Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 107

Tab. 5.3 Einsatz der Risikomatrix bei der Medium AG

Risikomatrix

unternehmens-
gefährdend

X -Reputationsschaden
X -Absatzeinbuße

hoch

mittel X -Bußgelder

gering

unwahrscheinlich gelegentlich wahrscheinlich regelmäßig

Eintrittswahrscheinlichkeit

Entsprechend werden die Ergebnisse in der Risikomatrix vermerkt (Tab. 5.3 ). Diese
Matrix wird später vom externen DSB ergänzt um die Ergebnisse aus den anderen
Workshops. Naturgemäß tauchen auch in Bezug auf andere Risikoobjekte ähnliche
Risiken auf, sodass manche Risikoeinstufungen noch verschärft werden müssen.

SAP
Nachdem die wichtigsten Risiken identifiziert worden sind, müssen alle Beteiligten zu
einer gemeinsamen Risikobewertung kommen. Dazu wird bei den Bewertungskriterien
auf die allgemeine Methodik aus dem Risikomanagement von SAP zurückgegriffen, um
später eine Aggregation mit anderen Risiken im Unternehmen zu ermöglichen sowie
den Managementprozess der einzelnen Risiken am Laufen zu halten. Eine einheitliche
Bewertung ist dabei aufgrund der unterschiedlichen Sichtweisen der Beteiligten kein
einfachzuerreichendesErgebnisundwirddaherauchintensivdiskutiert, zumalvonder
Bewertung die Folgemaßnahmen abhängen, welche vom jeweiligen Geschäftsbereich
umzusetzen sind. Letztendlich basiert die Bewertung auf einer Abwägung zwischen
Business und Compliance und muss von den Bereichsverantwortlichen verantwortet
werden. Bei Neueinführung des DSMS sind zudem viele Risiken bereits im etablierten
Risikomanagementsystem erfasst, sodass deren Bewertung auch für das DSMS herange-
zogen werden kann. Aufgrund der bereits etablierten Sicherheitsinfrastruktur bestehen
häufig bereits angemessene TOMs, sodass im Regelfall keine Schwachstellen auf tech-
nischer Grundlage bearbeitet werden müssen und an dieser Stelle auch bereits die
Hauptausrichtung der DSMS-Tätigkeiten hinsichtlich Mitarbeiter-Awareness und Ri-
sikoüberwachung deutlich werden. Bei der Ermittlung potentieller Schäden müssen bei
SAP u.a. die globale Ausrichtung und die hohen Kundenerwartungen berücksichtigt
werden.