"Risikoregister" ist eines dieser Wörter, die sofort ein Bild von dicken Handbüchern und Compliance-Abteilungen mit eigenem Stockwerk erzeugen. Dabei ist die Grundidee simpel und für jedes Unternehmen ab einer Handvoll Mitarbeitenden sinnvoll: eine Liste der Dinge, die schiefgehen könnten, wie wahrscheinlich das ist, wie schlimm es wäre – und was Sie konkret dagegen tun.
Warum NIS2 das überhaupt verlangt
Die "Risikoanalyse und Sicherheitskonzept"-Maßnahme ist eine der zehn Mindestmaßnahmen nach §30 BSIG. Der Gedanke dahinter: Ein Unternehmen, das seine eigenen Risiken nicht kennt, kann auch keine sinnvollen Prioritäten setzen. Ohne Register investiert man tendenziell in das, wovon man zuletzt in den Nachrichten gelesen hat – nicht in das, was für das eigene Geschäftsmodell tatsächlich am wahrscheinlichsten oder am schädlichsten wäre.
Die vier Spalten, die wirklich zählen
Ein brauchbares Risikoregister braucht keine 20 Spalten. Vier reichen für den Anfang: Was ist das Risiko (in einem Satz, keine Fachbegriffe nötig)? Wie wahrscheinlich ist es (grob: selten / gelegentlich / wahrscheinlich)? Wie groß wäre der Schaden, wenn es eintritt (gering / mittel / hoch / existenzbedrohend)? Und: Wer ist verantwortlich, das zu beobachten oder zu reduzieren? Aus Wahrscheinlichkeit und Schadenshöhe ergibt sich automatisch eine Priorität – meist visualisiert als Ampel oder Heatmap, damit auf einen Blick klar ist, wo zuerst gehandelt werden sollte.
Der Grund, warum die meisten Register nach drei Monaten verstauben
Das häufigste Muster: Ein Workshop wird angesetzt, alle Beteiligten sammeln engagiert 25 Risiken, das Register wird als Tabelle abgespeichert – und nie wieder geöffnet, bis der nächste Auditor danach fragt. Der Grund ist selten Faulheit, sondern fehlende Routine: Ohne feste Erinnerung, das Register zu überprüfen, verschwindet es im selben digitalen Ordner wie alle anderen "irgendwann mal wichtigen" Dokumente.
Was tatsächlich hilft: kleine, regelmäßige statt große, einmalige Reviews
Effektiver als ein großer jährlicher Workshop ist ein kurzer vierteljährlicher Check: Haben sich Wahrscheinlichkeit oder Schaden bei bestehenden Risiken verändert? Gibt es neue Risiken (neue Software, neuer Zulieferer, neue Mitarbeitende mit weitreichenden Zugriffsrechten)? Sind zugesagte Maßnahmen tatsächlich umgesetzt worden? Zehn Minuten alle drei Monate bringen in der Praxis mehr als ein aufwändiger Workshop, der einmal im Jahr stattfindet und dessen Ergebnisse in der Zwischenzeit veralten.
Register statt Tabelle, die niemand pflegt
Sehen Sie, wie eine Heatmap-Ansicht auf einen Blick zeigt, wo Handlungsbedarf besteht.