ISO 27001 Risikoanalyse: Was gehört in die Risikomatrix?

Eine Risikomatrix nach ISO 27001 ist das Werkzeug, in dem eine Organisation Risiken für Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen erfasst, jedem Risiko einen Risikoeigentümer zuordnet, Auswirkung und Wahrscheinlichkeit schätzt, ein Risikoniveau berechnet und es mit vorher festgelegten Akzeptanzkriterien vergleicht. Die Norm (Abschnitt 6.1.2) schreibt kein Format vor, sondern einen wiederholbaren, dokumentierten Prozess; für die meisten KMU reicht eine gut aufgebaute Excel-Datei.

Was verlangt ISO/IEC 27001:2022 bei der Risikobeurteilung?

Abschnitt 6.1.2 verlangt, einen Prozess zur Informationssicherheitsrisikobeurteilung festzulegen und anzuwenden. Kurz gesagt muss dieser Prozess:

Kriterien für die Risikoakzeptanz und für die Durchführung der Beurteilungen festlegen.
Bei Wiederholung konsistente und vergleichbare Ergebnisse liefern.
Risiken für den Verlust von Vertraulichkeit, Integrität und Verfügbarkeit im Anwendungsbereich des ISMS identifizieren.
Jedem Risiko einen Risikoeigentümer zuordnen.
Mögliche Folgen und realistische Eintrittswahrscheinlichkeit analysieren und das Risikoniveau bestimmen.
Die Risiken bewerten und für die Behandlung priorisieren.

Abschnitt 8.2 verlangt zudem, die Beurteilung in geplanten Abständen oder bei wesentlichen Änderungen zu wiederholen und die Ergebnisse als dokumentierte Information aufzubewahren. Die Risikobehandlung (Abschnitt 6.1.3) nutzt diese Ergebnisse, um Maßnahmen auszuwählen und die Erklärung zur Anwendbarkeit zu erstellen.

Mindestspalten einer ISMS-Risikomatrix

Spalte	Wozu sie dient
Risiko-ID	Rückverfolgbarkeit zum Risikobehandlungsplan und zur Erklärung zur Anwendbarkeit
Prozess oder Asset	Ordnet das Risiko dem Anwendungsbereich zu
Risikoszenario	Beschreibt, was passieren kann (eine Bedrohung nutzt eine Schwachstelle aus)
Bedrohung und Schwachstelle	Machen die Analyse gegenüber dem Auditor nachvollziehbar
Betroffenes Schutzziel (V, I, A)	Vertraulichkeit, Integrität oder Verfügbarkeit
Bestehende Maßnahmen	Die Analyse berücksichtigt, was bereits umgesetzt ist
Auswirkung und Wahrscheinlichkeit	Skalen gemäß den Kriterien (zum Beispiel 1 bis 4)
Niveau und Kategorie	Ergebnis der Berechnung und Vergleich mit den Akzeptanzkriterien
Risikoeigentümer und Behandlung	Wer entscheidet und welche Option gewählt wird: mindern, übertragen, vermeiden oder akzeptieren

Wie wird das Risikoniveau berechnet?

In KMU ist die häufigste Methode, Auswirkung mal Wahrscheinlichkeit auf Skalen von 1 bis 4 zu rechnen; das ergibt Werte von 1 bis 16. Die Kriterien der Organisation legen fest, ab welchem Wert ein Risiko mittel, hoch oder kritisch ist, zum Beispiel mittel ab 6, hoch ab 9 und kritisch bei 16. Entscheidend ist nicht die genaue Formel, sondern dass sie dokumentiert, freigegeben und bei jeder Beurteilung gleich angewendet wird.

Die Heatmap zeigt, wie viele Risiken in jeder Kombination aus Auswirkung und Wahrscheinlichkeit liegen, und hilft der Leitung, auf einen Blick zu sehen, wo der Aufwand hingehört.

Szenario- oder assetbasierter Ansatz?

ISO/IEC 27001:2022 verlangt nicht, von einem Asset-Inventar auszugehen. Viele Organisationen beurteilen Risikoszenarien pro Prozess, weil das schneller und verständlicher ist; andere bevorzugen den assetbasierten Ansatz, weil er direkt an das Inventar anknüpft. Wer mit dem BSI IT-Grundschutz vertraut ist, kennt eher den zweiten Weg. Empfehlenswert ist, einen Ansatz zu wählen, ihn in der Methodik zu beschreiben und beizubehalten.

Typische Fehler, die Auditoren sehen

Risiken ohne Eigentümer oder mit einem allgemeinen Eigentümer wie „die IT“.
Skalen für Auswirkung und Wahrscheinlichkeit ohne schriftliche Definition.
Risiken eines anderen Unternehmens übernommen, ohne sie anzupassen.
Bestehende Maßnahmen nicht erfasst, wodurch die Niveaus zu hoch ausfallen.
Einmal beurteilt und nach wesentlichen Änderungen nicht wiederholt.

Vorlage: die Risikomatrix im NexoDocs-Kit

Die Risikomatrix im deutschen NexoDocs-Kit ist eine Excel-Datei ohne Makros mit szenario- und assetbasiertem Ansatz, konfigurierbaren Kriterien, automatischer Berechnung von Niveau und Kategorie, Heatmap sowie Registern für ISMS-Risiken und Ausnahmen. Eine reduzierte Version (10 Szenarien, Heatmap und Kriterien, auf Englisch) können Sie kostenlos herunterladen und testen, bevor Sie das vollständige Kit kaufen.

Kostenlose Probe herunterladen (Englisch) Zum vollständigen Kit

Häufige Fragen

Verlangt ISO 27001 eine Risikomatrix in Excel?

Nein. Sie verlangt einen festgelegten, angewendeten und dokumentierten Prozess zur Risikobeurteilung. Excel ist ein praktischer Weg, ihn zu dokumentieren, andere Werkzeuge sind ebenso möglich.

Welche Skala für Auswirkung und Wahrscheinlichkeit ist sinnvoll?

In KMU sind Skalen von 1 bis 4 oder 1 bis 5 am häufigsten. Wichtig ist, dass jeder Wert schriftlich definiert und freigegeben ist.

Wie oft muss die Risikomatrix aktualisiert werden?

In geplanten Abständen (zum Beispiel jährlich) und immer dann, wenn sich Organisation, Technik oder Bedrohungslage wesentlich ändern.

Reicht eine Vorlage, um das Audit zu bestehen?

Nein. Die Zertifizierung hängt davon ab, wie das ISMS umgesetzt ist, und vom Audit einer Zertifizierungsstelle; eine gute Vorlage strukturiert die Arbeit und hinterlässt klare Nachweise.