Wirksame Unternehmenssicherheit beginnt nicht mit Kameras, Zutrittskontrollen oder Sicherheitsdiensten, sondern mit der Frage: Welche Ereignisse können die wesentlichen Werte, Prozesse und Schutzziele des Unternehmens beeinträchtigen? Erst eine strukturierte Risikoermittlung schafft die Grundlage dafür, Sicherheitsmaßnahmen angemessen zu planen und Investitionen nachvollziehbar zu priorisieren.
ISO 31000 beschreibt Risikomanagement als einen organisationsweit integrierbaren Prozess aus Identifikation, Analyse, Bewertung, Behandlung, Überwachung und Kommunikation von Risiken.
Unternehmensrisiken systematisch erkennen und bewerten
Ausgangspunkt ist die Identifikation dessen, was geschützt werden soll. Hierzu können insbesondere gehören:
Menschen und Gesundheit,
Gebäude und technische Anlagen,
Produktionsmittel und Waren,
Informationen und Geschäftsgeheimnisse,
IT- und OT-Systeme,
Liefer- und Versorgungsketten,
Reputation und Handlungsfähigkeit,
kritische Geschäfts- und Produktionsprozesse.
Erst danach lässt sich beurteilen, welche Gefährdungen für das Unternehmen tatsächlich relevant sind.
Bedrohung, Schwachstelle und Auswirkung zusammenführen
Betrachtung
Beispiel
Schutzobjekt
Produktionsanlage
Bedrohung
Sabotage oder unbefugter Zugriff
Schwachstelle
Unzureichend gesicherter Technikbereich
Ereignis
Manipulation einer Steuerung
Auswirkung
Produktionsstillstand und Folgeschäden
bestehende Maßnahme
Zutrittskontrolle
Restrisiko
Nach Bewertung der vorhandenen Schutzmaßnahmen
Diese strukturierte Betrachtung verhindert, dass abstrakte Bedrohungen ohne Bezug zum tatsächlichen Unternehmen bewertet werden. Auch der BSI-Standard 200-3 stellt die Identifikation relevanter Gefährdungen an den Anfang der Risikoanalyse.
Eine unternehmensbezogene Risikoermittlung sollte nicht ausschließlich Kriminalität betrachten. Relevante Szenarien können beispielsweise sein:
Einbruch, Diebstahl und Vandalismus,
Sabotage und Wirtschaftsspionage,
Gewalt- und Bedrohungslagen,
Cyberangriffe mit physischen Auswirkungen,
Insiderhandlungen,
Brand und technische Ausfälle,
Strom- oder Versorgungsausfall,
Naturereignisse,
Lieferkettenunterbrechungen,
Ausfall kritischer Dienstleister,
unbefugter Zutritt oder Zugriff.
Risiken nachvollziehbar priorisieren
Nach der Identifikation werden Risiken hinsichtlich Eintrittsmöglichkeit und möglicher Auswirkungen analysiert. Neben Sachschäden sollten dabei auch Personenschäden, Betriebsunterbrechungen, Informationsverluste, regulatorische Folgen und Reputationsschäden berücksichtigt werden.
Eine Risikomatrix kann die Priorisierung unterstützen. Sie darf jedoch nicht zu einer rein mathematischen Scheingenauigkeit führen. Seltene Ereignisse mit existenziellen Auswirkungen benötigen gegebenenfalls ebenso Aufmerksamkeit wie häufig auftretende Ereignisse mit begrenztem Schaden.
Risikoermittlung regelmäßig aktualisieren
Risiken verändern sich durch neue Standorte, Produktionsverfahren, Digitalisierung, geopolitische Entwicklungen, neue Dienstleister oder organisatorische Veränderungen. Risikoermittlung ist deshalb kein einmaliges Projekt, sondern ein wiederkehrender Managementprozess.
Damit schafft die Risikoermittlung die fachliche Grundlage für Sicherheitskonzept, Investitionsplanung, Business Continuity und Notfallmanagement – und verhindert, dass Sicherheitsmaßnahmen lediglich aus Gewohnheit oder aufgrund einzelner Ereignisse beschlossen werden.
