Die Risikoanalyse ist ein systematisches Verfahren zur Identifikation, Bewertung und Priorisierung von Risiken. Sie ermittelt die Eintrittswahrscheinlichkeit und die möglichen Auswirkungen von Bedrohungen. Ihre Ergebnisse bilden die Grundlage für die Auswahl geeigneter Schutzmaßnahmen.
Definition
Die Risikoanalyse ist ein zentraler Bestandteil des risikobasierten Denkens in Managementsystemen. Sie identifiziert potenzielle Bedrohungen und Schwachstellen, bewertet deren Eintrittswahrscheinlichkeit und die möglichen Schäden und priorisiert die Risiken. Im Bereich der Informationssicherheit wird sie nach ISO/IEC 27001 durchgeführt, um Risiken für Vertraulichkeit, Integrität und Verfügbarkeit zu ermitteln. Die Ergebnisse werden in einer Risikomatrix dargestellt und mit Akzeptanzkriterien verglichen. Daraus werden Maßnahmen zur Risikobehandlung abgeleitet, etwa Vermeidung, Verminderung, Übertragung oder Akzeptanz. Die Risikoanalyse muss regelmäßig wiederholt und bei wesentlichen Änderungen aktualisiert werden. Sie ist Grundlage für Risikobehandlungspläne und die Planung von Notfallmaßnahmen.
Praxisbezug
Ein Softwareunternehmen führt eine Risikoanalyse für seine Cloud-Dienste durch. Es identifiziert Ransomware-Angriffe und Datenverlust als wesentliche Risiken. Die Risikomatrix zeigt, dass ein Angriff wahrscheinlich und der Schaden hoch ist. Daraufhin führt das Unternehmen Backups, Verschlüsselung und ein Incident-Response-Team ein. Die Analyse wird jährlich wiederholt.
Normbezug
ISO/IEC 27001:2022, Klausel 6.1.2 und 8.2