Zum Hauptinhalt springen
Ein Risiko entsteht im Erfassungsassistenten Risiko anlegen und durchläuft danach einen Lebenszyklus aus fünf Phasen. Jeder Phasenwechsel prüft eine fachliche Vorbedingung.

​
Risiko anlegen

Pflicht ist allein die Bezeichnung. Assets sind freiwillig verknüpfbar; von Bedrohungen und Schwachstellen ist je mindestens ein Eintrag zu wählen. Einen Beziehungstyp fragt der Assistent nicht ab: Docusnap365 leitet ihn beim Anlegen aus dem Paar Risiko × Asset, Bedrohung oder Schwachstelle ab. Der Schritt Assets bietet nur Typen an, die unter Verwaltung › Datenmodell › Sichtbarkeit in der Spalte ISMS eingeschaltet sind, siehe Das Datenmodell anpassen.
Werden im Schritt Assets Systeme gewählt, zeigt der Schritt Bewertung deren Schutzbedarf, je Schutzziel mit der höchsten Stufe über alle gewählten Assets. Details zum Schutzbedarf stehen unter Schutzbedarf feststellen.

​
Bewertung vornehmen

Im Schritt Bewertung setzen Sie in der Matrix Ist-Bewertung und Ziel-Bewertung. Was Risikobewertung, Risikostufe und die Behandlungsstrategien bedeuten, steht unter Risikomanagement – Grundlagen.
Die Bewertung ist beim Anlegen freiwillig. Erst mit allen vier Werten – Wahrscheinlichkeit, Auswirkung sowie den beiden Zielwerten – entsteht das Risiko in der Phase Bewertung; sonst in Identifiziert.
Vorbelegt ist die Behandlungsstrategie Reduzieren; ein Verantwortlicher lässt sich auch nach dem Anlegen zuweisen.
Anlegen, Verknüpfen und das Speichern der Beschreibung sind getrennte Vorgänge. Scheitert nur das Verknüpfen der gewählten Assets, Bedrohungen oder Schwachstellen oder nur das Speichern der Beschreibung, ist das Risiko trotzdem angelegt. Eine Einblendung meldet, was in der Detailansicht nachzutragen ist; bleibt nur ein Teil der Beziehungen liegen, nennt sie genau diese. Tragen Sie das Fehlende dort nach, statt den Assistenten erneut zu durchlaufen – sonst entsteht ein zweites Risiko.

​
Durch den Lebenszyklus führen

Ein Sprung über mehr als eine Phase ist nicht möglich – mit einer Ausnahme: Aus der Überwachung führt ein Phasenwechsel direkt in die Bewertung, ohne die Bewertungswerte zu löschen.
Jeder Phasenwechsel verlangt eine Begründung (bis zu 1000 Zeichen). Fehlt sie, bricht das Speichern ab.
Risikomatrix und Behandlungsstrategie sind nur in der Phase Bewertung bearbeitbar. Ändern Sie die Bewertung, bevor Sie die Phase wechseln – sonst führt der Weg zurück nur über einen weiteren, begründungspflichtigen Phasenwechsel.

​
Überprüfung abschließen oder neu bewerten

Überprüfung abschließen erfasst einen Prüftermin mit einem Pflicht-Ergebnistext. Überprüfung + neu bewerten – nur in der Phase Überwachung verfügbar – schließt zusätzlich die Prüfung ab, setzt die Phase auf Bewertung zurück und leert die vier Bewertungswerte, nach Bestätigung einer Rückfrage.
Überprüfung + neu bewerten leert die Risikobewertung. Der bisherige Bewertungsstand steht danach nur noch als Schnappschuss in der Prüfhistorie.
Meldet Docusnap365 „Die Überprüfung ist abgeschlossen. Die Neubewertung konnte nicht angestoßen werden.“, ist die Überprüfung gespeichert, die Phase und die Bewertungswerte aber noch unverändert. Erneut versuchen holt nur diese Schritte nach und legt keine zweite Überprüfung an.

​
Weiterführend

Maßnahmen verwalten beschreibt das Verknüpfen von Maßnahmen, das die Phase Freigabe voraussetzt. Ein durchgehendes Beispiel steht im Tutorial Ein Risiko bis in die Überwachung führen.