# OIS-07 Richtlinie für Risikomanagement

- Bereich: OIS – Organisation der Informationssicherheit
- Gegenüber C5:2020: geändert (vorher OIS-06)
- Webseite: https://c5.patrickscheid.de/ois-07/

## Basiskriterium

### OIS-07.01B

Richtlinien und Verfahren für Risikomanagementverfahren sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt. Risikomanagementverfahren basieren auf einer Methodik für Risikobeurteilungen. Die Methodik ermöglicht Vergleichbarkeit und Reproduzierbarkeit für die folgenden Aspekte:

1. Identifikation von Cybersicherheitsrisiken im Zusammenhang mit dem Verlust der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität von Informationen innerhalb des Anwendungsbereichs des ISMS und Zuweisung von Risikoeigentümern;
2. Analyse der Eintrittswahrscheinlichkeiten und Auswirkungen bei Eintritt sowie Bestimmung des Risikoniveaus;
3. Bewertung der Risikobeurteilung auf Basis definierter Kriterien zur Risikoakzeptanz und Priorisierung des Risikomanagements;
4. Behandlung der Risiken durch Maßnahmen, einschließlich Genehmigung der Maßnahmen und Akzeptanz der Restrisiken durch Risikoeigentümer;
5. Dokumentation der Tätigkeiten zur Anwendung des Verfahrens, um bei wiederholter Anwendung konsistente, gültige und vergleichbare Ergebnisse zu erhalten; und
6. Bewertung der Risikobeurteilung und des Status von Risikobehandlungsplänen durch die Ebene der Leitung, die für die Sicherheit des Cloud-Dienstes verantwortlich ist.

**Ergänzende Information:**

Die Bestimmung des Risikoniveaus anhand von Eintrittswahrscheinlichkeiten und Auswirkungen kann durch qualitative, semi-quantitative und quantitative Methoden (vgl. ISO 31010) erfolgen.

Zur Identifizierung, Bewertung und Priorisierung potenzieller Bedrohungen und Schwachstellen im Zusammenhang mit Prozessen, Systemen und Datenflüssen kann Bedrohungsmodellierung eine strukturierte Methodik bereitstellen: Der Cloud-Anbieter kann Angriffsvektoren und mögliche Auswirkungen systematisch analysieren, um Prüfer und anderen Gruppen, die daran ein berechtigtes Interessen haben, bei der Validierung der Angemessenheit der Ausgestaltung implementierter Kontrollen zu unterstützen, Lücken in bestehenden Sicherheitsmaßnahmen hervorzuheben und die Ausrichtung an Best Practices für eine proaktive Risiko-Mitigation sicherzustellen.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Added requirement that risk assessment methodology enables reproducability and comparability.

Extended aspects to be addressed by the risk management procedures by a of the risk assessment and status of risk treatment plans to be conducted by the responsible management.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.