Risikomethode ändern: Wie bleiben Bewertungen vergleichbar?

Eine neue Risikomatrix kann sinnvoll sein, wenn bisherige Kategorien zu grob sind oder Auswirkungen nicht zum Geschäft passen. Gefährlich wird der Wechsel, wenn niedrigere Zahlen anschließend als bessere Sicherheit erscheinen.

Bewahrt deshalb den alten Bewertungsstand und kennzeichnet, welche Methode ein Ergebnis erzeugt hat. Eine neue Skala verändert zunächst die Messung, nicht automatisch das Risiko.

Was ändert sich tatsächlich?

Schreibt vor der Umstellung auf, welchen Mangel ihr beheben wollt. Ändert sich nur eine Bezeichnung oder auch die Bedeutung der Bewertung?

Eine Risikomatrix ist nur ein Teil der Methode. Ebenso wichtig sind Annahmen, betrachtete Szenarien und die Regeln, nach denen ihr Entscheidungen trefft.

NIST SP 800-30 unterscheidet unter anderem Risikomodell und Bewertungsansatz und betont nachvollziehbare, wiederholbare Bewertungen. Daraus folgt für einen Methodenwechsel: Nicht nur das Ergebnis, sondern auch sein Entstehungsweg muss erhalten bleiben. NIST SP 800-30, Kapitel 2 und 3

Sichert einen erklärbaren Ausgangsstand

Haltet vor dem Wechsel die gültige Methodenversion, Bewertungsdatum, Annahmen, Ergebnis und bestehende Entscheidungen fest. Verknüpft die verwendeten Belege. Eine exportierte Zahl ohne diese Informationen reicht nicht aus, um spätere Unterschiede zu erklären.

Wenn zugleich neue Informationen vorliegen, trennt die beiden Änderungen: Was wäre nach neuer Methode bei unverändertem Sachstand herausgekommen? Was ändert sich zusätzlich durch den neuen Sachstand?

Der Risikoreview beschreibt die fachliche Neubewertung bei veränderten Umständen. Ein Methodenwechsel ist ein eigener Anlass und sollte als solcher erkennbar sein.

Bewertet einige Fälle parallel

Wählt bewusst unterschiedliche Szenarien: einen klar unkritischen Fall, einen Fall an der Akzeptanzgrenze und ein wesentliches Risiko. Bewertet dieselben Annahmen nach alter und neuer Methode.

Fiktiver Fall: Ein Unternehmen ersetzt eine dreistufige durch eine fünfstufige Schadensskala. Ein bisher mittleres Ausfallszenario fällt nun in die zweite Stufe. Das ist keine nachgewiesene Risikominderung. Erst der Vergleich der zugrunde liegenden Ausfallfolgen zeigt, ob lediglich die Einteilung feiner wurde.

Prüft auch, ob verschiedene Bewertende mit denselben Angaben zu ähnlichen Ergebnissen kommen. Große Abweichungen können auf unklare Definitionen hinweisen. Klärt diese, bevor ihr das gesamte Register überführt.

Entscheidet über den Übergang

Legt einen Stichtag fest und bestimmt, welche Bewertungen zuerst umgestellt werden. Bestehende Risikoakzeptanzen müssen darauf geprüft werden, ob ihre Grundlage noch passt. Eine neue Farbe darf weder eine alte Freigabe stillschweigend ersetzen noch eine überholte Entscheidung fortschreiben.

Dokumentiert für jeden überführten Fall alte Methode, neue Methode, neuen Befund und die Ursache der Abweichung. Wo keine sinnvolle Umrechnung möglich ist, kennzeichnet den Bruch ausdrücklich.

Protokoll für die Umstellung

Nutzt pro Vergleichsfall diese Felder. Bewertet nicht vergleichbare Fälle neu, statt eine Zuordnungsregel zu erzwingen.

So bleiben Berichte ehrlich

Stellt Zeitreihen vor und nach der Umstellung getrennt dar oder erklärt die eingeschränkte Vergleichbarkeit direkt an der Darstellung. Zählt nicht einfach neue und alte Risikostufen zusammen.

Berichtet der Leitung, was die neue Methode besser unterscheidet und welche Entscheidungen sich daraus ergeben. Die ISMS-Kennzahlen sollten eine veränderte Messlogik sichtbar machen, statt scheinbaren Fortschritt zu produzieren.

In Kopexa könnt ihr Risiken und zugehörige Maßnahmen bearbeiten. Prüft einen Methodenwechsel zuerst anhand bereinigter Vergleichsfälle in eurer konkreten Konfiguration. Die Risikomanagement-Software soll den fachlichen Zusammenhang unterstützen; die Begründung einer Bewertung bleibt Aufgabe der verantwortlichen Personen.