IKT-Risikomanagement bezeichnet den systematischen Umgang mit Risiken, die aus der Nutzung von Informations- und Kommunikationstechnologien (IKT) entstehen. Ziel ist es, potenzielle IT-Risiken frühzeitig zu identifizieren, zu bewerten und durch geeignete technische und organisatorische Maßnahmen zu steuern.
Zu diesen Risiken zählen beispielsweise Cyberangriffe, Schwachstellen und Fehlkonfigurationen, Ausfälle kritischer IT-Systeme oder Netzwerke, Datenverluste, veraltete Hard- und Software sowie Abhängigkeiten von Cloud- und IKT-Dienstleistern. IKT-Risikomanagement betrachtet dabei nicht nur technische Systeme, sondern auch Informationen, Geschäftsprozesse, IT-Infrastrukturen und externe Abhängigkeiten.
Risiken identifizieren, bewerten und behandeln
Ein wirksames IKT-Risikomanagement beginnt mit der Identifikation relevanter Informations- und IKT-Assets, Geschäftsprozesse und Abhängigkeiten. Identifizierte Risiken werden anhand festgelegter Kriterien bewertet und entsprechend ihrer Bedeutung behandelt.
Geeignete Maßnahmen können beispielsweise Zugriffskontrollen, Systemhärtung, Patch- und Schwachstellenmanagement, Monitoring, Backup- und Wiederherstellungsverfahren sowie Notfall- und Business-Continuity-Maßnahmen umfassen.
Da sich IT-Infrastrukturen, Bedrohungen und externe Abhängigkeiten verändern, sollten Risiken und Maßnahmen regelmäßig überprüft und bei Bedarf angepasst werden.
IKT-Risikomanagement und DORA
Eine besondere regulatorische Bedeutung besitzt das IKT-Risikomanagement durch den Digital Operational Resilience Act (DORA). DORA verlangt von erfassten Finanzunternehmen ein risikoorientiertes und proportionales Management von IKT-Risiken, um die digitale operationale Resilienz zu stärken. Dabei wird zwischen einem regulären IKT-Risikomanagementrahmen nach Art. 5 bis 15 und einem vereinfachten Rahmen nach Art. 16 DORA unterschieden.
Im Mittelpunkt stehen unter anderem Governance und Organisation, Identifikation und Schutz, Erkennung, Reaktion und Wiederherstellung. Hinzu kommen Anforderungen an IKT-bezogene Vorfälle, Resilienztests und das Management von IKT-Drittparteienrisiken.
Verbindung zu Informationssicherheit und Cyber-Resilienz
IKT-Risikomanagement steht in engem Zusammenhang mit Informationssicherheitsmanagement, Cyber-Resilienz, Incident Management und Business Continuity.
Ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 unterstützt Unternehmen beim systematischen Umgang mit Informationssicherheitsrisiken. IKT-Risikomanagement betrachtet darüber hinaus insbesondere die Funktionsfähigkeit, Verfügbarkeit und Widerstandsfähigkeit der eingesetzten Informations- und Kommunikationstechnologien.
Unternehmerische Bedeutung
Die zunehmende Abhängigkeit von IT-Systemen, Cloud-Diensten und digitalen Geschäftsprozessen macht IKT-Risikomanagement zu einer wichtigen Aufgabe der Unternehmenssteuerung. Im DORA-Kontext trägt insbesondere das Leitungsorgan eine zentrale Verantwortung für die Steuerung und Überwachung der IKT-Risiken. Die BaFin weist ausdrücklich auf die erweiterten Aufgaben des Leitungsorgans hin.
Der systematische Aufbau widerstandsfähiger IT-Architekturen und die Umsetzung geeigneter Maßnahmen zur Reduzierung von IKT-Risiken sind für uns bei MR Datentechnik zentrale Bestandteile moderner IT-Sicherheitskonzepte – und genau dabei begleiten wir Unternehmen fachlich und technisch.