Hoch mal mittel ist keine Zahl

Artikel 21 Absatz 1 der NIS2-Richtlinie verlangt Maßnahmen, die „unter Berücksichtigung des Stands der Technik und gegebenenfalls der einschlägigen europäischen und internationalen Normen sowie der Kosten der Umsetzung ein Sicherheitsniveau der Netz- und Informationssysteme gewährleisten, das dem bestehenden Risiko angemessen ist“. Kosten auf der einen Seite, Risiko auf der anderen, und dazwischen das Wort „angemessen“.

Diese Abwägung setzt voraus, dass beide Seiten in derselben Einheit vorliegen. Die Kosten einer Maßnahme kennt jedes Haus in Euro. Das Risiko steht in den meisten Häusern als „Schwere 3, Wahrscheinlichkeit 4“ in einer Matrix. Hoch mal mittel ist keine Zahl, und eine Farbe lässt sich nicht gegen ein Angebot rechnen.

Was die Matrix leistet und was nicht

Die Risikomatrix ist nicht falsch. Sie ordnet, sie priorisiert, sie ist in fünf Minuten erklärt, und BSI-Standard 200-3 wie ISO 27005 tragen sie. Was sie nicht kann: zwei Risiken addieren, ein Risiko gegen einen Risikoappetit in Euro halten oder sagen, ob eine Maßnahme für 80.000 Euro im Jahr sich lohnt.

Drei Zahlen, die jeder nennen kann

Der Einwand kommt sofort: Niemand kennt die Häufigkeit eines Ransomware-Vorfalls auf zwei Stellen. Das stimmt, und es ist kein Hindernis. Jeder Verantwortliche kann drei Aussagen treffen: seltener als alle 20 Jahre wird es nicht sein, alle fünf Jahre ist realistisch, häufiger als einmal im Jahr wäre eine Überraschung. Dasselbe für den Schaden je Ereignis: mindestens, wahrscheinlich, höchstens.

Das ist die Dreipunktschätzung, wie sie FAIR, der Standard der Open Group für die Quantifizierung von Informationsrisiken, verwendet. Aus je drei Werten für Häufigkeit und Schaden entsteht eine Verteilung, und eine Monte-Carlo-Simulation spielt daraus 10.000 Jahre durch. Das Ergebnis ist keine Zahl, sondern eine Verteilung des Jahresverlusts, und aus ihr lassen sich die Zahlen ablesen, die eine Entscheidung braucht.

Die vier Zahlen, die dabei herauskommen

Der erwartete Jahresverlust, ALE, ist der Mittelwert über alle simulierten Jahre: die Zahl für Budget und Priorisierung. P90 sagt, in neun von zehn Jahren bleibt der Verlust darunter: der übliche Planungswert für Rücklagen und Versicherungssummen. P50 ist bei seltenen Ereignissen oft null, weil in den meisten Jahren nichts passiert, und das ist keine Schwäche der Methode, sondern die Wahrheit über seltene Ereignisse. Der Maximalverlust ist das schlechteste simulierte Jahr, kein Grenzwert, aber ein Gefühl für den Rand der Verteilung.

Statt „Schwere 3, Wahrscheinlichkeit 4“ steht dann: erwarteter Jahresverlust 210.000 Euro, in neun von zehn Jahren unter 650.000 Euro, im schlimmsten simulierten Jahr 2,3 Millionen. Das ist die Sprache, in der Geschäftsführung und Aufsichtsrat über Budget, Versicherung und Risikoappetit entscheiden.

Warum der Seed wichtiger ist als die Kommastelle

Eine Simulation, die bei jedem Aufruf andere Zahlen liefert, ist im Audit wertlos. Das Modul Risiko in Euro in isidaten gibt deshalb jeder Quantifizierung einen festen Seed aus Risiko und Stufe: Derselbe Datensatz liefert auf jeder Instanz dieselben Zahlen, ein Bericht vom Vortag lässt sich exakt wiederholen. Wer wissen will, wie stark das Ergebnis am Zufall hängt, rechnet mit anderem Seed neu; bei 10.000 Iterationen bewegt sich der ALE um etwa ein Prozent. Die Annahmen und Quellen stehen an der Quantifizierung, denn sie sind das, was ein Prüfer sehen will, nicht die Kommastelle.

Die Matrix folgt, aber nur auf Klick

Die Quantifizierung ersetzt die Risikoanalyse nicht, sie speist sie. Der P90 des Einzelschadens lässt sich in die finanzielle Schadensdimension zurückspielen, mit eigenem Recht und automatischer Begründung, und die Matrix folgt der Simulation. Der P90, nicht der ALE, denn die Matrix multipliziert selbst mit der Wahrscheinlichkeit, und der ALE trägt die Häufigkeit schon in sich. Speichern verändert die Analyse nie.

Mit einer Ist- und einer Zielstufe entsteht der Vorher-Nachher-Vergleich, und mit den Kosten der zugeordneten Maßnahmen der ROSI: Was bringt die Maßnahme im Jahr, gemessen an ALE-Differenz und Kosten, Einmalkosten über die Abschreibungsjahre verteilt. Das ist die Rechnung, die Artikel 21 verlangt, in der Einheit, in der er sie verlangt.

Die Prüffrage

Wie viel Euro Cyber-Verlust im Jahr ist Ihre Geschäftsführung bereit hinzunehmen, und wie viel erwarten Sie?

Wenn die erste Zahl nie formuliert wurde, ist „angemessen“ bisher eine Farbe gewesen.

Quellen

Richtlinie (EU) 2022/2555 (NIS2), Artikel 21 Absatz 1. Open FAIR, The Open Group, Standard für die Analyse von Informationsrisiken. BSI-Standard 200-3 Risikomanagement, ISO/IEC 27005:2022.