KRI (Risikokennzahl)

Was ein KRI aussagt

Ein Key Risk Indicator ist ein messbares Signal dafür, dass sich die Exposition gegenüber einem definierten Risiko verändert oder einer vereinbarten Toleranz nähert. Ein brauchbarer KRI gehört zu einem konkreten Risikoszenario und einem seiner Treiber, etwa steigender Eintrittswahrscheinlichkeit, schwereren Folgen, einer neuen Risikoquelle oder nachlassenden Maßnahmen. Verlauf oder Schwellenwert sollten rechtzeitig eine Entscheidung ermöglichen.

Kriterien für einen belastbaren KRI

• Berechnung, Geltungsbereich, Datenquelle, Messintervall und verantwortliche Rolle sind eindeutig festgelegt.
• Warn- und Eskalationsschwellen werden aus der Risikotoleranz der Organisation abgeleitet und nicht als beliebige runde Zahl gewählt.
• Für jede Überschreitung sind Maßnahme und verantwortliche Rolle bestimmt.
• Bei Änderungen an Systemen, Bedrohungen oder Zielen wird geprüft, ob der Indikator das Risiko noch abbildet.

Ein Beispiel aus der Praxis

Für das Risiko eines längeren Betriebsausfalls durch Ransomware kann der Anteil kritischer Dienste ohne kürzlich erfolgreichen Wiederherstellungstest ein KRI sein. Ein steigender Wert weist darauf hin, dass die Wiederherstellungsmaßnahme nachlassen könnte. Das Überschreiten einer vereinbarten Warnschwelle kann eine Untersuchung auslösen; oberhalb der Toleranzgrenze können Eskalation und eine sofortige Wiederherstellungsübung folgen. Die konkreten Schwellen leitet die Organisation aus ihrem Wiederherstellungsbedarf und ihrer Tragfähigkeit ab.

KRI und KPI unterscheiden

Ein Key Performance Indicator zeigt, ob ein Prozess oder eine Maßnahme ihr Leistungsziel erreicht; ein KRI zeigt, was diese Leistung für die Risikoexposition bedeutet. Der Anteil fristgerecht installierter Patches kann ein KPI sein, die Zahl überfälliger kritischer Schwachstellen auf internetexponierten Systemen dagegen ein KRI. Dieselben Ausgangsdaten können beides unterstützen, doch Zweck, Schwelle und Reaktion des Managements unterscheiden sich.