ISMS-Schnelltest

Welche Veränderungen veranlassen Sie, Ihre Risikoanalyse zu überarbeiten?

Wir überprüfen unsere Risikoanalyse vierteljährlich und zusätzlich bei jeder wesentlichen Änderung von Prozessen, Assets oder Bedrohungslage.

Mindestens einmal pro Jahr oder bei größeren Organisationsänderungen aktualisieren wir die Risikoanalyse.

Eine Aktualisierung findet unregelmäßig statt, meist nachdem ein Vorfall oder ein großes Projekt abgeschlossen ist.

Die Risikoanalyse wird nach der Ersterstellung kaum noch angepasst.

Wer trifft in Ihrem Unternehmen die Entscheidung, ob ein Risiko tragbar ist?

Ein interdisziplinäres Risikokomitee aus Fachbereich, IT, Compliance und Management tagt regelmäßig und trifft eine dokumentierte Entscheidung.

Die Geschäftsleitung oder der CISO entscheidet anhand vorbereiteter Informationen.

Projektleiter entscheiden meist selbst, gelegentlich wird die Entscheidung vom Vorgesetzten abgesegnet.

Es gibt keinen definierten Entscheidungsprozess. Risiken werden stillschweigend akzeptiert.

Dokumentieren Sie akzeptierte Risiken in einem formellen Risikobehandlungsplan?

Ja, alle akzeptierten Risiken werden mit Begründung und Review‑Datum im Risikobehandlungsplan gepflegt.

Akzeptierte Risiken werden dokumentiert, aber der Plan wird nur bei Bedarf aktualisiert.

Wir erfassen akzeptierte Risiken teilweise, meistens in Projektunterlagen.

Akzeptierte Risiken werden nicht separat dokumentiert.