Risikoanalyse nach BSI-Standard 200-3: Wann Grundschutz nicht genügt

Was regelt der BSI-Standard 200-3?

Der BSI-Standard 200-3 beschreibt die Risikoanalyse auf der Basis von IT-Grundschutz. Er setzt dort an, wo die Standard-Absicherung nach BSI-Standard 200-2 nicht ausreicht, und führt in sechs Schritten von der Auswahl der Zielobjekte bis zur Rückführung der Ergebnisse in den Sicherheitsprozess. Ausgangspunkt jeder Gefährdungsübersicht sind die 47 elementaren Gefährdungen des IT-Grundschutz-Kompendiums.

• Vorarbeiten: Zielobjekte bestimmen, für die eine Risikoanalyse nötig ist
• Gefährdungsübersicht: elementare Gefährdungen je Zielobjekt prüfen und um spezifische Gefährdungen ergänzen
• Risikoeinstufung: Eintrittshäufigkeit und Auswirkung bewerten und über die Risikomatrix einer Risikokategorie zuordnen
• Risikobehandlung: Vermeidung, Reduktion, Transfer oder Akzeptanz je Risiko entscheiden und begründen
• Konsolidierung: ergänzende Maßnahmen in das Sicherheitskonzept übernehmen und auf Widersprüche prüfen
• Rückführung: Ergebnisse in den IT-Grundschutz-Check und den weiteren Sicherheitsprozess einbinden

Die Risikoanalyse ergänzt die Modellierung

IT-Grundschutz deckt typische Gefährdungen bei normalem Schutzbedarf methodisch ab. Eine zusätzliche Risikoanalyse wird notwendig, wenn die Voraussetzungen nicht ausreichen oder besondere Risiken erkennbar sind.

Der Übergang muss dokumentiert sein

Auslöser, betrachtete Zielobjekte, zusätzliche Gefährdungen und Entscheidungen sollten klar referenziert werden. So bleibt sichtbar, welche Grundschutz-Anforderungen bereits wirken und welche ergänzenden Maßnahmen erforderlich sind.

• Zielobjekte mit hohem oder sehr hohem Schutzbedarf
• Atypische oder besonders exponierte Einsatzszenarien
• Unvollständig modellierbare Technologien
• Erkenntnisse aus Vorfällen, Audits oder Bedrohungsanalysen

Ein schlankes Risikoblatt reicht für den Start

Die kostenlose Markdown-Vorlage führt Zielobjekt, Gefährdung, vorhandene Absicherung, Bewertung, ergänzende Maßnahme und Freigabe zusammen.