Welche Risikoklasse gilt — und wie belegt ihr sie?
Die Einstufung ist eine Selbsteinschätzung. Das ist bequem, bis jemand die Begründung dazu sehen will.
Zuletzt geprüft:
Kommt euch bekannt vor?
- Alle sind sich einig, dass das System „wahrscheinlich begrenztes Risiko“ ist, und niemand kann sagen, warum.
- Der Use Case liegt nah an einem Bereich mit schwereren Pflichten — Personal, Kredit, Bildung, Sicherheitskomponenten.
- Ein Feature aus dem letzten Quartal hat verändert, worüber das System entscheidet. Die Einstufung wurde nie erneuert.
- Es gibt keine Nachweisakte, nur eine Folie aus einem Workshop vor neun Monaten.
Was wir tun
Einstufung pro System
Wir arbeiten Zweckbestimmung, beeinflusste Entscheidung und betroffene Personen durch und kommen zu einer Klasse — mit Begründung.
Grenzfallanalyse
Liegt ein Use Case nah an einer schwereren Klasse, dokumentieren wir beide Lesarten und die Tatsachen, die dazwischen entscheiden.
Nachweispaket
Die schriftliche Grundlage der Selbsteinstufung: Eingaben, Ausgaben, menschliche Aufsicht, betroffene Personen und die Systemversion, für die sie gilt.
Auslöser für Neubewertung
Ein kurzes Regelwerk, wann eine Produktänderung eine neue Prüfung erzwingt — damit die Einstufung nicht stillschweigend veraltet.
Fragen, die wir bekommen
Wer prüft unsere Einstufung?
Meistens niemand — bis etwas schiefgeht oder ein Kunde, Auditor oder eine Behörde fragt. Deshalb liegt der Wert in der schriftlichen Begründung, nicht im Etikett.
Braucht ein rein internes Tool eine Einstufung?
Ja. Interner Einsatz befreit nicht, und ausgerechnet interne Personal- oder Überwachungsfälle ziehen die schwersten Pflichten nach sich.
Wie lange dauert die Bewertung?
Für eine Handvoll Systeme in der Regel ein bis zwei Wochen inklusive Interviews. Der Zeitfresser ist herauszufinden, was die Systeme tatsächlich tun — nicht die Einstufung selbst.
Sagt uns, was bei euch produktiv läuft.
Wir sagen euch, was wir zuerst prüfen würden — und was wir uns sparen.
Termin buchen