ISO 27001 Risikobewertung: Leitfaden für Verwaltung und KRITIS

Die ISO-27001-Risikobewertung entscheidet, welche Schutzmaßnahmen eine Organisation wirklich benötigt. Dieser Leitfaden zeigt Entscheidern in öffentlicher Verwaltung und KRITIS-Betreibern Schritt für Schritt, wie eine belastbare Risikoanalyse nach ISO 27001 abläuft, worauf es dabei ankommt und wie sich daraus konkrete Maßnahmen ableiten lassen, praxisnah und fokussiert.
Das Bild zeigt zwei große Felsen zu beiden Seiten eines Abgrunds. Zwischen den Felsen klemmt ein riesiger siberfarbener Koffer. Ein Symbolbild für die ISO-27001-Risikobewertung und wie sie hilft, gefährliche Abgründe zu überbrücken.
© allvision

Warum die ISO-27001-Risikobewertung über Sicherheit entscheidet

Die ISO-27001-Risikobewertung ist das Herzstück jedes Informationssicherheits-Managementsystems. Sie legt fest, welche Gefahren eine Organisation ernst nehmen muss und welche sie bewusst tragen kann. Wie dringend das Thema ist, zeigt die Wirtschaftsschutz-Studie 2025: Laut Bitkom verursachen Cyberangriffe jährlich 202,4 Milliarden Euro Schaden in der deutschen Wirtschaft. Wer Risiken nicht kennt, kann sie nicht steuern. Genau diese Lücke schließt eine strukturierte ISO-27001-Risikobewertung, das Fundament, auf dem ein wirksames ISO-27001-Risikomanagement überhaupt erst aufbaut.

Was die Bedrohungslage für Behörden und KRITIS bedeutet

Für öffentliche Verwaltung und KRITIS ist die Lage besonders heikel. Ein Ausfall trifft nicht nur die eigene Organisation, sondern die Versorgung der Allgemeinheit. Deshalb verlangt die Norm, das Ausmaß eines Risikos für die Öffentlichkeit ausdrücklich mitzudenken. Die fachlichen Grundlagen dazu bündelt die Übersichtsseite zur ISO 27001 als zentraler Leitfaden. Sicherheit wird hier zur Frage der Daseinsvorsorge, nicht nur der IT. Eine fundierte ISO-27001-Risikobewertung bezieht deshalb mögliche Kaskadeneffekte auf andere Versorger von Beginn an ein.

Was ist der risikobasierte Ansatz der ISO 27001?

Der risikobasierte Ansatz bedeutet: Nicht jede denkbare Maßnahme wird umgesetzt. Umgesetzt wird nur, was ein reales Risiko spürbar senkt. Statt einer starren Checkliste steht die individuelle Gefährdungslage im Mittelpunkt. Das spart Aufwand und lenkt Budgets dorthin, wo sie wirken. Eine solide Cybersecurity-Strategie baut deshalb immer auf einer ehrlichen Risikobewertung nach ISO 27001 auf. So rückt die ISO-27001-Risikobewertung die wirklich kritischen Werte nach vorn und macht Sicherheit zur bewussten Entscheidung.

Sicherheit nachweisen statt behaupten

Behörden und Versorger müssen ihre Sorgfalt belegen können. Eine dokumentierte ISO-27001-Risikobewertung liefert genau diesen Nachweis gegenüber Aufsicht, Rechnungshof und Bürgern. Sie zeigt, dass Entscheidungen nachvollziehbar getroffen wurden. Damit wird gelebte IT-Compliance vom Schlagwort zur prüfbaren Tatsache. Ein nachvollziehbarer Risikoprozess schützt auch die Verantwortlichen vor persönlichen Haftungsvorwürfen. Eine saubere ISO-27001-Risikobewertung ist insofern auch ein Stück Eigenschutz für die Leitung.

Risikobewertung im ISO-27001-Risikomanagement

Risikobewertung und Risikobehandlung bilden zusammen das ISO-27001-Risikomanagement. Die Norm regelt das in Klausel 6.1 und verlangt einen klar definierten, wiederholbaren Prozess. Einmalige Schätzungen reichen nicht aus. Die Norm geht das anders an als die baustein-orientierte BSI-Methodik. Diesen Unterschied vertieft der Vergleich ISO 27001 und IT-Grundschutz. Ein gutes Risikomanagement ist nie fertig, sondern wächst mit der Organisation. Im ISO-27001-Risikomanagement greifen Bewertung, Behandlung und Überwachung als Kreislauf ineinander. Die methodischen Details zum ISMS-Risikomanagement liefert ergänzend die ISO 27005.

Die ISO-27001-Risikoanalyse als Fundament

Jede Bewertung beginnt mit einer sauberen Gefährdungsanalyse. Die ISO-27001-Risikoanalyse erfasst zunächst, welche Informationswerte überhaupt existieren. Anschließend prüft sie, welche Bedrohungen auf diese Werte wirken und welche Schwachstellen sich ausnutzen ließen. Erst dieses Bild macht Risiken vergleichbar. Wie sich die Ergebnisse später in sichere Anwendungen übersetzen, zeigt die Seite zur sicheren Softwareentwicklung nach ISO 27001. Ohne belastbare Analyse bleibt jede Maßnahme Stückwerk. Sie ist der erste Schritt im ISO-27001-Risikomanagement und prägt alle folgenden Entscheidungen. Als methodischer Leitfaden dient dabei häufig die ISO 27005 mit ihren bewährten Verfahren.

Wann die Risikoanalyse wiederholt werden muss

Eine Risikoanalyse nach ISO 27001 ist kein Projekt mit Enddatum. Sie wird regelmäßig wiederholt und bei jeder größeren Änderung erneuert. Neue Systeme, neue Dienstleister oder neue Bedrohungen verschieben das Bild. Gerade in Vergabeverfahren spielt das eine Rolle, wie die Seite zu ISO 27001 in Ausschreibungen zeigt. Veraltete Bewertungen wiegen in falscher Sicherheit und gefährden den Zertifizierungserfolg. Im Audit verliert eine veraltete ISO-27001-Risikobewertung dann rasch ihre Aussagekraft.

Die ISO-27001-Risikobewertung Schritt für Schritt

Die ISO-27001-Risikobewertung läuft in nachvollziehbaren Schritten ab. Sie reicht von der Festlegung des Geltungsbereichs über die Einstufung einzelner Risiken bis zur Entscheidung, welche davon behandelt werden. Jeder Schritt baut auf dem vorherigen auf. Struktur ersetzt hier das Bauchgefühl und macht Ergebnisse vergleichbar und prüfbar. Diese ISO-27001-Risikobewertung folgt einem festen Muster, das jede Behörde nachvollziehen kann.

Welcher Schritt kommt bei der Risikobewertung zuerst?

Am Anfang steht immer die Festlegung von Kontext und Geltungsbereich. Erst danach folgt die Erfassung der Informationswerte. Der vollständige Ablauf der Risikobewertung nach ISO 27001 umfasst sechs Schritte:

Diese Reihenfolge sorgt dafür, dass keine wichtigen Werte übersehen werden.

Wie wird ein Risiko nach ISO 27001 bewertet?

Ein Risiko ergibt sich aus zwei Faktoren: wie wahrscheinlich ein Schaden ist und wie schwer er ausfällt. Beide werden auf einer Skala eingestuft und miteinander verrechnet. Eine Risikomatrix nach ISO 27001 macht das Ergebnis sichtbar, meist als Fünf-mal-Fünf-Raster von grün bis rot. So lässt sich auf einen Blick erkennen, welche ISO-27001-Risiken oben auf der Liste stehen. Die Matrix übersetzt Bauchgefühl in vergleichbare Zahlen. So entsteht aus der Risikobewertung nach ISO 27001 eine klare Rangfolge der dringendsten Gefahren.

Ein Beispiel für die ISO-27001-Risikoanalyse

Ein Beispiel macht die ISO-27001-Risikoanalyse greifbar. Eine Kommune betreibt ein Bürgerportal mit personenbezogenen Daten. Die Bedrohung ist ein Ransomware-Angriff, die Schwachstelle ein veraltetes System. Wahrscheinlichkeit mittel, Schaden hoch, daraus folgt ein hohes Risiko, das behandelt werden muss. Solche konkreten Szenarien machen abstrakte Gefahren begreifbar und erleichtern die Priorisierung erheblich. Im ISO-27001-Risikomanagement dienen sie zugleich als Schulungsmaterial und schärfen die ISO-27001-Risikoanalyse. In der Risikomatrix landet dieses Szenario klar im roten Bereich.

Von der Bewertung zur Risikobehandlung

Nach der Bewertung folgt die Entscheidung. Für jedes Risiko oberhalb der Akzeptanzschwelle wählt die Organisation eine Strategie und hält sie schriftlich fest. So entsteht aus der Analyse konkretes Handeln. Das Ergebnis dokumentiert ein Risikobehandlungsplan, ergänzt um das Statement of Applicability. Erst diese Behandlung macht aus Erkenntnis echten Schutz. Damit fügt die ISO-27001-Risikobewertung Analyse und Maßnahme zu einem vollständigen ISO-27001-Risikomanagement zusammen.

Welche Optionen gibt es zur Risikobehandlung nach ISO 27001?

Bei der Risikosteuerung kennt ISO 27001 vier Wege, mit einem Risiko umzugehen. Welcher passt, hängt von Kosten, Nutzen und Schutzbedarf ab:

In der Praxis überwiegt das Reduzieren. Akzeptanz ist erlaubt, aber nur bewusst und dokumentiert.

Risk Owner und Risikobehandlungsplan

Jedes Risiko braucht einen Verantwortlichen, den sogenannten Risk Owner. Er entscheidet über die Behandlung und trägt sie mit. Der ISO-27001-Risikobehandlungsplan hält fest, wer was bis wann umsetzt. Technische Maßnahmen wie Anwendungshärtung werden so verbindlich verankert. Ohne klare Verantwortung versanden auch gute Pläne im Tagesgeschäft. Der Plan ist das greifbare Ergebnis der gesamten Risikobewertung nach ISO 27001.

Besonderheiten für öffentliche Verwaltung und KRITIS

In der öffentlichen Verwaltung und bei KRITIS gelten strengere Maßstäbe. Die ISO-27001-Risikobewertung muss die Auswirkung auf die Allgemeinheit einbeziehen, nicht nur den eigenen Betrieb. Typische Schwerpunkte sind:

Dass dieser Anspruch erfüllbar ist, zeigt die Zertifizierung von TenMedia nach ISO 27001 aus eigener Erfahrung.

Typische Fehler bei der Risikobewertung

Auch eine gut gemeinte Risikobewertung kann scheitern. Die häufigsten Stolpersteine lassen sich vermeiden:

Eine ehrliche Bewertung ist mehr wert als eine schöne.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Auskünfte zu regulatorischen Anforderungen empfehlen wir die Konsultation einer spezialisierten Rechtsberatung.

FAQs

Wann muss eine Risikobeurteilung durchgeführt werden? keyboard_arrow_down keyboard_arrow_up
Eine Risikobeurteilung wird in geplanten Abständen durchgeführt, in der Praxis meist jährlich, und zusätzlich bei jeder wesentlichen Änderung. Dazu zählen neue Systeme, neue Dienstleister, veränderte Bedrohungslagen oder Sicherheitsvorfälle. So bleibt das Risikobild aktuell und die Schutzmaßnahmen passen weiterhin zur tatsächlichen Gefährdung.
Welche Rolle spielt das Statement of Applicability? keyboard_arrow_down keyboard_arrow_up
Das Statement of Applicability, kurz SoA, dokumentiert, welche der Annex-A-Maßnahmen angewendet werden und warum. Es verbindet die Ergebnisse der Risikobehandlung mit den konkreten Schutzmaßnahmen. Im Audit ist es das zentrale Nachweisdokument und belegt, dass die Auswahl begründet und vollständig ist.
Setzt TenMedia die Ergebnisse einer Risikobewertung technisch um? keyboard_arrow_down keyboard_arrow_up
Ja, das ist der Teil, den TenMedia übernimmt. Das Team ist eine nach ISO 27001 zertifizierte Softwareagentur und keine ISMS-Beratung. Die eigentliche Bewertung und die Auswahl der Maßnahmen bleiben bei der Organisation und ihren Auditoren. TenMedia übersetzt die Ergebnisse anschließend in technische Maßnahmen: geregelte Zugriffsrechte, Verschlüsselung, Protokollierung und gehärtete Anwendungen. Im Rahmen langfristiger Wartung werden diese Maßnahmen gepflegt und nachvollziehbar dokumentiert. So findet eine ISO-27001-Risikobewertung ihre technische Entsprechung in der Software.