Risiko­register

Risikobeurteilung nach ISO 27001 heißt in der Praxis oft: eine Excel-Liste, einmal im Jahr aktualisiert. Die Maßnahmen dazu laufen als Tickets in Jira, die Begründungen stehen in Confluence. Nur verbunden ist nichts. Ob ein Risiko wirklich behandelt wurde, weiß keiner so genau.

• Risiken mit Eintrittswahrscheinlichkeit, Auswirkung, Verantwortlichen und Behandlungsentscheidung. Bewertet nach der Methode, die in deiner Policy steht.
• Maßnahmen als Jira-Tickets, verknüpft mit dem Risiko. Ist das Ticket erledigt, sieht man das im Register, und das Restrisiko ist neu zu bewerten.
• Überprüfungstermine, Änderungsverlauf und ein Export, den der Auditor lesen kann, mit Bezug auf die Controls aus Anhang A.

ISMS-Verantwortliche, die ohnehin in Confluence und Jira arbeiten und kein eigenes GRC-Tool einführen wollen.

Noch eine Idee. Sie hängt an denselben Fragen wie AttestFlow und ClassMark. Ich sammle gerade, wie Risikoregister in der Praxis geführt werden und woran sie scheitern. Wenn du eins führst, erzähl mir davon.