BSI/200-4/09 Risikoanalyse: Unterschied zwischen den Versionen

Aktuelle Version vom 30. Juni 2026, 11:39 Uhr

← Zurück

Weiter →

BSI/200-4/09 Risikoanalyse - BCM-Risikoanalyse

Beschreibung

Prozessschritte

BCM-Prozessschritte der BCM-Risikoanalyse

Risikoanalyse-Methode

Auswahl einer geeigneten Risikoanalyse-Methode (AS)

Anforderungen an die BCM-Risikoanalyse

Risikokriterien Eintrittshäufigkeit und Schadenshöhe berücksichtigen
Netto-Risikoeinschätzung: Alle vorhandenen risikoreduzierenden Maßnahmen berücksichtigen

Detailgrad

Detailgrad der betrachteten

Ressourcen(cluster)
Gefährdungen
Risiken

sollte so gewählt werden, dass geeignete BC-Strategien und -Lösungen dafür identifiziert werden können

Handlungsbedarf

Identifizierte Risiken MÜSSEN auf weiteren Handlungsbedarf hin bewertet werden

Risikoakzeptanz

Vor einer Risikoakzeptanz MÜSSEN alle anderen Risikobehandlungsoptionen angemessen geprüft werden

Bericht

Ergebnisse der BCM-Risikoanalyse

bestehende Restrisiken

SOLLTEN durch die Institutionsleitung zur Kenntnis genommen werden

Abnahme

Die bestehenden Restrisiken müssen durch die Institutionsleitung akzeptiert werden.

Vorarbeiten

Vorarbeiten zur Risikoanalyse (AS)

Durch die BIA liegt bereits die Liste der zeitkritischen Ressourcen und damit der relevanten Zielobjekte für die BCM-Risikoanalyse vor

Die Vorbereitung zur Risikoanalyse gemäß BSI-Standard 200-3 beschränkt sich daher auf eine geeignete Gruppenbildung dieser relevanten Zielobjekte
In der BCM-Risikoanalyse kann auch auf die bereits definierten Ressourcen(cluster) gemäß BIA zurückgegriffen werden
Aufgrund ihrer hohen Bedeutung sollten zusätzlich die in der BIA identifizierten SPoFs als eigenständige Zielobjekte in der BCM-Risikoanalyse betrachtet werden.

Analog zur BIA und dem Soll-Ist-Vergleich bieten sich für die BCM-Risikoanalyse ebenfalls Workshops an, um die Informationen zielgerichtet zu erheben

Das Vorgehen, um

die Workshops vorzubereiten, kann analog zur Vorbereitung der BIA-Workshops erfolgen (siehe 7.1.4 Planung der BIA-Erhebung (R+AS))

Auch der Einsatz von vorgegeben

Hilfsmitteln bietet sich in der BCM-Risikoanalyse an

Insbesondere kann es hilfreich sein, eine Workshop-Präsentation vorzubereiten, in der auf die spezifischen Eigenschaften der BCM-Risikoanalyse eingegangen wird.

Gefährdungsübersicht

Erstellung einer Gefährdungsübersicht (AS)
Ausgewählte elementare Gefährdungen des BSI mit Bezug auf das Schutzziel Verfügbarkeit (Beispiel)

Relevanz

Stufen der Relevanz von Gefährdungen

siehe BSI-Standard 200-3, Kapitel 4.1 Elementare Gefährdungen

Relevanz	Beschreibung
Direkt relevant	bedeutet hier, dass die jeweilige Gefährdung auf das betrachtete Zielobjekt einwirken kann und deshalb im Rahmen der Risikoanalyse behandelt werden muss
Indirekt relevant	meint hier, dass die jeweilige Gefährdung zwar auf das betrachtete Zielobjekt einwirken kann, in ihrem Schadenspotenzial aber nicht über andere (allgemeinere) Gefährdungen hinausgeht. In diesem Fall muss die jeweilige Gefährdung für dieses Zielobjekt nicht gesondert im Rahmen der Risikoanalyse behandelt werden
Nicht relevant	heißt hier, dass die jeweilige Gefährdung nicht auf das betrachtete Zielobjekt einwirken kann und deshalb für dieses Zielobjekt im Rahmen der Risikoanalyse nicht behandelt werden muss

Beispiele

Zuordnung von Gefährdungen zu Ressourcenkategorien

Risikoeinschätzung

Risikoeinschätzung (AS)

Wie hoch das Risiko ist, wird im BSI-Standard 200-3 und in vielen weiteren Methoden von zwei Parametern bestimmt

Parameter	Beschreibung
Eintrittshäufigkeit	wie häufig sich eine Gefährdung auf eine zeitkritische Ressource schätzungsweise auswirkt.
Schadenshöhe	die zu erwartende Höhe des Schadens, der bei Eintritt des Schadensereignisses entsteht.

Netto-Risikoeinschätzung

Berücksichtigt alle vorhandenen risikoreduzierenden Maßnahmen

Risikobewertung

Risikoeinschätzung (AS)
Risikomatrix

Risikokategorien

Risikobehandlung

Risikobehandlung (AS)

Risikobehandlung im BCMS orientiert sich an BSI-Standard 200-3

vier Risikobehandlungsoptionen
siehe Kapitel 6.1 Risikobehandlungsoptionen

Transfer von Risiken

Jedoch ist die Risikobehandlungsoption Transfer von Risiken im BCM nur bedingt geeignet

Zum einen können aus dieser Option keine Maßnahmen zur Sicherstellung eines kontinuierlichen Geschäftsbetriebs abgeleitet werden
Zum anderen bleibt die Erfüllung von gesetzlichen oder vertraglichen Vorgaben von dieser Risikobehandlungsoption unberührt

Risikoakzeptanz

Aus denselben Gründen muss auch genau geprüft werden, ob eine Risikoakzeptanz möglich ist

KRITIS

Institutionen, die eine Versorgungssicherheit garantieren

beispielsweise im KRITIS-Umfeld
legen den Fokus darauf, Risiken, die die kritischen Dienstleistungen betreffen, zu vermeiden oder zu reduzieren
Sofern Sicherheitsvorkehrungen nach Stand der Technik möglich und angemessen sind.

← Zurück

Weiter →

Anhang

Siehe auch

Sicherheit

Dokumentation

Links

Projekt

Weblinks

@@ Zeile 9: / Zeile 9: @@
 BCM-Prozessschritte der BCM-Risikoanalyse
-[[File:img-198-374.png|600px]]
+[[File:img-198-374.png|700px]]
 == Risikoanalyse-Methode ==
@@ Zeile 15: / Zeile 15: @@
 ; Anforderungen an die BCM-Risikoanalyse
-* Die Risikoanalyse sollte die Risikokriterien Eintrittshäufigkeit und Schadenshöhe berücksichtigen.
+* [[Risikokriterien]] [[Eintrittshäufigkeit]] und [[Schadenshöhe]] berücksichtigen
-* Die Risikoeinschätzung sollte alle vorhandenen risikoreduzierenden Maßnahmen berücksichtigen. (Netto-Risikoeinschätzung)
+* [[Netto-Risikoeinschätzung]]: Alle vorhandenen risikoreduzierenden Maßnahmen berücksichtigen
-* Der Detailgrad der betrachteten Ressourcen(cluster), der Gefährdungen und der resultierenden Risiken sollte so gewählt werden, dass geeignete [[BC-Strategie]]n und -Lösungen dafür identifiziert werden können.
-* Die Institution muss die identifizierten Risiken auf den weiteren Handlungsbedarf hin bewerten.
+; Detailgrad
-* Die Institution muss sicherstellen, dass vor der Risikoakzeptanz alle anderen Risikobehandlungsoptionen angemessen geprüft wurden.
+Detailgrad der betrachteten
-* Die Ergebnisse der BCM-Risikoanalyse, insbesondere bestehende Restrisiken, sollten durch die Institutionsleitung zur Kenntnis genommen werden.
+* Ressourcen(cluster)
-* Die bestehenden Restrisiken müssen durch die Institutionsleitung akzeptiert werden.
+* Gefährdungen
+* Risiken
+sollte so gewählt werden, dass geeignete [[BC-Strategie]]n und -Lösungen dafür identifiziert werden können
+; Handlungsbedarf
+[[Identifizierte Risiken]] [[MÜSSEN]] auf weiteren [[Handlungsbedarf]] hin bewertet werden
+; Risikoakzeptanz
+Vor einer [[Risikoakzeptanz]] [[MÜSSEN]] alle anderen Risikobehandlungsoptionen angemessen geprüft werden
+; Bericht
+Ergebnisse der BCM-Risikoanalyse
+* bestehende Restrisiken
+[[SOLLTEN]] durch die Institutionsleitung zur Kenntnis genommen werden
+; Abnahme
+Die bestehenden Restrisiken müssen durch die Institutionsleitung akzeptiert werden.
 == Vorarbeiten ==
@@ Zeile 41: / Zeile 57: @@
 [[File:bcmTab30.png|600px]]
-=== Relevanz ===
+; Relevanz
 Stufen der Relevanz von Gefährdungen
 * siehe BSI-Standard 200-3, Kapitel 4.1 Elementare Gefährdungen
@@ Zeile 96: / Zeile 112: @@
 ; KRITIS
-* Insbesondere Institutionen, die eine Versorgungssicherheit zu garantieren haben, beispielsweise&nbsp;im [[KRITIS]]-Umfeld, legen daher den Fokus darauf, Risiken, die die kritischen Dienstleistungen betreffen, zu vermeiden oder zu reduzieren, sofern Sicherheitsvorkehrungen nach Stand der Technik möglich und angemessen sind.
+Institutionen, die eine Versorgungssicherheit garantieren
+* beispielsweise im [[KRITIS]]-Umfeld
+* legen den Fokus darauf, Risiken, die die kritischen Dienstleistungen betreffen, zu [[vermeiden]] oder zu [[reduzieren]]
+* Sofern Sicherheitsvorkehrungen nach [[Stand der Technik]] [[möglich und angemessen]] sind.
 <noinclude>

Dirkwagner (Diskussion | Beiträge)