Übersicht der Risikoeinstellungen

Übersicht der Risikoeinstellungen

Der Bereich Risikoeinstellungen ist die zentrale Kalibrierungsstelle für die gesamte Risikoberechnungsmaschine in DPMS. Bevor ein Asset, eine Verarbeitungstätigkeit oder ein Dienstleister eine aussagekräftige Risikobewertung erhalten kann, muss jemand festlegen, was „Risiko" für Ihre Organisation bedeutet – welche internationalen Standards gelten, wie Eintrittswahrscheinlichkeit und finanzieller Schaden gewichtet werden, wie viele Risikokategorien es gibt und wo die Grenzen zwischen ihnen liegen. Genau das geschieht auf dieser Seite. Sie wird hauptsächlich von Datenschutzbeauftragten, Risikomanagern, IT-Sicherheitsverantwortlichen und Compliance-Beauftragten genutzt, aber auch von IT-Administratoren, die Kontrollkataloge verwalten, sowie von Auditoren, die das Risikomodell vor einer Prüfung sichten.

So öffnen Sie die Seite

• Klicken Sie in der globalen Navigation auf Einstellungen (je nach Instanz auch als Allgemeine Einstellungen bezeichnet).
• Klicken Sie in der Einstellungs-Seitenleiste auf Risikoeinstellungen. Das Untermenü klappt aus.
• Es erscheinen folgende Menüpunkte: Standards (mit den Unterpunkten Aktivierte Standards und Modelle konfigurieren), Kontrollkataloge, Risikoszenarien, Reifegradmodell und Fristen und Dringlichkeit.

Jeder Menüpunkt ist separat durch Berechtigungen geschützt. Wenn Sie einen Menüpunkt nicht sehen können, fehlt Ihnen die Leseberechtigung für diesen Bereich. Navigieren Sie direkt zu einer URL, für die Sie keine Berechtigung haben, zeigt DPMS eine vollständige Zugriff-verweigert-Seite an.

Was Sie sehen

Die Seite nutzt das zweigeteilte Layout, das in allen DPMS-Einstellungsbereichen verwendet wird. Auf der linken Seite befindet sich eine schmale Seitenleiste – auf großen Bildschirmen etwa ein Viertel der Seitenbreite – mit der Überschrift Risikoeinstellungen und den aufklappbaren Menüpunkten. Der aktive Eintrag ist hervorgehoben; Standards zeigt ein kleines Pfeilsymbol, weil dieser Punkt zwei Unterseiten hat.

Der rechte Inhaltsbereich nimmt die verbleibenden vier Fünftel der Breite ein. Oben sehen Sie immer einen Breadcrumb-Pfad (zum Beispiel Einstellungen › Risikoeinstellungen › Aktivierte Standards), gefolgt vom Seitentitel. Wenn Sie Bearbeitungsrechte besitzen, erscheint rechts neben dem Titel eine kleine Schaltfläche Bearbeiten mit einem Bleistiftsymbol. Fehlt Ihnen die Berechtigung, ist diese Schaltfläche ausgegraut und zeigt bei Mauszeigerkontakt einen Hinweis auf die fehlende Berechtigung.

Der Inhalt des rechten Bereichs variiert je nach Unterseite: Er kann eine einfache Liste aktiver Standards mit Häkchen-Symbolen zeigen, eine detaillierte Konfigurationstabelle mit Eintrittswahrscheinlichkeits- und Schadenszeilen, die durch gepunktete Pfeile verbunden sind, oder einen interaktiven Risikoschieberegler mit farbigen Kategoriebereichen. Auf der Seite Modelle konfigurieren hebt ein grauer Kartenrahmen die Hauptdatentabelle optisch ab.

Arbeiten mit dieser Seite

Prüfen, welche Standards derzeit aktiv sind

Der häufigste Einstiegspunkt ist Aktivierte Standards unter dem Menüpunkt Standards. Klicken Sie in der linken Seitenleiste auf Standards – das Untermenü klappt auf und Sie landen auf der Seite Aktivierte Standards.

Sie sehen eine Liste internationaler Rahmenwerke (zum Beispiel DSGVO 2018, ISO 27001), jeweils mit einem ausgefüllten grünen Häkchen-Kreis (aktiv) oder einem Umrisskreis (inaktiv). Diese Seite ist schreibgeschützt. Nutzen Sie sie, um auf einen Blick zu überprüfen, welche Frameworks derzeit die Risikoberechnungen in DPMS steuern – bevor Sie Änderungen vornehmen oder eine Prüfung beginnt.

Einen Standard aktivieren oder deaktivieren

Wenn Sie ein neues Framework hinzufügen möchten – etwa NIS2 – oder eines entfernen möchten, das nicht mehr relevant ist, klicken Sie auf der Seite Aktivierte Standards auf die Schaltfläche Bearbeiten (Bleistiftsymbol) neben dem Seitentitel.

Die Bearbeitungsseite öffnet sich mit einem wichtigen Warnbanner oben. Lesen Sie ihn sorgfältig: Das Aktivieren oder Deaktivieren eines Standards wirkt sich auf bestehende Risikobewertungen im gesamten System aus. Das ist eine weitreichende Aktion, die nicht automatisch rückgängig gemacht werden kann.

Darunter befindet sich ein Mehrfachauswahl-Dropdown, das alle verfügbaren Standards in alphabetischer Reihenfolge auflistet. Bereits aktive Standards sind vorausgewählt und erscheinen als Chips innerhalb des Steuerelements. Um ISO 27001 hinzuzufügen, öffnen Sie das Dropdown, suchen den Eintrag in der Liste und klicken ihn an. Um einen Standard zu entfernen, klicken Sie auf das × an seinem Chip. Am unteren Rand des Dropdowns befinden sich außerdem zwei Schaltflächen – Neu hinzufügen und Vorhandene bearbeiten – die Sie zum Bereich für die Erstellung von Kontrollkatalogen führen, falls Sie einen eigenen Standard anlegen möchten. Ein Gesamt: N-Zähler zeigt, wie viele Optionen noch auswählbar sind.

Wenn Ihre Auswahl korrekt ist, klicken Sie auf Speichern. DPMS sendet die aktualisierte Liste an den Server und aktualisiert sofort das globale Standard-Dropdown, das im gesamten System verwendet wird – auf Asset-Detailseiten, Dienstleisterbewertungen, ROPA-Prozessrisiko-Reitern und DSFA-Bewertungen. Welche Standards den Nutzern im Rest von DPMS angezeigt werden, richtet sich ausschließlich danach, was Sie hier aktivieren.

Um ohne Speichern abzubrechen, klicken Sie auf den Zurückpfeil oben im Formular. Es werden keine Änderungen gespeichert.

Ein Risikomodell konfigurieren (Eintrittswahrscheinlichkeit, Schaden, Kategorien und Schwellenwerte)

Dies ist der detaillierteste Arbeitsablauf in den Risikoeinstellungen. Alles findet auf der Unterseite Modelle konfigurieren statt. Klicken Sie in der linken Seitenleiste unter Standards auf Modelle konfigurieren.

Oben auf der Inhaltskarte sehen Sie zwei blaue Dropdown-Pillen: ein Standard-Dropdown und ein Modelltyp-Dropdown. Über das Standard-Dropdown wechseln Sie zwischen Frameworks (zum Beispiel von DSGVO zu ISO 27001). Über das Modelltyp-Dropdown wählen Sie zwischen Additiv (Wahrscheinlichkeitswert + Schadenswert = Risikobewertung) und Multiplikativ (Wahrscheinlichkeitswert × Schadenswert = Risikobewertung). Für die meisten Standard-Compliance-Frameworks ist das additive Modell die richtige Wahl. Das multiplikative Modell erzeugt eine breitere Werteskala und wird typischerweise für die quantitative Risikoanalyse eingesetzt.

Rechts neben dem Modelltyp-Dropdown sehen Sie eine farbige Pille mit dem aktuellen Status des Modells – entweder ein grünes Aktiv-Badge oder ein blaues Aktivieren-Badge. Im Lesemodus ist dies nur ein Statusindikator.

Um Änderungen am Modell vorzunehmen, klicken Sie auf die Schaltfläche Bearbeiten (Bleistiftsymbol) neben dem Modelltitel (zum Beispiel „Asset-Risikomodell"). Falls gerade ein Neuberechnungsauftrag im Hintergrund läuft, ist die Schaltfläche vorübergehend deaktiviert – Sie müssen warten, bis er abgeschlossen ist.

Eintrittswahrscheinlichkeitsstufen einrichten. Auf der Bearbeitungsseite zeigt der Abschnitt Häufigkeit / Eintrittswahrscheinlichkeit eine Tabelle mit Zeilen. Jede Zeile steht für eine Wahrscheinlichkeitsstufe und hat drei Felder, die durch einen gepunkteten Pfeil verbunden sind: eine Textbezeichnung (zum Beispiel „Sehr gering"), ein Häufigkeits-Tag aus einem Dropdown (zum Beispiel „Einmal im Jahr oder seltener") und einen numerischen Gewichtungswert (zum Beispiel 1). Die gepunkteten Pfeile erscheinen dunkler, wenn alle Felder einer Zeile ausgefüllt sind, und in hellem Grau, wenn Felder noch leer sind – ein visueller Vollständigkeitsindikator.

Um eine Zeile hinzuzufügen, füllen Sie alle drei Felder der aktuellen Zeile aus und klicken Sie auf das +-Kreissymbol, das am Zeilenende erscheint. Um eine Zeile zu löschen, klicken Sie auf das ×-Kreissymbol (dieses Symbol ist ausgeblendet, wenn nur noch eine Zeile vorhanden ist, da mindestens eine Wahrscheinlichkeitsstufe erforderlich ist). Sie können beliebig viele Stufen definieren. Beachten Sie: Bei multiplikativen Modellen sind numerische Werte von null nicht zulässig – alle Werte müssen mindestens 1 betragen.

Wenn Ihre DPMS-Instanz mehrere Sprachen verwendet, stehen ein Sprachumschalter und Übersetzungsschaltflächen über der Tabelle zur Verfügung. Ein kleines Flaggensymbol weist Sie darauf hin, wenn ein Label automatisch übersetzt wurde und ggf. überprüft werden sollte.

Schadenstufen einrichten. Direkt unter der Wahrscheinlichkeitstabelle befindet sich der Abschnitt Schaden / Betrag, der auf die gleiche Weise funktioniert. Jede Zeile hat eine Bezeichnung, einen „Bis zu"-Schwellenwert (den maximalen Geldbetrag für dieses Schadensband) und einen numerischen Gewichtungswert. Die oberste Zeile zeigt „Über" statt „Bis zu" und steht für unbegrenzten Schaden. Ein Währung-Dropdown ermöglicht die Auswahl der Währung für die Schadensbeträge (EUR, USD, GBP usw.) – das Ändern der Währung ist nur eine Beschriftungsänderung und rechnet keine gespeicherten Beträge um.

Wichtiger Hinweis: Das Betragsfeld der zweiten Schadenszeile wird automatisch auf den höchsten in der ersten Zeile eingetragenen Betrag gesetzt und ist schreibgeschützt. Das ist beabsichtigt – es hält die Schadenssskala intern konsistent. Wenn Sie versuchen, in dieses Feld zu tippen, und nichts passiert, liegt das daran.

Unterhalb der Schadenszeilen wird ein horizontales Balkendiagramm in Echtzeit aktualisiert, während Sie Beträge eingeben. Es visualisiert die relative Breite jedes Schadensbandes. Das Diagramm ist schreibgeschützt und dient nur als Orientierungshilfe.

Risikokategorien festlegen. Unterhalb des Schadensabschnitts befindet sich Risikokategorien. Wenn Sie noch keine Kategorien für dieses Modell definiert haben, sehen Sie eine Meldung mit einer Festlegen-Schaltfläche. Klicken Sie auf Festlegen, um zur Seite für die Kategorienanzahl zu gelangen. Dort wählen Sie aus, wie viele Kategorien das Modell haben soll (zum Beispiel 3, 4 oder 5). Nach der Auswahl und Bestätigung kehren Sie zum Bearbeitungsformular zurück, und die Kategorien erscheinen – zum Beispiel: Minimal, Reduziert, Erhöht, Mittel, Kritisch – jeweils mit einem farbigen Kreis. Sie können jede Kategoriebezeichnung in jeder aktiven Sprache umbenennen. Die Anzahl der Kategorien ist nach der Festlegung unveränderlich; eine spätere Änderung würde alle Schwellenwertdaten zurücksetzen.

Achtung: Der Risikoschieberegler und das Aktivieren-Badge bleiben unsichtbar, bis Kategorien festgelegt UND alle Felder in den Wahrscheinlichkeits- und Schadenstabellen vollständig ausgefüllt sind. Wenn der Schieberegler nicht erscheint, prüfen Sie, ob alle Zeilen in beiden Tabellen komplett sind.

Risikoschieberegler konfigurieren. Sobald Kategorien und Werte vorhanden sind, erscheint der Schieberegler Kategorien und Schwellenwert. Er zeigt eine horizontale farbige Bahn, die in Abschnitte – einen pro Kategorie – unterteilt ist, mit ziehbaren Reglern an jeder Grenze. Ziehen Sie einen Regler nach links oder rechts, um die Grenze zwischen zwei Kategorien zu verschieben. Zum Beispiel: Ziehen Sie die Grenze zwischen Minimal und Reduziert so, dass Werte 0–2 als Minimal und 3–4 als Reduziert gelten.

Unterhalb des Hauptschiebereglers befindet sich ein zweiter Schieberegler mit einem einzigen Regler, beschriftet mit Schwellenwert. Dieser legt den Mitigationsschwellenwert fest – den Wert, ab dem DPMS ein Risiko als kontrollbedürftig einstuft. Wenn Sie diesen beispielsweise auf 6 ziehen, werden im Risikoüberwachungsmodul alle Risiken mit einem Wert über 6 als „Kontrolle erforderlich" markiert.

Modell aktivieren und speichern. Wenn alle Felder vollständig und der Schieberegler gültig sind, wird das Aktivieren-Badge auf der Bearbeitungsseite anklickbar. Klicken Sie darauf, um den Modellstatus auf aktiv umzuschalten. Achtung: Das Klicken auf das Badge ändert nur den Status im aktuell geöffneten Formular – nichts wird noch in der Datenbank gespeichert. Sie müssen unbedingt auf Speichern am unteren Ende des Formulars klicken, um alle Änderungen einschließlich des aktivierten Status zu persistieren.

Ein Klick auf Speichern führt zunächst eine Validierung durch. Wenn ein Wahrscheinlichkeitswert fehlt oder null ist (bei einem multiplikativen Modell), oder wenn ein Schadenswert unvollständig ist, zeigt eine Toast-Benachrichtigung genau an, was behoben werden muss, und der Speichervorgang wird abgebrochen. Sobald die Validierung erfolgreich ist, speichert DPMS das vollständige Modell und verwendet es sofort für die Risikobewertung aller Assets, Szenarien und Verarbeitungstätigkeiten, die mit diesem Standard verknüpft sind.

Kontrollkataloge verwalten

Klicken Sie in der linken Seitenleiste auf Kontrollkataloge. Diese Seite listet aktive Kontrollkataloge auf – Gruppen von Maßnahmen, die Ihren Compliance-Frameworks zugeordnet sind. Das Layout ist identisch mit Aktivierte Standards: eine Liste von Kontrollkatalogen mit Häkchen-Symbolen, die zeigen, welche aktiv sind.

Um Kontrollkataloge zu aktivieren oder zu deaktivieren, klicken Sie auf die Schaltfläche Bearbeiten (Bleistiftsymbol) neben dem Seitentitel. Das Bearbeitungsformular funktioniert identisch mit dem Standards-Bearbeitungsformular, zeigt jedoch kein Warnbanner über Auswirkungen auf Risikobewertungen. Das Dropdown-Menü bietet weiterhin die Optionen Neu hinzufügen und Vorhandene bearbeiten für die Erstellung oder Bearbeitung eigener Kontrollkataloge.

Die hier konfigurierten Kontrollkataloge bestimmen, welche Kontrollkataloge im Dropdown „Implementierte Maßnahmen" auf Asset-Seiten und in den Screens für Technische und Organisatorische Maßnahmen (TOMs) im gesamten DPMS angezeigt werden.

Konfiguration als Auditor prüfen

Wenn Sie nur Lesezugriff haben, können Sie dennoch den gesamten Bereich Risikoeinstellungen durchsuchen. Die Bearbeiten-Schaltflächen erscheinen ausgegraut und zeigen bei Mauszeigerkontakt einen Hinweis auf die fehlende Berechtigung – Sie können keine Änderungen vornehmen, aber alles einsehen.

Verwenden Sie das Standard-Dropdown auf der Seite Modelle konfigurieren, um zwischen Frameworks zu wechseln und deren Wahrscheinlichkeitstabellen, Schadenstabellen, Kategoriendefinitionen, Schiebereglerpositionen sowie den Minimal- und Maximalwertbereich zu vergleichen. Das grüne Aktiv-Badge bestätigt, welche Modelle live sind. Nach der Prüfung der Standards und Modelle navigieren Sie zu Risikoszenarien, um die Szenariobibliothek gegenzuprüfen, und zu Reifegradmodell, um die Reifegraddefinitionen einzusehen.

Feldreferenz

Standard-Dropdown (Seite Modelle konfigurieren) — Wechselt die Ansicht zwischen konfigurierten Frameworks. Wählen Sie den Standard, dessen Modell Sie prüfen oder bearbeiten möchten. Das Ändern dieses Dropdowns speichert nichts; es ändert nur, welches Modell angezeigt wird.

Modelltyp-Dropdown — Wählen Sie Additiv oder Multiplikativ. Additiv addiert Wahrscheinlichkeits- und Schadenswerte; Multiplikativ multipliziert sie. Bei multiplikativen Modellen sind Nullwerte in Wahrscheinlichkeits- oder Schadenszeilen nicht zulässig.

Wahrscheinlichkeits-Bezeichnung — Die lesbare Bezeichnung einer Wahrscheinlichkeitsstufe (zum Beispiel „Sehr gering", „Gering", „Mittel"). Pflichtfeld; muss ausgefüllt sein, bevor eine weitere Zeile hinzugefügt werden kann.

Häufigkeits-Tag — Ein Tag aus der Standard-Häufigkeitsliste (zum Beispiel „Einmal im Jahr oder seltener", „Monatlich", „Täglich oder häufiger"). Pflichtfeld pro Zeile.

Numerischer Wahrscheinlichkeitswert — Der ganzzahlige Gewichtungswert für diese Wahrscheinlichkeitsstufe. Maximalwert: 9.999.999.999.999. Pflichtfeld; darf bei multiplikativen Modellen nicht null sein.

Schadens-Bezeichnung — Die lesbare Bezeichnung eines Schadensbandes (zum Beispiel „Niedrig", „Mittel", „Hoch"). Pflichtfeld.

Betragsschwelle — Der maximale Geldbetrag, der die Obergrenze eines Schadensbandes definiert. Das Betragsfeld der zweiten Zeile wird automatisch aus dem Wert der ersten Zeile übernommen und ist schreibgeschützt.

Numerischer Schadenswert — Der ganzzahlige Gewichtungswert für dieses Schadensband. Pflichtfeld; darf bei multiplikativen Modellen nicht null sein.

Währung — Die Währung für die Anzeige von Schadensbeträgen. Eine Änderung rechnet keine gespeicherten Beträge um; sie ändert nur die Anzeigebezeichnung.

Kategoriebezeichnung (pro Kategorie) — Der Name jeder Risikokategorie (zum Beispiel „Kritisch", „Minimal"). Pro Sprache bearbeitbar. Pflichtfeld.

Mitigationsschwellenwert — Ein einzelner Wert auf der Risikoskala, ab dem DPMS ein Risiko als kontrollbedürftig markiert. Begrenzt auf den Minimal-/Maximalbereich des Modells.

Verknüpfung mit dem Rest von DPMS

Risikoeinstellungen sind grundlegend für fast alle risikobezogenen Funktionen in DPMS. So fließt die Konfiguration in das System ein:

• Aktive Standards befüllen das Standard-Dropdown auf jeder Asset-, ROPA-, Dienstleister- und DSFA-Risikoseite. Wenn Sie hier einen Standard deaktivieren, verschwindet er aus diesen Dropdowns für neue Datensätze. Bestehende Datensätze behalten ihre historischen Bewertungen, sind aber nicht mehr mit einem aktiven Modell verknüpft.
• Wahrscheinlichkeits- und Schadenswerte steuern die numerischen Risikobewertungsberechnungen, die auf Asset-Risikoszenario-Seiten und in den Risikoüberwachungs-Dashboards angezeigt werden. Ohne diese Werte sind Risikoschieberegler an anderer Stelle in der Plattform leer.
• Kategorieschwellenwerte bestimmen die Farbe (rot, orange, gelb, grün, blau) und die Bezeichnung, die auf allen Risiko-Badges und Risikobewertungs-Pills im System angezeigt werden – auf Asset-Detailseiten, Dienstleisterbewertungen und ROPA-Prozessrisiko-Reitern.
• Der Mitigationsschwellenwert wird vom Risikoüberwachungsmodul genutzt, um Assets oder Szenarien zu markieren, die eine zugewiesene Maßnahme erfordern.
• Kontrollkataloge bestimmen, welche Kontrollkataloge im Dropdown „Implementierte Maßnahmen" auf Asset-Seiten und TOM-Screens erscheinen.

Nach Abschluss der Konfiguration der Risikoeinstellungen besuchen Sie typischerweise als nächstes das Modul Risikoszenarien, um die Bibliothek der Bedrohungs- und Risikoszenarien aufzubauen, die mit Assets und Verarbeitungstätigkeiten verknüpft werden, sowie den Screen Reifegradmodell, um Reifegradstufen für Ihre Compliance-Position zu definieren.

Tipps und häufige Fallstricke

Achtung: Das Klicken auf das Aktivieren-Badge auf der Bearbeitungsseite speichert das Modell nicht. Es aktualisiert nur das Statusfeld im geöffneten Formular. Wenn Sie auf Aktivieren klicken, das Badge grün wird und Sie dann ohne Klick auf Speichern die Seite verlassen, bleibt das Modell inaktiv.

Tipp: Wenn der Risikoschieberegler nicht erscheint, fehlt mindestens eines von drei Dingen: Es wurden noch keine Risikokategorien festgelegt (die Festlegen-Schaltfläche ist noch sichtbar), oder die Wahrscheinlichkeitstabelle hat leere Zeilen, oder die Schadenstabelle hat leere Zeilen. Alle drei Abschnitte müssen vollständig sein, bevor der Schieberegler gerendert wird.

• Der Schritt „Kategorien festlegen" ist vom Hauptformular getrennt. Das Klicken auf Festlegen führt Sie auf eine andere Seite, auf der Sie die Anzahl der Kategorien wählen. Das ist ein eigenständiger Vorgang mit einem eigenen Speichervorgang. Sie müssen ihn abschließen und zum Modell-Bearbeitungsformular zurückkehren, bevor Sie den Schieberegler konfigurieren können.
• Das Betragsfeld der zweiten Schadenszeile ist absichtlich schreibgeschützt. Es spiegelt den höchsten Betrag aus der ersten Zeile wider, um die Schadenssskala kohärent zu halten. Wer versucht, in dieses Feld zu tippen, und nichts passiert, sollte wissen: Das ist so gewollt.
• Das Deaktivieren eines Standards löscht keine bestehenden Risikobewertungen. Datensätze, die zuvor unter diesem Standard bewertet wurden, behalten ihre historischen Werte. Das Entfernen eines Standards aus der Aktivliste verhindert nur, dass er für neue Datensätze in Dropdowns erscheint. Um die Werte zu löschen, muss jeder Datensatz einzeln aktualisiert werden.
• Die Bearbeitung ist während einer Neuberechnung gesperrt. Wenn ein großer Datensatz nach einer Modelländerung neu berechnet wird, ist die Bearbeiten-Schaltfläche auf der Seite Modelle konfigurieren vorübergehend deaktiviert. Auf dieser Seite gibt es keine Fortschrittsanzeige – warten Sie einige Minuten und versuchen Sie es erneut.
• Multiplikative Modelle erfordern, dass alle Werte mindestens 1 betragen. Jeder Wahrscheinlichkeits- oder Schadenswert von null führt beim Speichern zu einem Validierungsfehler. Additive Modelle akzeptieren Nullwerte, daher ist diese Regel strenger als erwartet, wenn Sie ein Modell nach der Werteingabe von Additiv auf Multiplikativ umstellen.