Warum diese Frage wichtig ist:

Eine fundierte Risikoanalyse ist die Grundlage für alle weiteren Sicherheitsmaßnahmen. Sie hilft, Risiken zu erkennen, zu bewerten und angemessen zu behandeln. Das BSIG fordert ein systematisches Vorgehen, das nicht nur technisch, sondern auch organisatorisch getragen wird.

Hilfreiche Antwort:

Wir haben ein dokumentiertes und etabliertes Verfahren zur Risikoanalyse, das mindestens jährlich durchgeführt wird. Es wird durch aktuelle Bedrohungsinformationen (beispielsweise CERT-Bund, BSI) ergänzt. Die Ergebnisse fließen direkt in unser ISMS ein und werden mit der Geschäftsführung abgestimmt.

Antworten, die weitere Nachfragen erfordern:

• „Das macht unsere IT, da haben wir keinen Überblick.“
• „Wir haben letztes Jahr mal eine Analyse gemacht, das sollte noch passen.“
• „Das ist mit unserer ISO-Zertifizierung schon abgedeckt.“