dazu, die Matrix veranschauliche nur seine Beispiele und solle an die eigenen Bedürfnisse angepasst werden, und jede Institution könne Anzahl der Stufen und Kriterien selbst festlegen.

Welche Skala Sie auch wählen: Beschreiben Sie jede Stufe in Worten, die Ihre Leute wiedererkennen, und stimmen Sie die Beschreibungen mit den Fachabteilungen ab, die sie anwenden. Den Prüfstein des BSI können Sie direkt in Ihr Dokument übernehmen: Stufen zwei Mitarbeiter dasselbe Risiko ein, soll dasselbe Ergebnis herauskommen.

Halten Sie Methode und Ergebnisse getrennt. Die Methodik sagt, wie Sie bewerten. Das Risikoregister enthält, was Sie bewertet haben. Das Register ändert sich oft, die Methodik sollte stabil bleiben.

BSI-Standard 200-3, Kapitel 5

Wie ausführlich soll sie sein?

So ausführlich, wie Ihr Unternehmen es braucht. Die Verhältnismäßigkeit gilt für die Methodik wie für jede andere Maßnahme. Ein Betrieb mit einem Standort und wenigen Systemen braucht nicht den Apparat eines Konzerns mit vielen Tochtergesellschaften.

Ein gutes Zeichen, dass sie zu groß ist: Außer der Person, die sie geschrieben hat, kann sie niemand anwenden. Ein gutes Zeichen, dass sie zu klein ist: Sie hat keine beschriebenen Stufen, und jede Bewertung ist ein Bauchgefühl, das sich nicht wiederholen lässt.

Ein Gerüst zum Abschreiben

Unten steht eine Gliederung, die Sie in Ihr eigenes Dokument übernehmen können. Unter jeder Überschrift steht ein Beispielsatz mit den Beispielkategorien des BSI. Ersetzen Sie die Teile in Klammern durch Ihre eigenen Angaben und passen Sie die Stufen an, wenn sie nicht zu Ihrem Unternehmen passen.

1. Zweck und Geltungsbereich
   Diese Methodik legt fest, wie [Unternehmen] Risiken für die Netz- und Informationssysteme ermittelt, bewertet und behandelt, die es für seine Dienste nutzt.

2. Rollen
   [Rolle] führt die Bewertung durch. [Geschäftsleitung] gibt diese Methodik frei und nimmt Restrisiken ab Stufe [hoch] an.

3. Eintrittshäufigkeit
   Selten: höchstens alle fünf Jahre. Mittel: einmal alle fünf Jahre bis einmal im Jahr. Häufig: einmal im Jahr bis einmal pro Monat. Sehr häufig: mehrmals im Monat.

4. Schadenshöhe
   Vernachlässigbar, begrenzt, beträchtlich, existenzbedrohend, jeweils so beschrieben: [Beschreibungen in Ihren Worten, etwa Ausfallzeit, Kosten, betroffene Daten].

5. Risikostufen und Toleranz
   Die Matrix in Anlage [x] ordnet jedem Risiko eine Stufe von gering bis sehr hoch zu. Risiken ab Stufe [mittel] werden behandelt. Geringe Risiken werden akzeptiert, festgehalten und beobachtet.

6. Risiken ermitteln
   Wir betrachten alle Gefahren, auch den Ausfall von Lieferanten, Feuer, Wasser, Stromausfall und punktuelle Ausfälle, nicht nur Angriffe.

7. Risiken behandeln
   Für jedes Risiko über der Toleranz entscheiden wir: vermindern, übertragen, vermeiden oder akzeptieren, und halten fest, wer was bis wann tut.

8. Restrisiko annehmen
   [Geschäftsleitung] nimmt das Verbleibende schriftlich an, mit Begründung und Datum.

9. Überprüfung
   Wir wiederholen die Bewertung einmal im Jahr und nach jedem erheblichen Vorfall oder jeder wesentlichen Änderung.

Wer gibt sie frei, und wer nimmt das Restrisiko an?

Nach Art. 20 Abs. 1 NIS 2 billigen die Leitungsorgane die Risikomanagementmaßnahmen im Bereich der Cybersicherheit und überwachen ihre Umsetzung. Das BSIG formuliert in § 38 Abs. 1 die Pflicht der Geschäftsleitungen, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen. In der Praxis gibt die Geschäftsleitung die Methodik frei und sieht die Ergebnisse jeder Bewertung.

Für die Einrichtungen unter der Verordnung (EU) 2024/2690 ergänzt Punkt 2.1.1: Ergebnisse der Risikobewertung und Restrisiken werden von den Leitungsorganen akzeptiert oder von Personen, die für das Risikomanagement rechenschaftspflichtig und befugt sind, sofern die Leitung angemessen unterrichtet wird. Für jedes Unternehmen eine gute Regel: Ein Restrisiko, das keine benannte Person angenommen hat, gehört niemandem.

Wie das in der Praxis aussieht, beschreibt das BSI bei seinen vier Risikokategorien: Geringe Risiken werden üblicherweise akzeptiert und die Gefährdung trotzdem beobachtet, sehr hohe Risiken werden selten akzeptiert.

Art. 20 Abs. 1 NIS 2 · § 38 Abs. 1 BSIG · DVO 2.1.1 · BSI-Standard 200-3, Tabelle 10

Wann gehen Sie sie wieder durch?

NIS 2 und das BSIG nennen kein Intervall. Für die Einrichtungsarten unter der Verordnung (EU) 2024/2690 verlangt Punkt 2.1.4, die Ergebnisse der Risikobewertung und den Risikobehandlungsplan in geplanten Zeitabständen und mindestens jährlich zu bewerten, außerdem bei wesentlichen Änderungen der Betriebsabläufe oder der Risiken und bei erheblichen Sicherheitsvorfällen.

Allen anderen Unternehmen schlagen wir dieselben zwei Auslöser vor: einen festen Termin einmal im Jahr und jede wesentliche Änderung oder jeden erheblichen Vorfall dazwischen. Schreiben Sie beides in die Methodik, damit die nächste Überprüfung nicht davon abhängt, dass jemand daran denkt.

DVO 2.1.4

Häufige Fehler

Stufen ohne Beschreibung. Wenn „hoch“ heißt, was die bewertende Person an dem Tag empfindet, lassen sich Bewertungen weder zwischen Personen noch von Jahr zu Jahr vergleichen.

Nur Angriffe und nur IT. Der gefahrenübergreifende Ansatz umfasst auch Feuer, Wasser, Stromausfall, den Ausfall eines Lieferanten und die eine Person, die als Einzige weiß, wie ein System funktioniert.

Behandlung ohne Verantwortliche und Termin. Eine Maßnahme, für die niemand benannt ist, wird nicht erledigt.

Restrisiko, das niemand angenommen hat. Das Register führt es auf, aber niemand mit der Befugnis dazu hat es angenommen.

Einmal für ein Projekt geschrieben und nie wieder geöffnet. Nach der ersten Änderung bei Systemen oder Lieferanten beschreiben Methodik und Register ein Unternehmen, das es so nicht mehr gibt.