IT-Risikomanagement

Die gesetzlichen Regelungen und regulatorischen Vorgaben, wie beispielsweise das KonTraG, die MaRisk oder SOX, verpflichten Kapitalgesellschaften grundsätzlich ein Risikomanagementsystem einzurichten. Die Vorgaben des Gesetzgebers schließen die IT-Sicherheit sowie die Überwachung IT-bedingter Risiken mit ein. Die Umsetzung der gesetzlichen Vorgaben in die Praxis unterscheiden sich dabei teilweise erheblich. Dies ist darauf zurückzuführen, dass der Gesetzgeber bewusst offen lässt, wie ein derartiges System sowohl technisch als auch organisatorisch auszusehen hat.

"Vorreiter" im IT-Risikomanagement ist die Finanz-, Kredit- und Versicherungsbranche. Hier werden gezielt Referenzmodelle (z.B. COBIT, ITIL, IT-Grundschutz, ISO/IEC, etc.) eingesetzt, um IT-Risiken zu managen. Diese Referenzmodelle liefern einen guten Startpunkt für die Umsetzung des IT-Risikomanagements in einem Unternehmen, da sie sicherheitskritische Prozesse aufzeigen und in einem zweiten Schritt Unternehmen helfen diese Prozesse zu verbessern und die hiermit verbundenen Risiken zu minimieren.

Standardisierungsinitiativen wie der IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) unterstützen das Bemühen beispielsweise von Wirtschaftsprüfungsgesellschaften und Unternehmensberatungen das Thema IT-Risikomanagement in das Bewusstsein der Entscheider zu rücken.

Quellen/Hinweise:
COBIT: http://www.isaca.org
ITIL: http://www.itil.org.uk
IT-Grundschutz-Kataloge: http://www.bsi.de
ISO/IEC Common Criteria: http://www.bsi.de/cc/