15. Risikoanalyse

Erläuterung für Nutzer:innen

An dieser Stelle ist die durchgeführte Risikoanalyse darzustellen. Sie bildet die Grundlage für die Beurteilung, ob eine Datenschutzfolgenabschätzung (DSFA) erforderlich ist (vgl. Kapitel 14), und rechtfertigt die Auswahl und Intensität der technisch-organisatorischen Maßnahmen (vgl. Kapitel 12). Die Risikoanalyse sollte systematisch nach dem BSI-IT-Grundschutz oder einem vergleichbaren Standard erfolgen und alle drei Dimensionen erfassen: Vertraulichkeit, Integrität und Verfügbarkeit.

Textbeispiele/-bausteine

Die Risikoanalyse für das Verfahren [Projektname] wurde auf Grundlage [der IT-Sicherheitsstandards der Einrichtung / des BSI-IT-Grundschutzes] durchgeführt. Eine umfassende Risikoidentifikation und -bewertung liegt im Dokument [Dokumentname, Version, Datum] vor (vgl. Anlage).

Darin wurden alle relevanten Gefährdungsszenarien systematisch erfasst und gemäß [IT-Grundschutz / anderem Standard] kategorisiert, u. a.:

  • unbefugte Offenlegung von Daten (z. B. G 0.19, G 0.29)
  • fehlerhafte oder manipulative Datenverarbeitung (G 0.21, G 0.22, G 0.46)
  • Verlust oder Zerstörung von Daten (G 0.24, G 0.45)
  • unbefugte Verknüpfung oder Nutzung personenbezogener Daten (G 0.30, G 0.32)
  • Missbrauch von Berechtigungen oder Identitäten (G 0.32, G 0.37)
  • Nutzung unsicherer Datenquellen (G 0.20)
  • Softwarefehler und Schwachstellen (G 0.28)
  • Cyberangriffe oder Schadsoftware (G 0.23, G 0.39)

Für jede Gefährdung wurden folgende Aspekte erfasst:

  • die betroffenen Systemkomponenten und Datenverarbeitungsprozesse
  • die geschätzte Eintrittswahrscheinlichkeit
  • das mögliche Schadenausmaß
  • sowie eine konkrete Risikobewertung vor und nach Umsetzung der definierten Gegenmaßnahmen
  • Zudem wurden die jeweils verantwortlichen Personen benannt und spezifische technisch-organisatorische Schutzmaßnahmen dokumentiert.

Die Ergebnisse der Risikoanalyse zeigen, dass das verbleibende Restrisiko nach Umsetzung aller Maßnahmen als [gering/mittel/hoch] einzustufen ist. [Eine weitergehende Datenschutzfolgenabschätzung im Sinne von Art. 35 DSGVO ist daher nicht erforderlich. / Eine DSFA wurde durchgeführt; vgl. Kapitel 14.]

[Hier ggf. konkretisieren: Nennen Sie das Datum, die Version und die verantwortliche Person der Risikoanalyse. Beschreiben Sie das verwendete Verfahren.]