Was ist ein Risikoeigentümer?
Ein Risikoeigentümer ist die namentlich benannte Person, die für ein einzelnes Risiko einsteht: Sie bestätigt die Bewertung, entscheidet über die Behandlung und akzeptiert das Restrisiko. Die Rolle ist eine Entscheidungsbefugnis, keine Dokumentationsangabe.
BSI-Standard 200-3 fragt deshalb schon in den Vorarbeiten zur Risikoanalyse (Kapitel 2), ob Risiken den jeweiligen Risikoeigentümern zugeordnet sind. Wie die Rolle in den gesamten Prozess eingebettet ist, beschreibt der Eintrag zum Risikomanagement.
Was macht ein Risikoeigentümer?
Ein Risikoeigentümer trifft fünf Entscheidungen und hält sie nach:
- Bewertung bestätigen: Sind Eintrittswahrscheinlichkeit und Auswirkung aus fachlicher Sicht plausibel?
- Behandlung wählen: vermeiden, vermindern, übertragen oder akzeptieren.
- Maßnahmen beauftragen: mit Termin, Verantwortlichem und Mitteln.
- Restrisiko akzeptieren oder eskalieren, wenn es die eigene Befugnis übersteigt.
- Überwachen: Veränderungen der Lage und die Wirksamkeit der Maßnahmen berichten.
Die Überwachung unterscheidet den Eigentümer von einem Genehmiger, denn die Rolle endet nicht mit der Freigabe des Behandlungsplans.
Welche Abschnitte der ISO 27001 verlangen einen Risikoeigentümer?
ISO/IEC 27001 verankert die Rolle in zwei Abschnitten des Risikoprozesses. Abschnitt 6.1.2 ordnet jedem identifizierten Risiko einen Eigentümer zu, und nach Abschnitt 6.1.3 geben die Risikoeigentümer die geplante Behandlung und das verbleibende Risiko frei.
BSI-Standard 200-3 setzt den Akzent anders: Das Restrisiko muss nach Kapitel 6 „der Leitungsebene zur Zustimmung vorgelegt werden“. Wer nach ISO/IEC 27001 auf der Basis von IT-Grundschutz arbeitet, lässt das Restrisiko deshalb vom Risikoeigentümer akzeptieren und von der Leitung bestätigen.
Fünf Rollen, fünf Verantwortungen
Der Risikoeigentümer verantwortet das Risiko, nicht die Umsetzung jeder Maßnahme und nicht die Methode:
| Rolle | Verantwortet | Geeignete Besetzung |
|---|---|---|
| Risikoeigentümer | das Risiko und die Entscheidung über seine Behandlung | Bereichs- oder Prozessverantwortlicher mit Budget |
| Maßnahmenverantwortlicher | die Umsetzung einer einzelnen Maßnahme in Zeit und Qualität | Fach- oder Projektverantwortlicher |
| Asset-Eigentümer | einen Informationswert über dessen Lebenszyklus | Fachbereich, dem das Asset dient |
| Prozessverantwortlicher | Leistung und Kennzahlen eines Prozesses | Linienführungskraft |
| Informationssicherheitsbeauftragter oder Risikomanager | Methode, Konsolidierung, Berichterstattung | Stabsfunktion |
Mehrere Rollen dürfen in einer Person zusammenfallen, mit einer Ausnahme: Wer die Methode betreut, sollte nicht zugleich über die Akzeptanz der Ergebnisse entscheiden.
Drei Regeln für die Wahl des Risikoeigentümers
Geeignet ist, wer die Ursache des Risikos beeinflussen kann und über Mittel verfügt, um Maßnahmen zu beauftragen. Daraus folgen drei Regeln:
- Immer eine Person, nie ein Gremium. Ein Gremium kann beraten, aber nicht persönlich Rechenschaft tragen.
- So tief wie möglich, so hoch wie nötig. Die Ebene muss zur Höhe des Restrisikos passen; oberhalb festgelegter Schwellen entscheidet die Geschäftsleitung.
- Nicht automatisch die IT. Das Ausfallrisiko eines Fachverfahrens gehört dem Fachbereich, der den Prozess verantwortet; die IT ist Maßnahmenverantwortlicher.
Eine Zuordnung scheitert, wenn der Eigentümer weder Befugnis noch Kenntnis hat, etwa in diesen vier Mustern:
- Alle IT-nahen Risiken liegen beim ISB oder der IT-Leitung, die weder den Prozess noch das Budget verantworten.
- Der Eigentümer erfährt von seiner Rolle erst im Audit.
- Restrisiken akzeptieren Personen, deren Befugnis dafür nicht festgelegt ist.
- Bei Stellenwechseln wird die Zuordnung nicht übergeben, und Risiken gehören formal einer Person, die den Bereich verlassen hat.
Wie Rizzqo Risikoeigentümerschaft führt
In Rizzqo führt jede Risikobewertung ein eigenes Feld für den Risikoeigentümer und durchläuft den Freigabeweg nicht bewertet, in Prüfung und bewertet. Eintrittswahrscheinlichkeit in Prozent und Schadenshöhe in Euro ergeben über eine konfigurierbare Matrix die Risikostufe, getrennt nach inhärentem, aktuellem und Restwert.
Maßnahmen, über die der Risikoeigentümer entscheidet, laufen als Aufgaben mit geplanter Risikominderung. Solange eine Aufgabe offen ist, ist die Minderung reserviert; mit dem Abschluss wird sie angerechnet. Jedes Asset führt zudem einen eigenen Verantwortlichen, sodass Asset- und Risikoeigentümer getrennt benannt sind.