Kratek odgovor: Register tveganj je živ dokument, ki popisuje informacijska in kibernetska tveganja organizacije: kaj lahko gre narobe, kako verjetno je to, kakšen bi bil vpliv, kdo je lastnik tveganja in kateri ukrepi ga obvladujejo. Ni enkraten seznam, temveč orodje, ki se redno posodablja.
Kateri elementi mora register tveganj vsebovati?
- Opis tveganja in vira (grožnja, ranljivost, sredstvo)
- Verjetnost in oceno vpliva
- Trenutne kontrole in njihovo učinkovitost
- Lastnika tveganja – osebo, ki je odgovorna za odločitev
- Odločitev: sprejem, zmanjšanje, prenos ali izogib tveganju
- Načrt obravnave z roki in odgovornimi osebami
- Rezidualno (preostalo) tveganje po izvedenih ukrepih
- Datum zadnje posodobitve in datum naslednjega pregleda
Register tveganj in ISO 27001
ISO 27001 zahteva sistematično analizo tveganj kot temelj ISMS – register tveganj je praktično orodje, s katerim organizacija dokaže, da tveganja dejansko upravlja, ne samo ocenjuje enkrat na leto pred presojo.
Register tveganj po NIS2 in ZInfV-1
Tako NIS2 ocena tveganja kot ZInfV-1 zahtevata, da organizacija razume tveganja za omrežja in informacijske sisteme ter da to dokumentira. Register tveganj je osrednji dokaz te obveznosti ob nadzoru.
Praktični koraki za vzpostavitev
- Popišite ključna sredstva (podatki, sistemi, procesi).
- Identificirajte grožnje in ranljivosti za vsako sredstvo.
- Ocenite verjetnost in vpliv po dogovorjeni lestvici.
- Določite lastnika za vsako tveganje – ne oddelek, temveč konkretno osebo.
- Zapišite načrt obravnave z rokom in pričakovanim rezultatom.
- Uvedite reden pregled (npr. četrtletno) in ob vsaki pomembni spremembi.
Tipične napake
Najpogostejša napaka je, da register nastane enkrat pred presojo in se nato ne posodablja. Druga napaka je, da tveganja nimajo jasnega lastnika, zato jih dejansko nihče ne rešuje. Tretja napaka je mešanje registra tveganj s seznamom incidentov ali nalog v IT orodju – gre za ločen, poslovno usmerjen dokument, ki ga mora razumeti tudi vodstvo.
Kako pomaga CISOaaS?
CISOaaS pomaga vzpostaviti register tveganj, ki ni samo formalnost: poveže tehnična tveganja s poslovnim vplivom, določi realne lastnike in poskrbi za reden pregled, tako da register ostane uporaben tudi šest mesecev po vzpostavitvi.
Sorodne vsebine
Glejte tudi: Upravljanje kibernetskih tveganj, ISO 27001 analiza tveganj in GAP analizo kibernetske varnosti.
Pogosta vprašanja
Kako pogosto je treba posodabljati register tveganj?
Priporočljivo je najmanj četrtletno, poleg tega pa vedno ob večjih spremembah infrastrukture, novih storitvah ali po pomembnem incidentu.
Kdo bi moral biti lastnik registra tveganj?
Celoten register običajno vodi CISO ali vCISO, posamezna tveganja pa imajo lastnike med vodji oddelkov ali poslovnih procesov, ki dejansko lahko odločajo o ukrepih.
Uradni viri za preverjanje
Želite tveganja pretvoriti v izvedljiv načrt?
Pomagamo določiti poslovni vpliv, prioritete, lastnike ukrepov, dokazila in poročanje za vodstvo.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.