IKT-Risikomanagement
Risikoinventar
Systematische Erfassung, Klassifikation und Bewertung aller IKT-Risiken.
Management-Zusammenfassung
- DORA Art. 7 adressiert IKT-Systeme, -Protokolle und -Tools; Art. 8 verlangt die Identifikation, Klassifizierung und Dokumentation von Funktionen, Informations- und IKT-Assets sowie Abhängigkeiten und Risiken.
- Das Risikoinventar muss vollständig, aktuell und mit dem Kontrollsystem verknüpft sein.
- Risiken sind nach Eintrittswahrscheinlichkeit und Schadenshöhe zu bewerten und zu priorisieren.
- Quartalsweise Aktualisierung und Abgleich mit Vorfallmeldungen, Audits und externen Bedrohungsinformationen.
Risikokategorien nach DORA
DORA Art. 8 verlangt eine aktuelle Sicht auf Funktionen, Informations- und IKT-Assets, Abhängigkeiten, Bedrohungsquellen und Risikoszenarien. Kategorien unterstützen die Bearbeitung, ersetzen aber keine institutsspezifische Vollständigkeitsprüfung.
Cyber-Risiken
Malware, Ransomware, Phishing, APT, Supply-Chain-Angriffe, Insider-Bedrohungen.
Drittparteienrisiken
Ausfallsrisiken, Konzentrationsrisiken, Vertragsrisiken bei IKT-Dienstleistern (Art. 28 DORA).
Technologische Risiken
Veraltete Systeme, Kompatibilitätsprobleme, Kapazitätsengpässe, Technologieverschuldung.
Physische Bedrohungen
Naturkatastrophen, Brand, Einbruch, Sabotage, Ausfall kritischer Infrastruktur.
Menschliche Faktoren
Fehler, Unwissenheit, Überlastung, Mangel an Schulung, Fluktuation.
Regulatorische Risiken
Nichteinhaltung von DORA, MaRisk, BSI-Gesetz, NIS2, AI Act, CRA.
Bewertungsmethodik
DORA verlangt eine angemessene Risikobewertung. Eine Risikomatrix mit Eintrittswahrscheinlichkeit und Schadenshöhe ist Standard.
Eintrittswahrscheinlichkeit
Selten (1) → Unwahrscheinlich (2) → Möglich (3) → Wahrscheinlich (4) → Häufig (5). Basiert auf historischen Daten, Bedrohungslage und Kontrollwirksamkeit.
Schadenshöhe
Gering (1) → Moderat (2) → Erheblich (3) → Kritisch (4) → Existenzbedrohend (5). Bewertung nach Finanz, Operation, Reputation, regulatorisch.
Aufbau und Pflege des Risikoinventars
- Risikoinventar-Vorlage mit Pflichtfeldern definieren: ID, Funktion, Assets und Abhängigkeiten, Szenario, Bewertung, Verantwortlicher, Maßnahmen und Status (Art. 8 DORA).
- Ersterfassung durch Fachbereiche, IT und Informationssicherheit mit Workshops und Checklisten.
- Quartalsweise Konsolidierung und Aktualisierung durch Risikocontrolling mit Abgleich zu Vorfällen und Audits.
- Verknüpfung mit Kontrollsystem, Maßnahmentracking und Evidenzmodell sicherstellen.
- Szenarioanalyse für Hochrisiken mindestens jährlich durchführen.
- Risikoinventar dem Leitungsorgan jährlich vorlegen und genehmigen lassen.