Vom Vorstand wird erwartet, dass er die Unternehmensrisiken überwacht, doch die Informationen, die er erhält, verteilen sich oft auf getrennte Register, Skalen und Berichtszyklen. Eine gemeinsame Methodik für das unternehmensweite Risikomanagement (ERM) führt diese getrennten Risikoregister zu einer Sicht zusammen, auf deren Grundlage der Vorstand handeln kann.

Kurz gesagt. Der Vorstand braucht keinen weiteren Risikobericht. Er braucht eine gemeinsame Sicht, die bereichsübergreifend dieselbe Bewertungsmethodik anwendet, Brutto- und Restrisiko zeigt und deutlich macht, welche Entscheidung als Nächstes ansteht.

Risikoüberwachung durch den Vorstand ohne gemeinsame Sicht

NIS2 weist die Verantwortung für das Risikomanagement ausdrücklich dem Leitungsorgan zu. Artikel 20 verpflichtet dessen Mitglieder, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und selbst an Schulungen teilzunehmen. Zudem sieht er vor, dass sie für Versäumnisse haftbar gemacht werden können. Artikel 21 legt fest, was diese Maßnahmen mindestens abdecken müssen. Für den Finanzsektor regelt DORA dasselbe: Die letztendliche Verantwortung für den IKT-Risikomanagementrahmen bleibt beim Leitungsorgan. Die ISO 27001 fordert in ihrem Abschnitt „Führung“, dass die oberste Leitung den Risikoprozess verantwortet, statt nur darüber informiert zu werden.

Wer steuern muss, ist klar geregelt. In der Praxis fehlt der Unternehmensleitung oft der Überblick, den sie dafür braucht. Die Geschäftsleitung erhält einen Auditbericht, ein Cyber-Dashboard, eine Compliance-Übersicht und eine Aufstellung der finanziellen Risiken. Vier Dokumente – und keines beantwortet die Frage, die eigentlich auf dem Tisch liegt: Wo stehen wir als Organisation, und was müssen wir jetzt entscheiden?

Warum unternehmensweites Risikomanagement in Silos stecken bleibt

Die Ursache ist selten fehlender Wille. Sie ist strukturell. IT-Risiken liegen beim CIO, Cyberrisiken beim CISO, operative und finanzielle Risiken beim CRO und Datenschutzrisiken beim Datenschutzbeauftragten (DSB). Jede dieser Rollen arbeitet innerhalb ihres Frameworks korrekt, aber jede nutzt eine andere Skala, ein anderes Vokabular und einen anderen Zeithorizont.

Unternehmensweites Risikomanagement Verschiedene Verantwortliche. Ein Risikobild. Eine gemeinsame Methodik macht Risiken in der gesamten Organisation vergleichbar.

CIO IT-Risiko
CISO Cyberrisiko
CRO Operatives & finanzielles Risiko
DSB Datenschutzrisiko

Eine einheitliche Sprache Gemeinsame Methodik

Wahrscheinlichkeit 1–5
Auswirkung 1–5
Brutto- und Restrisiko

Eine Sicht für den Vorstand Vergleichbare Risiken

Klare Verantwortliche
Klare Entscheidungen

Die Folge: Die Zahlen lassen sich nicht addieren. Ein „hohes“ Cyberrisiko auf einer dreistufigen Skala und eine „Risikoklasse 4“ aus einem operativen Modell sind nicht sinnvoll vergleichbar. Ohne gemeinsame Skala kann der Vorstand sie nicht gegeneinander abwägen. Die Diskussion landet dann bei dem Risiko, das am lautesten vorgetragen wird oder mit dem jüngsten Vorfall verknüpft ist.

Wenn ich ein Risikoregister aufbaue, beginne ich immer mit der Methodik, nicht mit den Risiken. Ohne eine gemeinsam vereinbarte Skala ist jede Konsolidierung Scheingenauigkeit.

Thomas Baeck

Wie ein brauchbares unternehmensweites Risikoregister aussieht

Das Modell, das sich für mich in großen Organisationen am besten bewährt hat, ist bewusst einfach gehalten. Nehmen wir eine Umgebung, die in verschiedene Bereiche gegliedert ist.

Das Kerngeschäft: gemeinsam genutzte Datendienste, Zahlungs- und Finanzdienstleistungen, Kundenservice, unternehmensweite IT-Supportdienste und zentrale Unterstützungsdienste.

Zwei Querschnittsbereiche decken Informationssicherheit und Datenschutz ab.

Der letzte Bereich umfasst Gebäude und Facility-Management.

Risiko-ID	Beschreibung	Kategorie	W	A	Bruttorisiko	Risikomindernde Maßnahmen	Rest-W	Rest-A	Restrisiko	Verantwortlich
ENT-01	Kernprozesse hängen von alternden Legacy-Komponenten ab, die ein immer kleinerer Personenkreis pflegt.	Technologie und Kontinuität	4	4	16 · Kritisch	Stufenweises Stilllegungsprogramm; Architektur-Roadmap; Wissenssicherung.	3	3	9 · Moderat	[Name der Person]
SDS-01	Fehler in der Datenqualität verfälschen die Berechnungsgrundlage eines Kernprozesses.	Daten- und Informationsqualität	4	5	20 · Kritisch	Validierungsregeln bei der Erfassung; Abgleich mit den Quelldaten.	2	5	10 · Hoch	[Name der Person]

Diese Tabelle führt für jedes Risiko dieselben Spalten: Risiko-ID, Beschreibung, Kategorie, Wahrscheinlichkeit (1–5), Auswirkung (1–5), Bruttorisiko, risikomindernde Maßnahmen, verbleibende Wahrscheinlichkeit, verbleibende Auswirkung, Restrisiko und eine namentlich benannte verantwortliche Person. Entscheidend sind vier Elemente.

Eine einheitliche Taxonomie. Die Wahrscheinlichkeit ist an der Häufigkeit verankert, von „seltener als einmal in fünf Jahren“ bis „monatlich oder häufiger“. Die Auswirkung wird über mehrere Dimensionen zugleich bewertet. Zum Beispiel: finanzielle Auswirkung in Euro-Bandbreiten, operative Auswirkung auf Leistungserbringung und Compliance sowie Auswirkung auf die Reputation – wobei die schwerwiegendste Dimension den Wert bestimmt.
Vier Stufen fassen das Ergebnis zusammen: Niedrig (1–4), Moderat (5–9), Hoch (10–14), Kritisch (15–25).
Bruttorisiko versus Restrisiko als Nachweis. Das Bruttorisiko ist die Exponierung ohne Maßnahmen. Das Restrisiko ist das, was bleibt, sobald die Maßnahmen umgesetzt sind. Die Differenz zwischen beiden ist der einzige Nachweis dafür, dass eine Investition in Kontrollen überhaupt etwas bewirkt hat.
Übersetzung in Finanzgrößen. Weil die Auswirkungsskala an Euro-Schwellenwerte gekoppelt ist, lässt sich ein technisches Risiko in der Sprache besprechen, die die Geschäftsleitung ohnehin spricht.
Eine namentlich benannte verantwortliche Person. Keine Abteilung. Ein Mensch.

Darüber liegt ein einziges Übersichtsblatt: pro Bereich die Anzahl der Risiken, der höchste Wert für Brutto- und Restrisiko und eine Heatmap, die jede Risiko-ID im Raster Wahrscheinlichkeit × Auswirkung verortet. Das ist die Sicht, die der Vorstand braucht. Ein Blatt, alle Bereiche, Ausreißer sofort sichtbar.

Der letzte Baustein ist der Entscheidungsbaum, und er setzt bewusst beim Restrisiko an, nicht beim Bruttorisiko. Damit ist klar festgelegt, welche Reaktion erforderlich ist:

Restrisiko 1–4: Die Geschäftsleitung nimmt das Risiko zur Kenntnis, und es geht in die regelmäßige Überwachung über.
Restrisiko 5–9: Die verantwortliche Person verfolgt das Risiko weiter, mit halbjährlicher Überprüfung und Berichterstattung ohne Entscheidung.
Restrisiko 10–14: Die Geschäftsleitung validiert den Plan zur Risikominderung, benennt eine verantwortliche Person, setzt eine Frist und gibt Ressourcen frei.
Restrisiko 15–25: sofortige Eskalation, mit einer Entscheidung über Budget oder externe Unterstützung.

Brutto- und Restrisiko: ein Beispiel

Nehmen wir ein Risiko, das jede große Organisation kennt: Kernprozesse, die von alternden Legacy-Komponenten abhängen, gepflegt von einem immer kleineren Personenkreis. Wahrscheinlichkeit 4 – Störungen treten mehrmals im Jahr auf. Auswirkung 4 – ein Ausfall trifft einen Kernprozess und ist finanziell schwerwiegend. Bruttorisiko 16, also Kritisch.

Die Maßnahmen sind bekannt: ein stufenweises Stilllegungsprogramm, eine Architektur-Roadmap und Wissenssicherung, damit die Abhängigkeit von einzelnen Personen sinkt. Die Neubewertung ergibt eine verbleibende Wahrscheinlichkeit von 3 und eine verbleibende Auswirkung von 3, also ein Restrisiko von 9: Moderat. Für die Geschäftsleitung ist das eine klare Entscheidung. Keine Eskalation, aber eine verantwortliche Person mit Frist und eine halbjährliche Überprüfung.

Ebenso aufschlussreich ist der Fall, in dem die Auswirkung gleich bleibt. Bei Fehlern in der Datenqualität, die die Berechnungsgrundlage eines Kernprozesses verfälschen, senken Validierungsregeln und Abgleich die Wahrscheinlichkeit von 4 auf 2. Die Auswirkung liegt weiter bei 5: Die Folgen bleiben genauso gravierend. Aus Bruttorisiko 20 wird Restrisiko 10 – immer noch Hoch, also weiterhin Sache der Geschäftsleitung. Genau über diesen Unterschied – ob man die Wahrscheinlichkeit senkt oder die Auswirkung – sollte ein Vorstand sprechen.

Warum unternehmensweite Risikoregister der Tabellenkalkulation entwachsen

Register wie dieses baue ich bewusst zuerst in Excel. Das erzwingt Disziplin, kostet nichts und macht die Methodik für alle sichtbar, die daran arbeiten. Doch sobald das Register lebendig bleiben muss, gerät es ins Stocken.

Die Versionen vermehren sich, und es ist nicht mehr offensichtlich, welche davon maßgeblich ist. Die Tabelle hat keinen Workflow und keine Erinnerungen, also hängt die Nachverfolgung am Kalender einer einzelnen Person. Maßnahmen verweisen weder auf die Kontrollen, die sie umsetzen, noch auf die Nachweise, dass diese Kontrollen wirken. Das Register ist eine Momentaufnahme: Es zeigt keinen Trend, keine Aggregation über die Zeit und keinen Prüfpfad darüber, wer wann was geändert hat. Dieselben Risiken und Maßnahmen müssen für NIS2, CyFun, DORA und DSGVO von Hand wiederverwendet werden – Arbeit, die mit jeder Änderung von vorn beginnt.

Was eine GRC-Plattform verändert

Das bauen wir mit Euraika GRC: dieselbe Logik – Bereiche, Taxonomie, Brutto- und Restrisiko, Verantwortliche, Entscheidungsbaum –, nur lebendig gehalten. Risiken sind mit den Kontrollen verknüpft, die sie adressieren, und mit den Frameworks, in denen diese Kontrollen vorkommen. So deckt eine Maßnahme mehrere Pflichten ab. Verantwortliche erhalten Folgeaufgaben statt einer E-Mail. Nachweise liegen bei der Maßnahme, nicht in einem separaten Ordner. Das Restrisiko wird neu berechnet, wenn sich die zugrunde liegende Bewertung oder Maßnahme ändert. Die Berichterstattung an die Geschäftsleitung liegt fertig vor, statt jedes Quartal von Hand zusammengestellt zu werden. Die Einschätzung selbst bleibt, wo sie hingehört: KI assistiert, Menschen entscheiden.

Was CIOs, CISOs und CROs von der Risikoberichterstattung brauchen

CIO: Machen Sie technische Schulden und Abhängigkeitsketten in Euro sichtbar. Ein Legacy-Fall, der in der Heatmap als Restrisiko der Stufe Hoch markiert ist, führt zu einem anderen Gespräch als derselbe Fall, der in einer Architekturnotiz untergeht.

CISO: Übersetzen Sie Cyberrisiken in die Sprache des Geschäfts und in die Berichterstattung an den Vorstand. Nicht, weil der Vorstand mit der Technik nicht umgehen könnte, sondern weil er Budgetentscheidungen auf derselben Skala treffen muss, die er auch an operative und finanzielle Risiken anlegt.

CRO: Etablieren Sie eine einheitliche Methodik, mit der sich Risiken bereichsübergreifend vergleichen lassen. Das ist die Voraussetzung für alles, was danach kommt.

Sie bauen ein unternehmensweites Risikoregister auf oder wollen eine bestehende Tabelle wieder zum Leben erwecken? In einer Stunde können wir Ihnen Euraika GRC zeigen oder die Methodik hinter einer brauchbaren unternehmensweiten Risikosicht besprechen. Beides bringt Sie weiter als noch eine Version derselben Datei.

Thomas Baeck ist Sicherheitsspezialist mit Praxiserfahrung in der Sicherheitsarchitektur und als CISO. In öffentlichen und privaten Organisationen baut er Risikoregister, ISMS und NIS2-Programme auf, die bis in die Geschäftsleitung reichen, und arbeitet an Euraika GRC, der Plattform, die Compliance von einem periodischen Aufwand in einen kontinuierlichen Betrieb überführt.

Eine Risikosicht für den Vorstand – nicht zehn getrennte Register