Ein Risikomanagement-Framework ist eine wiederholbare Methode, um Risiken zu identifizieren, zu bewerten, über entsprechende Maßnahmen zu entscheiden und diese Schritte später nachvollziehbar zu machen. Genau dieser letzte Punkt macht aus einer guten Gewohnheit ein Framework, das auch von Auditoren oder Kunden anerkannt wird.
Für ein europäisches KMU ist die tatsächliche Auswahl begrenzter, als es die Fachliteratur vermuten lässt. Drei Optionen decken fast jeden Anwendungsfall ab.
Wählen Sie ISO 27001, wenn ein Kunde, Versicherer oder eine Aufsichtsbehörde einen Nachweis verlangt. Es ist zertifizierbar, EU-weit anerkannt und die ergänzende Norm ISO 27005 liefert Ihnen die passende Risikomethodik. Dies ist die Standardantwort, wenn Sie nach einem Zertifikat gefragt werden.
Wählen Sie das NIST CSF, wenn Sie Struktur ohne Audit suchen. Es ist kostenlos, gliedert Sicherheitsaufgaben in sechs Funktionen und bietet keine Zertifizierung. Gut zur Orientierung, aber unzureichend als Antwort auf einen Beschaffungsfragebogen.
Wählen Sie NIS2, falls es auf Sie zutrifft. Es ist keine Norm, die man kauft, sondern eine gesetzliche Verpflichtung, die in der Praxis wie ein Framework angewendet wird: ein definierter Satz an Risikomanagementmaßnahmen, die Sie umsetzen, belegen und prüfen lassen können. Lieferkettensicherheit ist eine dieser Pflichten; daher gehören Lieferantendaten, Verarbeitungsverträge und Lieferantenbewertungen in dasselbe System wie der Rest Ihres Risikomanagements und nicht in einen separaten Ordner.
Wählen Sie NIS2 Supply Chain, wenn Sie der Zulieferer und nicht das direkt betroffene Unternehmen sind. Diesen Punkt übersehen die meisten Vergleiche. Es handelt sich um ein zertifizierbares System mit unabhängigem Audit, das sich sowohl an NIS2-pflichtige Organisationen als auch an die weitaus größere Gruppe ihrer Zulieferer richtet und in drei Risikostufen unterteilt ist. SC10 BASIC ist auf KMU zugeschnitten, SC20 SUBSTANTIAL für höhere Risiken und SC30 HIGH für kritische Zulieferer. Wenn Ihr Kunde unter NIS2 fällt und Ihnen Fragebögen schickt, ist dies das Framework, das genau für diese Seite der Kommunikation entwickelt wurde.
Zwei Klarstellungen, die unnötigen Aufwand ersparen. ISO 31000 taucht bei jeder Suche zu diesem Thema auf und ist tatsächlich die Norm für Risikomanagement, bietet jedoch Prinzipien und Prozesse statt einer Kontrollliste – und es gibt keine Zertifizierung dafür. Betrachten Sie es als Dach über einem Sicherheits-Framework, nicht als Alternative dazu. Und falls Sie bereits ISO 9001 anwenden: Deren Klausel zum risikobasierten Denken ist der kostengünstigste Einstieg, da die Gewohnheit und der Überprüfungsrhythmus bereits bestehen.
Vergleicht man Frameworks anhand von zwei Achsen, lichtet sich das Feld schnell. Der Geltungsbereich (Scope) definiert, was das Framework abdeckt. Der Aufwand beschreibt die Kosten für den Betrieb – die Achse, die die meisten Anbietervergleiche auslassen.
ISO 27001 deckt das Informationssicherheitsmanagement ab. Der Geltungsbereich ist das von Ihnen definierte ISMS, das sich auf eine Produktlinie statt auf das gesamte Unternehmen beschränken kann. Der Aufwand ist bei diesen drei Optionen am höchsten: Risikobewertung, Maßnahmenplan, Kontrollkatalog mit Nachweisen, internes Audit, Managementbewertung und schließlich ein zweistufiges externes Audit. Die Rezertifizierung erfolgt in einem Dreijahreszyklus mit Überwachungsaudits dazwischen. Dafür ist es das Framework, das ein EU-Einkäufer ohne Erklärungsbedarf anerkennt.
NIS2 deckt die Risikomanagementmaßnahmen ab, die die Richtlinie für betroffene Organisationen vorschreibt, einschließlich Vorfallmanagement, Geschäftskontinuität und Lieferkettensicherheit. Der Aufwand hängt vom Ausgangspunkt ab: Wer bereits ISO 27001 anwendet, hat den Großteil geschafft; wer bei Null anfängt, hat einen längeren Weg vor sich. Da es verpflichtend und nicht optional ist, stellt es für betroffene Unternehmen keine echte Wahl dar.
NIS2 Supply Chain deckt die Zuliefererseite der Richtlinie ab. Der Geltungsbereich ist Ihre eigene Sicherheitslage als Zulieferer eines betroffenen Kunden. Der Aufwand ist bewusst gestaffelt: SC10 ist der Einstieg für KMU, SC30 für kritische Zulieferer; die Kosten skalieren also mit dem tatsächlichen Risiko statt mit der Größe der Norm. Es ist durch ein unabhängiges Audit zertifizierbar – der entscheidende Unterschied zwischen dem Ausfüllen eines Fragebogens und dem Vorweisen eines Zertifikats.
ISO 9001 deckt das Qualitätsmanagement ab und erfordert risikobasiertes Denken, bietet jedoch kein vollständiges Risikoframework. Der Aufwand ist gering, falls Sie bereits zertifiziert sind, da Sie ein bestehendes Managementsystem erweitern, statt ein neues aufzubauen. Es ist erwähnenswert, da viele EU-KMU es bereits nutzen und nicht wissen, dass sie dort auch Risikomanagement integrieren können.
ISO 31000 deckt Risiken im gesamten Unternehmen ab. Der Aufwand ist moderat und eher intellektueller Natur: Es gibt keinen Kontrollkatalog zur Umsetzung und kein Audit zu bestehen; die Kosten liegen in der Disziplin, den Prozess tatsächlich zu leben. Es wird einen Kunden, der Sicherheitsnachweise verlangt, nicht zufriedenstellen, und es gibt kein Zertifikat – daher gehört es in diesen Vergleich eher als Kontext denn als Kandidat.
NIST CSF deckt Cybersicherheitsaktivitäten ab, gegliedert in Govern, Identify, Protect, Detect, Respond und Recover. Der Einstieg ist mit geringem Aufwand verbunden, da Sie sich in einem Workshop selbst bewerten können. Da es kein Zertifikat gibt, bringt Ihnen der Aufwand Klarheit statt eines Nachweises.
Die CIS Controls sind erwähnenswert, auch wenn sie keine Risikomethodik darstellen. Es handelt sich um eine priorisierte Liste technischer Kontrollen in drei Implementierungsgruppen, wobei die erste Gruppe gezielt für Organisationen ohne eigenes Sicherheitsteam konzipiert ist. Viele KMU erzielen mit CIS mehr Sicherheit pro Stunde als mit jedem anderen Framework und führen später ein Framework ein, wenn es explizit gefordert wird.
Zwei weitere Ansätze tauchen in Suchen auf, passen aber selten für KMU. COSO ERM ist für Vorstände und Finanzberichterstattung konzipiert. FAIR drückt Risiken in Geldwerten aus, was zwar nützlich ist, aber Schadensdaten und einen geschulten Analysten erfordert.
Dann gibt es noch branchenspezifische Ergänzungen, die auf Ihrer Wahl aufbauen, statt sie zu ersetzen: IEC 62443 für industrielle Umgebungen und OT, NEN 7510 für das niederländische Gesundheitswesen oder ISO 42001 für KI-Managementsysteme.
Vier Fehler sind für den Großteil der Geldverschwendung verantwortlich, die wir beobachten.
Das größte Framework zu wählen, nur weil es am gründlichsten aussieht, ist ein Fehler. Der Geltungsbereich ist eine Entscheidung, die Sie treffen, kein Umfang, den Sie einfach übernehmen.
Betrachten Sie ein Framework wie Software. Kein Tool implementiert ein Framework für Sie. Tools senken lediglich den administrativen Aufwand für den Betrieb – das ist eine echte Ersparnis, aber etwas völlig anderes.
Eine gesetzliche Verpflichtung mit einem Framework zu verwechseln und dann zu versuchen, sich nach NIS2 zertifizieren zu lassen, funktioniert nicht. Sie müssen nachweisen, dass Ihr Risikomanagement die Anforderungen erfüllt, was in der Regel durch den Verweis auf ein Framework geschieht.
Kaufen Sie kein Tool, bevor Sie den Geltungsbereich festgelegt haben. Der Geltungsbereich bestimmt die Größe Ihres Risikoregisters, und mit diesem Register werden Sie arbeiten.
Die ehrliche Antwort auf die Frage nach dem Aufwand lautet: Das Framework ist nicht die eigentliche Arbeit. Das Risikoregister, die Nachweise und der Überprüfungsrhythmus sind die Arbeit – und sie gehen weiter, auch nachdem das Zertifikat vorliegt.
Framework-Dokumente beschreiben einen Prozess. Hier sehen Sie, wie dieser Prozess in der Größenordnung aussieht, in der die meisten Leser tatsächlich arbeiten – am Beispiel von ISO 27001, da hier am Ende ein Audit steht.
Beginnen Sie damit, was Sie schützen wollen. Ein erstes Asset-Inventar für ein Unternehmen mit 40 Mitarbeitern umfasst in der Regel zwischen 60 und 120 Einträge, wenn man Systeme, Datenspeicher, Lieferanten und Laptops mitzählt. Es ist kleiner, als viele befürchten, aber umfangreicher als die erste Excel-Tabelle.
Benennen Sie Risiken für diese Assets ganz konkret. „Risiko eines Datenlecks“ lässt sich nicht behandeln, da es nicht überprüfbar ist. „Unbefugter Zugriff auf die Kundendatenbank über ein gemeinsames Administratorkonto“ hingegen schon: Sie sehen das Konto, Sie wissen, wer das Passwort kennt, und Sie können den Zugriff noch diese Woche sperren.
Bewerten Sie jedes Risiko hinsichtlich Eintrittswahrscheinlichkeit und Auswirkung anhand einer festen Skala. Die Skala selbst ist weniger wichtig als die Konsistenz, denn erst die Vergleichbarkeit macht das Register nach einem Jahr wirklich nützlich.
Legen Sie für jedes Risiko eine Behandlungsmaßnahme fest. Akzeptieren Sie, dass das Akzeptieren eines Risikos eine legitime Maßnahme ist, sofern der Verantwortliche den Grund dokumentiert. Auditoren beanstanden nicht dokumentierte Entscheidungen weitaus häufiger als akzeptierte Risiken.
Weisen Sie einen Verantwortlichen und ein Überprüfungsdatum zu. Dieser Schritt unterscheidet ein lebendiges Register von einem Dokument, das nur für ein Audit geschrieben wurde – und es ist der Schritt, der am häufigsten übersprungen wird.
Überprüfen Sie das Register in einem Rhythmus, den Sie auch einhalten können. Quartalsweise für die Hauptrisiken und jährlich für den Rest ist ohne zusätzliches Personal machbar.
Der erste Durchgang dauert ein paar Arbeitstage, verteilt auf einige Wochen. Der zweite Durchgang dauert nur noch Stunden, da die Struktur bereits steht. Die laufenden Kosten entstehen durch die Überprüfung, nicht durch die Einrichtung.
Beantworten Sie diese Fragen nacheinander und hören Sie bei der ersten Antwort „Ja“ auf.
Hat ein Kunde, Versicherer oder eine Aufsichtsbehörde Sie um einen Nachweis gebeten? Wählen Sie ISO 27001 und nutzen Sie ISO 27005 für die Risikomethodik. Das deckt die meisten KMU ab, die sich mit Frameworks befassen, da die Suche meist mit einem Fragebogen beginnt.
Sind Sie Zulieferer eines Unternehmens, das unter die NIS2-Richtlinie fällt, und erhalten deshalb Fragebögen? Schauen Sie sich NIS2 Supply Chain an, beginnend bei der Stufe SC10. Dies ist die einzige zertifizierbare Antwort auf dieser Liste, die speziell für Zulieferer konzipiert ist und nicht für die direkt betroffene Einheit – dort, wo die meisten EU-KMU tatsächlich stehen.
Fallen Sie selbst unter die NIS2-Richtlinie? Dann sind die Maßnahmen nicht optional. Der praktikabelste Weg ist, NIS2 als Ihr Framework zu nutzen, wobei Lieferantendaten und Bewertungen an derselben Stelle verwaltet werden wie der Rest Ihres Risikomanagements.
Sind Sie bereits nach ISO 9001 zertifiziert? Beginnen Sie dort. Die Klausel zum risikobasierten Denken bietet Ihnen einen Platz für Ihre Risikoarbeit innerhalb eines Managementsystems, das Ihr Team bereits nutzt – das ist kostengünstiger, als ein zweites System aufzubauen.
Benötigen Sie eine Risikoabdeckung, die über die IT hinausgeht, etwa für finanzielle oder operative Risiken, die für den Vorstand relevant sind? ISO 31000 bildet hierfür den übergeordneten Rahmen, der ergänzend zu einem Sicherheits-Framework fungiert, anstatt es zu ersetzen.
Sie benötigen sofort eine Struktur, aber ohne Audit und ohne Budget? Beginnen Sie mit dem NIST CSF für die konzeptionelle Ausrichtung und der Implementierungsgruppe 1 der CIS Controls für die praktische Umsetzung. Evaluieren Sie das Ganze nach einem Jahr erneut.
Sind Sie in einem regulierten Sektor tätig? Ergänzen Sie die oben genannten Ansätze um das jeweils zutreffende Overlay, wie etwa IEC 62443, NEN 7510 oder ISO 42001, anstatt sie durch diese zu ersetzen.
Falls Ihre Wahl auf ISO 27001 gefallen ist, sollten Sie sich als Nächstes nicht mit weiteren Framework-Vergleichen befassen. Führen Sie stattdessen eine Risikobewertung in der Form durch, die ein Auditor erwartet: mit Assets, die mit Risiken verknüpft sind, benannten Verantwortlichen und Maßnahmen, die den entsprechenden Kontrollen zugeordnet sind. ISOPlanner™ führt dies direkt in Microsoft 365 aus. So bleibt das Register in dem SharePoint, den Ihr Team bereits nutzt, und die Prüfaufgaben landen in Outlook – statt in einem System, das zwischen den Audits niemand öffnet.
Sehen Sie sich eine ausgearbeitete ISO 27001-Risikobewertung an und entscheiden Sie dann, ob die Frage nach dem Framework überhaupt noch offen ist.
Log in to your ISOPlanner™ workspace, or start a free trial.
Log in Start your free trial