Schutzbedarf verbinden

Schutzbedarf beschreibt Auswirkungen, Risiko beschreibt Szenarien

Schutzbedarf beantwortet die Frage, wie schwer ein Schaden für ein Zielobjekt oder einen Prozess wäre. Risikoanalyse ergänzt diese Sicht um Bedrohungen, Schwachstellen, Eintrittswahrscheinlichkeiten und Maßnahmen.

Wenn beide Arbeitsstränge getrennt bleiben, entstehen Lücken: Ein Zielobjekt kann hohen Schutzbedarf haben, ohne dass die relevanten Risiken priorisiert werden. Umgekehrt kann eine Risikoentscheidung schwer erklärbar sein, wenn der Schutzbedarf nicht sauber dokumentiert ist.

Ein gemeinsames Modell reduziert Widersprüche

Teams sollten Schutzbedarfsentscheidungen direkt an Zielobjekte, Daten, Prozesse und Abhängigkeiten knüpfen. Die Risikoanalyse kann dann auf dieser Struktur aufbauen und Maßnahmenentscheidungen begründen.

Das gemeinsame Modell hilft besonders bei Diskussionen mit Fachbereichen: Die Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit wird sichtbar, bevor über konkrete Maßnahmen gesprochen wird.

• Schutzbedarf pro Zielobjekt und Schutzziel begründen
• Risiken auf betroffene Zielobjekte zurückführen
• Maßnahmenentscheidungen mit Schutzbedarf und Restrisiko verknüpfen

Was in der Prüfung besonders zählt

Prüfende achten darauf, ob Entscheidungen konsistent sind: Warum wurde ein Zielobjekt hoch eingestuft? Welche Maßnahmen folgen daraus? Welche Risiken bleiben offen? Wer hat die Entscheidung freigegeben?

Ein gutes ISMS kann diese Fragen ohne Sonderrecherche beantworten. Genau dafür müssen Schutzbedarf, Risikoanalyse, Maßnahmenstatus und Nachweise in einem gemeinsamen Arbeitskontext liegen.