Risikoanalyse: Die größte Schwäche liegt selten in der Risikobewertung

Als das fehlerhafte CrowdStrike-Update im Juli 2024 weltweit IT-Systeme außer Betrieb setzte, war die technische Ursache schnell bekannt. Für viele Unternehmen begann die eigentliche Herausforderung jedoch erst danach: Welche kritischen Geschäftsservices waren betroffen? Welche Standorte konnten nicht mehr arbeiten? Welche regulatorischen Auswirkungen entstanden? Nicht der technische Fehler entschied über die Handlungsfähigkeit, sondern die Transparenz über die eigenen Abhängigkeiten.

In unseren DORA- und NIS2-Projekten beobachten wir regelmäßig ein ähnliches Muster. Die größte Schwäche vieler Risikoanalysen besteht darin, dass Unternehmen häufig nicht belastbar beantworten können, was sie eigentlich schützen müssen.

Professionelles Risikomanagement beginnt deshalb nicht mit Eintrittswahrscheinlichkeiten oder Risikomatrizen. Es beginnt mit der Identifikation der Geschäftsservices, deren Ausfall erhebliche Auswirkungen auf Kunden, Unternehmen oder regulatorische Verpflichtungen hätte. Erst wenn bekannt ist, was geschützt werden muss, lassen sich Risiken fundiert bewerten und Maßnahmen wirksam priorisieren.

Von der Risikoanalyse mit Informationslücken zur belastbaren Risikoanalyse

Vergleich Ausgangszustand und Zielzustand

Risikoanalyse: Kritische Geschäftsservices schaffen ein belastbares Risikobild

DORA und NIS2 verstärken einen Paradigmenwechsel, der sich bereits seit einigen Jahren im Risikomanagement abzeichnet. Im Mittelpunkt stehen nicht mehr einzelne IKT-Risiken, sondern die Fähigkeit eines Unternehmens, kritische Geschäftsservices auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten.

Damit verändert sich auch die Aufgabe der Risikoanalyse. Sie bewertet nicht mehr nur Risiken. Sie macht sichtbar, welche Prozesse, Informationen, Anwendungen, IKT-Systeme, Standorte und Dienstleister einen kritischen Geschäftsservice tragen. Erst daraus entsteht ein belastbares Risikobild – die Grundlage für fundierte Managemententscheidungen.

Risikoanalyse: Komplexität erzeugt Parallelität

Aus unserer Beratungspraxis wissen wir, dass selten der Ausfall eines einzelnen Systems zur größten Herausforderung wird. Kritisch wird eine Situation erst dann, wenn technische, organisatorische und externe Abhängigkeiten gleichzeitig betroffen sind.

Je komplexer Unternehmen werden, desto mehr dieser Abhängigkeiten entstehen.
Diese Komplexität führt im Ereignisfall zu der Parallelität von Entscheidungen, die wir bereits im ersten Beitrag dieser Blogserie beschrieben haben ( Zum Beitrag ). Müssen mehrere Geschäftsservices gleichzeitig bewertet, regulatorische Anforderungen berücksichtigt und Prioritäten unter Zeitdruck festgelegt werden, entscheidet nicht die Geschwindigkeit der Analyse über die Handlungsfähigkeit, sondern die Qualität des vorhandenen Risikobilds.

Der CrowdStrike-Vorfall hat diese Zusammenhänge verdeutlicht: Die größte Herausforderung lag in der Bewertung der Auswirkungen auf kritische Geschäftsservices und deren Priorisierung, nicht in der technischen Umsetzung.

Eine belastbare Risikoanalyse verbindet deshalb Geschäftsservices, Prozesse, Informationen, IKT-Assets und externe Dienstleister zu einem gemeinsamen Risikobild. Sie macht Komplexität bereits vor einer Krise transparent und schafft die Grundlage, Parallelität im Ereignisfall beherrschbar zu machen.

Risikoanalyse: Ein Risikobild schafft Entscheidungsfähigkeit

Welche Informationen benötigt die Geschäftsleitung, um unter Unsicherheit belastbare Prioritäten festzulegen? Unsere Projekterfahrung zeigt, dass eine möglichst vollständige Risikoliste diese Frage nicht beantwortet. Entscheidend ist ein gemeinsames Risikobild, das Zusammenhänge, Abhängigkeiten und Auswirkungen auf kritische Geschäftsservices transparent macht.

Erst dieses Risikobild ermöglicht konsistente Entscheidungen über Informationssicherheit, Business Continuity Management, Krisenmanagement und operationelle Resilienz. Ohne eine gemeinsame Sicht auf Risiken entstehen zwangsläufig unterschiedliche Prioritäten und damit widersprüchliche Steuerungsentscheidungen.

Risikoanalyse: Ein belastbares Risikobild braucht belastbare Daten

Eine Risikoanalyse scheitert nur selten an der Bewertungsmethodik. Deutlich häufiger fehlen konsistente Informationen über kritische Geschäftsservices, unterstützende Anwendungen oder deren technische und organisatorische Abhängigkeiten.

Die Qualität einer Risikoanalyse hängt deshalb unmittelbar von der Qualität ihrer Datengrundlage ab. Erst wenn Geschäftsservices, unterstützende Systeme und ihre Abhängigkeiten vollständig und aktuell beschrieben sind, entsteht ein belastbares Risikobild. Es macht die Komplexität moderner Unternehmen transparent und schafft die notwendige Informationsgrundlage für fundierte Managemententscheidungen.

Doch woher stammen diese Informationen? Dieser Frage widmen wir uns im nächsten Beitrag unserer Blogserie. Dort werden wir zeigen, warum ein professionelles IKT-Assetmanagement heute weit mehr ist als ein technisches Inventar und weshalb belastbare Assetdaten die unverzichtbare Grundlage jeder wirksamen Risikoanalyse bilden.

Wo steht Ihre Risikoanalyse heute?

Verfügt Ihr Unternehmen bereits über ein belastbares Risikobild, das als Grundlage für Managemententscheidungen dient und kritische Geschäftsservices mit ihren technischen sowie organisatorischen Abhängigkeiten integriert abbildet?

Die WG-DATA analysiert gemeinsam mit Ihnen den Reifegrad Ihrer bestehenden Risikoanalyse, identifiziert strukturelle Informationsdefizite und entwickelt daraus eine Roadmap für ein belastbares Risikobild als Grundlage fundierter Managemententscheidungen.

Ihr Ansprechpartner

Jörn Stenvers
Partner
Risiken und Compliance
joern.stenvers@wg-data.de