Risikomanagement
Was kommt nach dem Risiko-Assessment? Von der Momentaufnahme zum kontinuierlichen Risikomanagement
Was wäre, wenn ein Risiko-Assessment nicht mit der Übergabe eines Reports endet, sondern der Ausgangspunkt für eine langfristige Kundenbeziehung wird?
Save to Folio
Was wäre, wenn ein Risiko-Assessment nicht mit der Übergabe eines Reports endet, sondern der Ausgangspunkt für eine langfristige Kundenbeziehung wird?
Darin liegt aus meiner Sicht eine interessante Chance für Partner. Denn Cyberrisiken sind keine Momentaufnahme. Die Angriffsfläche von Unternehmen verändert sich kontinuierlich: Neue Systeme und Cloud-Services kommen hinzu, Schwachstellen entstehen, Bedrohungen entwickeln sich weiter – und auch der zunehmende Einsatz von KI schafft neue Risikofelder.
Für Unternehmen bedeutet das: Cyberrisiken müssen regelmäßig neu bewertet, priorisiert und reduziert werden. Eine punktuelle Bestandsaufnahme allein reicht dafür immer seltener aus.
Für Partner eröffnet sich damit die Möglichkeit, aus einer einmaligen Leistung eine kontinuierliche Begleitung zu entwickeln. Ein Risiko-Assessment kann dabei der Einstieg sein – gefolgt von regelmäßiger Risikobewertung, einem Managed Service und schließlich einem Reporting, das auch Management und Geschäftsführung eine fundierte Entscheidungsgrundlage bietet.
Von der Momentaufnahme zum kontinuierlichen Risikomanagement
Auch regulatorische Anforderungen wie NIS2 und DORA verstärken die Notwendigkeit, Cyberrisiken nicht punktuell, sondern fortlaufend zu betrachten. Unternehmen müssen Risiken identifizieren, bewerten und priorisieren sowie geeignete Maßnahmen ableiten und deren Wirksamkeit nachvollziehen können.
Damit verändert sich auch die Rolle von IT-Security-Partnern. Kunden benötigen zunehmend Unterstützung dabei, ihre Angriffsfläche zu verstehen, relevante Risiken von weniger kritischen Findings zu unterscheiden und daraus die richtigen Prioritäten abzuleiten.
Ansätze wie Cyber Risk Exposure Management (CREM) können dabei unterstützen. Entscheidend ist jedoch weniger die Bezeichnung oder eine einzelne Technologie als vielmehr der grundlegende Perspektivwechsel: weg von einer einmaligen technischen Bestandsaufnahme, hin zu einer kontinuierlichen Betrachtung und Steuerung von Cyberrisiken.
Für MSPs und MSSPs entsteht daraus die Chance, ihr Serviceangebot schrittweise weiterzuentwickeln.
Eine mögliche Service Journey in vier Schritten
Dabei muss nicht von Anfang an ein umfassender Managed Service stehen. Je nach eigener Service-Reife und den Anforderungen des Kunden kann sich das Angebot schrittweise entwickeln.
Risiko-Assessment als Einstieg
Viele Unternehmen haben nur begrenzte Transparenz darüber, wie ihre tatsächliche Angriffsfläche aussieht. Welche Systeme sind erreichbar? Welche Schwachstellen stellen ein relevantes Risiko dar? Und wo sollte zuerst gehandelt werden?
Ein strukturiertes Risiko-Assessment schafft zunächst Transparenz. Der Mehrwert liegt dabei nicht in einer möglichst langen Liste technischer Findings, sondern in deren Einordnung: Welche Risiken sind relevant? Welche sollten priorisiert werden? Und welche konkreten Maßnahmen lassen sich daraus ableiten?
Damit kann das Assessment zum Ausgangspunkt für eine längerfristige Zusammenarbeit werden. Statt nach der Präsentation des Reports zu enden, kann die Risikolage beispielsweise quartalsweise oder monatlich erneut betrachtet werden. Der Report wird so vom Abschluss eines Projekts zum Ausgangspunkt eines kontinuierlichen Dialogs.
Vom Report zum regelmäßigen Risk Service
Im nächsten Schritt wird aus der Momentaufnahme eine regelmäßige Betrachtung der Risikolage.
Für IT- und Security-Verantwortliche sind dabei vor allem Veränderungen relevant: Hat sich unsere Risikosituation verbessert? Welche neuen Risiken sind hinzugekommen? Welche Maßnahmen zeigen Wirkung? Und wo besteht weiterhin Handlungsbedarf?
Ein regelmäßiges Risk Reporting schafft Transparenz über diese Entwicklung und gleichzeitig einen festen Anlass für den Austausch zwischen Partner und Kunde.
Damit verändert sich auch der Wertbeitrag des Partners. Er liefert nicht nur technische Daten, sondern hilft dem Kunden, diese einzuordnen, Prioritäten zu setzen und daraus Entscheidungen abzuleiten. Aus einer punktuellen technischen Leistung entwickelt sich so Schritt für Schritt ein kontinuierlicher Service.
Kontinuierliches Risk Management als Managed Service
Die nächste Stufe entsteht, wenn der Kunde den Partner nicht nur bei der Bewertung, sondern auch beim laufenden Management seiner Cyberrisiken einbindet.
Der Partner kann Veränderungen der Angriffsfläche überwachen, neue Risiken bewerten, Prioritäten anpassen und den Kunden bei der Koordination geeigneter Maßnahmen unterstützen. Technologien und Plattformen – darunter auch CREM-Ansätze – können einen Teil der Analyse und Priorisierung automatisieren.
Die eigentliche Wertschöpfung des Partners liegt jedoch in der Einordnung: Was bedeutet eine Veränderung konkret für diesen Kunden? Welche Risiken sind im jeweiligen Geschäftskontext tatsächlich relevant? Und welche Maßnahmen sollten priorisiert werden?
Damit unterscheidet sich ein solcher Service deutlich von einem klassischen Schwachstellen-Scan. Entscheidend ist nicht die Anzahl der Findings, sondern die Antwort auf drei Fragen: Was hat sich verändert? Was davon ist relevant? Und was sollte als Nächstes passieren?
Vom technischen Risiko zur Management-Perspektive
Aus einem kontinuierlichen Risk Service ergibt sich schließlich eine weitere Chance: Cyberrisiken so aufzubereiten, dass sie auch für Geschäftsführung und Management verständlich und entscheidungsrelevant werden.
Auf dieser Ebene stehen nicht einzelne CVEs im Vordergrund. Entscheidend sind vielmehr Fragen wie: Wie entwickelt sich unser Cyberrisiko? Welche geschäftskritischen Bereiche sind besonders betroffen? Welche Auswirkungen könnten bestimmte Risiken auf das Unternehmen haben? Und wo besteht aus regulatorischer oder geschäftlicher Sicht Handlungsbedarf?
Für Partner bietet sich damit die Möglichkeit, technische Erkenntnisse in ein Management- oder Board-Reporting zu übersetzen.
Das verändert auch ihre Position beim Kunden. Wer nicht nur über IT-Security-Technologien, sondern regelmäßig über Risiken, Prioritäten und mögliche geschäftliche Auswirkungen spricht, erweitert seine Rolle: vom technischen Dienstleister hin zu einem Partner, der Management-Entscheidungen mit fundierter Cybersecurity-Expertise unterstützt.
Vom einzelnen Auftrag zur langfristigen Kundenbeziehung
Die eigentliche Chance liegt deshalb nicht darin, einfach einen weiteren Security-Service in den Katalog aufzunehmen. Sie liegt darin, bestehende Kundenbeziehungen weiterzuentwickeln.
Ein Assessment kann der Einstieg sein. Daraus kann ein regelmäßiges Risk Reporting entstehen, anschließend ein Managed Service und schließlich eine Beratung und Aufbereitung für Management und Geschäftsführung.
Nicht jeder Kunde wird diese gesamte Entwicklung durchlaufen – und nicht jeder Partner muss alle Stufen selbst abdecken. Entscheidend ist vielmehr, Cyber-Risikomanagement als kontinuierlichen Prozess zu verstehen und das eigene Serviceangebot entsprechend weiterzuentwickeln.
Für Partner eröffnet sich damit die Möglichkeit, stärker in die strategischen Cybersecurity-Prozesse ihrer Kunden eingebunden zu werden. Aus einer einmaligen Bewertung wird eine kontinuierliche Begleitung. Aus technischen Findings werden priorisierte Handlungsempfehlungen. Und aus einem einzelnen Projekt kann eine langfristige Kundenbeziehung entstehen.