Risikomanagement-Software für ISMS & GRC
Die richtigen Risiken zuerst angehen.
Die Risikoliste wächst. Zeit und Budget bleiben knapp. Mit Kopexa seht ihr, welche Risiken euren Betrieb treffen, entscheidet über die Behandlung und verfolgt, ob eure Maßnahmen wirken.
Unternehmen, die mit Kopexa arbeiten
Das E-Mail-System läuft. Euer Angebot kommt trotzdem nicht an.
Seht, welche Kundenkontakte gefährdet sind.
Ein Angebot erreicht den Kunden nicht. Eine dringende Supportantwort bleibt aus. In Kopexa verbindet ihr dieses Risiko mit eurer Kundenkommunikation, Google Workspace und Google als Lieferant. So könnt ihr gemeinsam beurteilen, welche Kundenkontakte betroffen wären und wo ihr einen Ersatzkanal braucht.
Google beschreibt eine mögliche Ursache für Gmail: Bei gemeinsam genutzten Versand-IPs kann Spam anderer Absender dazu führen, dass Empfängersysteme auch legitime Mails ablehnen.
- ProzessKundenkommunikation
- AssetGoogle Workspace
- AbhängigkeitGoogle
Alles wirkt dringend. Ihr könnt nicht alles gleichzeitig angehen.
Priorisiert Risiken nach den Folgen für euren Betrieb.
Wie oft werden Kundenmails abgelehnt? Was bedeutet das für offene Angebote und dringende Supportfälle? Bewertet Wahrscheinlichkeit und Folgen nach einer gemeinsamen Methode. In der 5×5-Risikomatrix seht ihr, welche Risiken zuerst eine Entscheidung brauchen. So könnt ihr begründen, wofür ihr die knappe Zeit und das Budget einsetzt.
Haltet fest, warum ihr zu dieser Einschätzung kommt. Initiales Risiko und Restrisiko bleiben getrennt sichtbar. Damit könnt ihr später erklären, was sich nach der Behandlung verändert hat.
Ein hoher Risikowert sagt noch nicht, was jetzt passieren soll.
Macht aus der Bewertung eine Entscheidung.
Ihr müsst entscheiden, ob ihr das Risiko mindert, akzeptiert, transferiert oder vermeidet. Haltet die Behandlungsstrategie und eure Begründung in Kopexa fest. Bei Rückfragen kann euer Team die Entscheidung samt Kommentaren am Risiko nachlesen.
Für wichtige Kundenkontakte könnt ihr Zustellfehler gezielt prüfen und einen geeigneten Ersatzkanal vereinbaren, etwa Telefon oder ein Kundenportal. Verknüpft die Maßnahme mit dem Risiko. Eine konkrete Aufgabe mit Verantwortlichem und Frist klärt, wer den Ersatzkanal testet.
Die Aufgabe ist erledigt. Aber hat die Maßnahme geholfen?
Zeigt, ob eure Maßnahme wirkt.
Ist der Testkontakt über den Ersatzkanal erreichbar? Wissen die Beteiligten, wann sie wechseln sollen? Haltet den Ablauf, das Ergebnis und offene Punkte an der Testaufgabe fest. Fragt die Leitung oder ein Auditor nach der Wirkung, findet ihr das Protokoll über die verknüpfte Maßnahme am Risiko.
Ein Haken an der Aufgabe ist noch keine Aussage zur Wirksamkeit. Euer Team beurteilt das Ergebnis und entscheidet, ob die Behandlung ausreicht oder weitere Arbeit nötig ist.
Systeme und Dienstleister ändern sich. Die alte Bewertung bleibt stehen.
Entscheidet auf Basis der aktuellen Lage.
Eine externe IP-Sperre bleibt möglich. Ein funktionierender Ersatzkanal kann aber Verzögerungen bei wichtigen Kundenkontakten begrenzen. Prüft anhand des Tests, ob ihr die möglichen Folgen geringer bewerten könnt. Die Wahrscheinlichkeit der Sperre sinkt dadurch nicht. Initiale Bewertung, neue Einschätzung und Begründung bleiben nachvollziehbar.
Damit eine freigegebene Bewertung nicht jahrelang ungeprüft bleibt, legt ihr Prüfer und Reviewintervalle fest. Kopexa erinnert an fällige Überprüfungen und zeigt, wann das Risiko zuletzt geprüft wurde. Bei neuen Zustellproblemen oder einem Anbieterwechsel könnt ihr früher neu bewerten.
Die Bewertung steht in Excel. Der Nachweis steckt in einer E-Mail.
Findet Bewertung und Nachweise am selben Risiko.
Wer hat das Risiko bewertet? Ist die Maßnahme umgesetzt? Wo liegt der Nachweis? In Kopexa findet euer Team diese Antworten am Risikoregister. Verknüpfte Aufgaben und Dokumente zeigen den Stand, ohne dass ihr Tabellen und E-Mails abgleichen müsst.
Für den Einstieg könnt ihr passende Einträge aus dem Risikokatalog nutzen und eigene Risiken ergänzen. Prüft sie für euren Betrieb, etwa für Cloud-Dienste, Personal oder Lieferanten. So beginnt ihr mit konkreten Szenarien und ergänzt die Bewertung dort, wo euch noch Informationen fehlen.
Nutzt dieselbe Risikobewertung auch im ISMS. Verknüpft sie mit passenden Programmen und Kontrollen, etwa für ISO 27001 oder NIS2. Dann könnt ihr bei der jeweiligen Anforderung nachvollziehen, warum ihr eine Maßnahme gewählt habt. Welche Nachweise dafür ausreichen, prüft ihr anhand eures Geltungsbereichs.
Noch unsicher, wo ihr anfangen sollt?
Bereitet eure nächste Risikobewertung vor.
Vorlagen und Prüffragen helfen euch, die eigene Bewertung vorzubereiten. Ihr könnt damit auch arbeiten, bevor ihr Kopexa nutzt.
Fragen zur Risikomanagement-Software
Was macht Risikomanagement-Software?
Sie hilft euch zu entscheiden, welche Risiken ihr zuerst angeht und ob die gewählten Maßnahmen ausreichen. Bei der Risikoanalyse bewertet ihr Wahrscheinlichkeit und Folgen nach einer gemeinsamen Methode. In Kopexa haltet ihr die Entscheidung am Risiko fest, verfolgt die Umsetzung und findet die zugehörigen Nachweise. So kann euer Team begründen, was noch zu tun ist.
Was ist der Unterschied zwischen initialem Risiko und Restrisiko?
Das initiale Risiko beschreibt die Bewertung vor der betrachteten Behandlung. Das Restrisiko ist die verbleibende Risikoeinschätzung nach dieser Behandlung. Kopexa zeigt beide Bewertungen getrennt mit Wahrscheinlichkeit, Konsequenz und Risikowert. Ein niedrigerer Wert ersetzt nicht die Prüfung, ob die Maßnahmen tatsächlich wirksam sind.
Ist Kopexa nur für Informationssicherheitsrisiken geeignet?
Nein. Ihr könnt etwa auch den Ausfall eines Dienstleisters oder fehlende Vertretungen bewerten. Verknüpft das Risiko mit den betroffenen Prozessen, Assets und Zielen. So könnt ihr beurteilen, welche Folgen es für euren Betrieb hätte. Das Risikomanagement ist Teil der GRC-Plattform und kann zugleich im ISMS genutzt werden.
Wie bleiben Risikobewertungen aktuell?
Ihr legt fest, wer ein Risiko in welchem Abstand prüft. Kopexa erinnert an fällige Reviews und zeigt die letzte und nächste Überprüfung. Ändert sich vorher ein Dienstleister oder kommt es zu einem Vorfall, könnt ihr früher neu bewerten. Die Bewertung und Entscheidung übernimmt euer Team.
Kann ich Maßnahmen und Aufgaben direkt mit Risiken verbinden?
Ja. Verknüpft die Maßnahme mit dem Risiko und plant konkrete Aufgaben mit Zuständigkeit und Frist. An der Aufgabe haltet ihr das Ergebnis und den Nachweis fest. Beim Risikoreview könnt ihr nachsehen, was umgesetzt wurde und ob die Behandlung ausreicht.
Bringt ein Risiko mit. Wir gehen den Weg gemeinsam durch.
In der Demo seht ihr, wie aus eurer Bewertung eine Entscheidung, eine Maßnahme und ein überprüfbares Ergebnis werden.