Belegen Sie genau, um wie viel Ihre Massnahmen das Risiko reduziert haben
Eine einzelne inhärente Zahl kann nicht zeigen, dass Massnahmen wirken
Die meisten Risikoregister erfassen eine einzige Zahl: das inhärente Risiko eines Szenarios, bevor etwas dagegen unternommen wird. Das sagt einer prüfenden Stelle, was schiefgehen könnte — aber nichts darüber, ob Ihre Investition in Massnahmen sowie technische und organisatorische Massnahmen (TOM) tatsächlich etwas bewirkt hat.
Also wird die Restrisikoposition von Hand neu aufgebaut. Jemand bewertet Szenarien in einer Tabelle neu, nachdem eine Behandlung umgesetzt wurde, das Asset-Register läuft aus dem Takt, und die Verbindung zurück zur betroffenen Verarbeitungstätigkeit geht verloren.
Wenn eine ISO-27001-Prüfinstanz oder eine Aufsichtsbehörde von Ihnen den Nachweis der Wirksamkeit der Massnahmen verlangt, rekonstruieren Sie das Vorher-Nachher-Bild unter Zeitdruck.
Was Sie mit der Bewertung von inhärentem Risiko und Restrisiko tun können
- Bewerten Sie das inhärente Risiko für jedes Szenario, bevor eine Massnahme angewendet wird.
- Berechnen Sie das Restrisiko, sobald TOM und Massnahmen umgesetzt sind.
- Verfolgen Sie das Risiko nach Umsetzung pro TOM, sodass der Beitrag jeder Massnahme sichtbar wird.
- Berechnen Sie automatisch neu, wenn sich Szenarien, Massnahmen oder Behandlungen ändern — keine manuelle Neubewertung.
- Aggregieren Sie Bewertungen über Szenarien hinweg zu einer Risikoposition pro Asset.
- Übertragen Sie aktualisierte Bewertungen auf verknüpfte Einträge im Verarbeitungsverzeichnis und Asset-Datensätze mit historischer Nachverfolgung.
Was es Ihrem Programm bringt
- Zeigen Sie Prüfinstanzen das Vorher-Nachher — quantifizierte Belege, dass jede Massnahme das Risiko reduziert hat, statt einer blossen Behauptung.
- Bleiben Sie aktuell ohne Feuerwehrübungen — die Bewertungen aktualisieren sich, sobald sich eine Behandlung oder Massnahme ändert.
- Verteidigen Sie Ihre Investition in Massnahmen gegenüber dem Vorstand mit einer messbaren Restrisikoposition statt einer Schätzung.
- Behalten Sie überall eine einheitliche Zahl — Assets, Szenarien und Verarbeitungstätigkeiten laufen nie auseinander.
- Rekonstruieren Sie jede frühere Position aus historischer Nachverfolgung und Änderungsprotokollen, wenn sie infrage gestellt wird.
Für Compliance gebaut
Die Bewertung von inhärentem Risiko und Restrisiko unterstützt jene Pflichten, bei denen der Nachweis der Behandlung — nicht nur die Identifikation des Risikos — bewertet wird.
| Was das DPMS leistet | Anbindung an | Wie |
|---|---|---|
| Erfasst das Risiko vor und nach der Behandlung | ISO 27001:2022 Ziff. 6.1.3 | Zweigleisige inhärente/Rest-Bewertungen pro Szenario |
| Belegt die Wirkung jeder Massnahme | ISO 27001:2022 Ziff. 8.3 | Risiko nach Umsetzung pro TOM nachverfolgt |
| Dokumentiert das Restrisiko für die Verarbeitung | DSGVO Art. 35 Abs. 7 Bst. c | Rest-Bewertungen auf verknüpfte Einträge im Verarbeitungsverzeichnis übertragen |
| Hält über die Zeit eine prüfbare Risikoposition aufrecht | NIS2 Art. 21 · DORA IKT-Risikomanagement | Aggregierte Asset-Bewertungen mit historischen Änderungsprotokollen |
Warum Priverion
Inhärente und Rest-Bewertungen sitzen nicht in einem isolierten Risiko-Tool. Da diese Bewertung innerhalb einer einzigen, einheitlichen Plattform für Datenschutz und InfoSec lebt, berechnet eine Änderung an einer TOM das Szenario neu, aggregiert das Asset erneut und aktualisiert jeden verknüpften Eintrag im Verarbeitungsverzeichnis — ohne dass etwas neu erfasst werden muss.
Anders als allgemeine GRC-Tools, die Risiko, Massnahmen und Verzeichnisse als getrennte Exporte behandeln, ist die Übertragung selbst das Produkt. Das Ergebnis ist eine Restrisikoposition, die Ihre CISOs, ISOs und Datenschutzbeauftragten alle gleich lesen.
Fragen, die Risikoverantwortliche vor einer Demo stellen
Worin besteht hier der Unterschied zwischen inhärentem Risiko und Restrisiko?
Muss ich das Restrisiko manuell neu berechnen?
Wie wird das Risiko über ein Asset hinweg aggregiert?
Kann ich aufzeigen, wie eine frühere Risikoposition aussah?
Verwandte Funktionen entdecken
Bereit, die Wirksamkeit Ihrer Massnahmen zu belegen?
