OIS · Organisation der Informationssicherheit

OIS-07 Richtlinie für Risikomanagement

1 Unterkriterium

Geändert gegenüber C5:2020 · vorher OIS-06

Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.

Basiskriterium

Added requirement that risk assessment methodology enables reproducability and comparability.

Extended aspects to be addressed by the risk management procedures by a of the risk assessment and status of risk treatment plans to be conducted by the responsible management.

Bullet points are now sorted to ease discussions about specific list items.

Wortlaut in C5:2020

Basiskriterium

Policies and instructions for risk management procedures are documented, communicated and provided in accordance with SP-01 for the following aspects:

Identification of risks associated with the loss of confidentiality, integrity, availability and authenticity of information within the scope of the ISMS and assigning risk owners;
Analysis of the probability and impact of occurrence and determination of the level of risk;
Evaluation of the risk analysis based on defined criteria for risk acceptance and prioritisation of handling;
Handling of risks through measures, including approval of authorisation and acceptance of residual risks by risk owners; and
Documentation of the activities implemented to enable consistent, valid and comparable results.

Alle Änderungen gegenüber C5:2020

Basiskriterium

OIS-07.01B

Richtlinien und Verfahren für Risikomanagementverfahren sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt. Risikomanagementverfahren basieren auf einer Methodik für Risikobeurteilungen. Die Methodik ermöglicht Vergleichbarkeit und Reproduzierbarkeit für die folgenden Aspekte:

Identifikation von Cybersicherheitsrisiken im Zusammenhang mit dem Verlust der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität von Informationen innerhalb des Anwendungsbereichs des ISMS und Zuweisung von Risikoeigentümern;
Analyse der Eintrittswahrscheinlichkeiten und Auswirkungen bei Eintritt sowie Bestimmung des Risikoniveaus;
Bewertung der Risikobeurteilung auf Basis definierter Kriterien zur Risikoakzeptanz und Priorisierung des Risikomanagements;
Behandlung der Risiken durch Maßnahmen, einschließlich Genehmigung der Maßnahmen und Akzeptanz der Restrisiken durch Risikoeigentümer;
Dokumentation der Tätigkeiten zur Anwendung des Verfahrens, um bei wiederholter Anwendung konsistente, gültige und vergleichbare Ergebnisse zu erhalten; und
Bewertung der Risikobeurteilung und des Status von Risikobehandlungsplänen durch die Ebene der Leitung, die für die Sicherheit des Cloud-Dienstes verantwortlich ist.

Ergänzende Information

Die Bestimmung des Risikoniveaus anhand von Eintrittswahrscheinlichkeiten und Auswirkungen kann durch qualitative, semi-quantitative und quantitative Methoden (vgl. ISO 31010) erfolgen.

Zur Identifizierung, Bewertung und Priorisierung potenzieller Bedrohungen und Schwachstellen im Zusammenhang mit Prozessen, Systemen und Datenflüssen kann Bedrohungsmodellierung eine strukturierte Methodik bereitstellen: Der Cloud-Anbieter kann Angriffsvektoren und mögliche Auswirkungen systematisch analysieren, um Prüfer und anderen Gruppen, die daran ein berechtigtes Interessen haben, bei der Validierung der Angemessenheit der Ausgestaltung implementierter Kontrollen zu unterstützen, Lücken in bestehenden Sicherheitsmaßnahmen hervorzuheben und die Ausrichtung an Best Practices für eine proaktive Risiko-Mitigation sicherzustellen.