Operative Vorarbeit
KI befüllt definierte Assessment- und Workflow-Felder vor, entwirft Zuordnungen, Texte oder Report-Bausteine und legt Quellen, Begründung und Konfidenz offen.
Jedes Risiko – gleich welcher Herkunft – läuft durch eine Methodik in ein Register; über der Score-Schwelle zeichnet eine unabhängige Rolle, lückenlos verkettet.
Eine zentrale Register- und Freigabesicht für ICT- und Informationssicherheitsrisiken – egal ob der Auslöser aus ISMS, Notfallmanagement, Vorfällen, Schwachstellen, TPRM, AI Governance oder manueller Aufnahme stammt.
Vier-Augen-Freigabe je Score-Schwelle, ohne Selbstfreigabe – nachvollziehbar über ein manipulationssicher verkettetes Audit-Log (DORA Art. 6(4), MaRisk AT 4.3.1).
Quartals-ICT-Risk-Report als PDF und PowerPoint, mit KPIs, Vorquartals-Trend und Management-Narrativ – auf Gruppen- oder Einzelinstituts-Ebene.
Jedes Modul bleibt klassisch bedienbar. Wenn KI aktiviert ist, übernimmt sie operative Vorbereitung und Verdichtung: Vorbefüllungen, Zuordnungen, Zusammenfassungen und Review-Queues. Verantwortliche Rollen prüfen Qualität, treffen die Entscheidung und geben den Nachweis frei.
Was sich im Arbeitsalltag ändert
KI befüllt definierte Assessment- und Workflow-Felder vor, entwirft Zuordnungen, Texte oder Report-Bausteine und legt Quellen, Begründung und Konfidenz offen.
Fachrollen prüfen, korrigieren, bündeln oder verwerfen. Freigaben, Overrides und rechtlich relevante Entscheidungen bleiben menschlich.
Input, Vorbefüllung oder Entwurf, Entscheidung, Begründung und Version werden protokolliert. Der Effizienzgewinn kommt ohne Kontrollverlust.
Für CRO und ICT-Risk-Manager als Eigentümer der ICT- und Informationssicherheits-Risikosteuerung und des DORA-Risk-Reportings; sekundär für CISO und Vorstand, die über die Vier-Augen-Freigabe einbezogen sind.
ICT-Risiken über Excel, ISMS, Notfall, TPRM und KI verstreut
Brutto und Netto je Tool anders bewertet, nicht vergleichbar
Freigaben ohne belegte Funktionstrennung, Audit-Spur lückenhaft
Jedes Risiko – gleich welcher Herkunft – läuft durch eine Methodik in ein Register; über der Score-Schwelle zeichnet eine unabhängige Rolle, lückenlos verkettet.
eine methodik · ein register
Risiken aus acht Quellen laufen in ein Register zusammen. Wer ein Risiko erfasst, kann es nicht selbst freigeben: Über der Score-Schwelle verlangt das Vier-Augen-Gate eine unabhängige Rolle — bis ein zweiter Freigeber zeichnet.
Beispieldaten · Illustration
GEHALTEN — Ersteller = Freigeber → über der Schwelle zeichnet eine unabhängige Rolle (MaRisk AT 4.3.1 · DORA Art. 6(4))
OFFEN — zweiter Freigeber → Gate frei, Audit-Zeile verkettet, Q3-Report besiegelt
Belegt: ISO/IEC 27005 (Brutto/Netto, getrennter Behandlungs-Sign-Off) · DORA Art. 5 (Funktionstrennung, keine Selbstfreigabe) · DORA Art. 6 (dokumentiertes, mind. jährlich überprüftes ICT-Risikomanagement-Rahmenwerk) · MaRisk AT 4.3.1 (Freigabe-Workflow, lückenlos verkettetes Audit-Log). Unterstützt die Erfüllung; die Konformitätsverantwortung verbleibt beim Kunden.
Jedes Risiko – gleich welcher Herkunft – läuft durch eine Methodik in ein Register; über der Score-Schwelle zeichnet eine unabhängige Rolle, lückenlos verkettet.
Avalon-Kern
eine methodik · ein register
Strukturierte Bewertungen entlang Ihrer Risikomethodik – inklusive Brutto/Netto-Logik und Bewertungshistorie.
Vom Assessment bis zur Wirksamkeitsprüfung – mit klaren Verantwortlichkeiten und Statusverfolgung.
Reports nach DORA, MaRisk AT 4.3.1 und BSI 200-3 – aktuell, nachvollziehbar und an die freigegebene Risikomethodik gebunden.
Jeder Schritt zeigt, welche Vorarbeit entsteht, wer prüft und welcher Nachweis daraus wird.
Was passiert in diesem Schritt
Risiko mit Titel, Beschreibung und betroffenem Asset anlegen – manuell oder aus Quellbewertungen wie ISMS-Lücken, Notfallmanagement, Vorfällen, Schwachstellen, TPRM oder KI-Governance. Die Herkunft des Risikos wird übernommen, die Verknüpfung zum Asset bleibt dauerhaft erhalten.
Was passiert in diesem Schritt
Bedrohungen aus dem Katalog oder als Individualgefährdung auswählen und je Bedrohung Likelihood und Impact aus der versionierten Methodik-Matrix setzen. Avalon aggregiert die Bewertungen je Bedrohung automatisch zum Brutto-Score.
Was passiert in diesem Schritt
Maßnahmen aus dem Gap-Assessment des Assets prüfen, Individualmaßnahmen ergänzen und je Bedrohung die Nach-Maßnahmen-Bewertung setzen. What-if-Simulationen zeigen Score- und EUR-Delta, ohne das Register zu verändern; freigegebene Maßnahmen werden als POA&M-Items verfolgt.
Was passiert in diesem Schritt
Owner wählen und einreichen. Die Policy prüft den Netto-Score gegen die Schwellen und verlangt über der Schwelle den ICT-Risk-Manager – ohne Selbstfreigabe. Assessment-Gate und Treatment-Gate werden getrennt protokolliert.
Was passiert in diesem Schritt
Mit der Freigabe wird das nächste Review-Datum gesetzt (Standard 12 Monate). Avalon erinnert die verantwortliche Person automatisch bei Fälligkeit – die Re-Bewertung bleibt eine bewusste Nutzerentscheidung.
Was passiert in diesem Schritt
Den ICT-Risk-Report als PDF oder PowerPoint erzeugen – mit KPIs und Vorquartals-Trend, auf Gruppen- oder Einzelinstituts-Ebene.
Risiken aus ISMS, Notfallmanagement, Vorfällen, Schwachstellen, TPRM, AI Governance oder manueller Aufnahme werden im zentralen Register auf eine gemeinsame Brutto-/Netto-Sicht gebracht. Die fachliche Quellbewertung bleibt im jeweiligen Modul; IT Risk Management macht daraus die vergleichbare Steuerungs- und Freigabesicht für ICT- und Informationssicherheitsrisiken.
Asset-gebundene Risikoanalyse mit Brutto- und Netto-Bewertung je Bedrohung, methodikbasierten Likelihood-/Impact-Klassen und Scoring-Bändern aus einer versionierten Methodik. Sechs Behandlungsstrategien (mitigieren, akzeptieren, transferieren, vermeiden, zurückgestellt, in Prüfung) machen die Steuerung explizit.
Assessment und Risikobehandlung laufen durch getrennte Gates: erst wird die Bewertung freigegeben, danach der Behandlungsplan. Eine konfigurierbare Policy ordnet jedem Netto-Score-Bucket die erforderliche Genehmiger-Rolle zu; oberhalb der Schwelle gilt Vier-Augen-Prinzip, der Risk-Owner kann das eigene Risiko nicht selbst freigeben (MaRisk AT 4.3.1, DORA Art. 6(4)).
Identität (Titel, Beschreibung, Asset) → Bedrohungen aus Katalog oder Individualgefährdung → Brutto-Bewertung → Maßnahmen aus dem Gap-Assessment des Assets → Netto-Bewertung → Owner und Freigabe. Jedes Risiko ist eine eigenständige Entität mit Titel, Owner und Status – nicht nur eine Menge von Bedrohungen.
Der Behandlungswizard führt pro Risiko von Brutto zu Netto: Strategie wählen, Maßnahmen zuordnen, Zielwert simulieren und Score-/EUR-Delta prüfen, bevor Budget oder Sign-off gebunden werden. Die Simulation bleibt read-only, bis ein Behandlungsplan tatsächlich freigegeben ist.
Freigegebene Behandlungsmaßnahmen materialisieren als Plan of Action & Milestones (POA&M) mit Owner, Fälligkeitsdatum, Status und Plausibilitätsflags. Maßnahmen aus Risiko-Behandlung und Gap Assessment erscheinen in einer gemeinsamen Liste – eine Verantwortlichkeit statt paralleler Maßnahmentabellen.
Ein Bericht mit Executive-KPIs (Netto-/Brutto-Risiko in EUR, Schwellenüberschreitungen), Vorquartals-Trend, Kategorie-Übersicht und Top-10-Risiken – auf Gruppen-Ebene (mit Gesellschaftsvergleich) oder je Einzelinstitut, als PDF und PowerPoint.
Jeder Schritt – von Anlegen und Einreichen über Freigeben und Behandlung bis Archivieren und Reaktivieren – wird in einem manipulationssicher verketteten Audit-Log mit Akteur-Auflösung festgehalten. Das adressiert die lückenlose Nachvollziehbarkeit nach MaRisk AT 4.3.1.
Eine methodikbasierte Re-Review-Periode (Standard 12 Monate, konfigurierbar zwischen 6 und 36) belegt jedes Risiko mit einem Fälligkeitsdatum; Avalon erinnert die verantwortliche Person automatisch an die anstehende Re-Bewertung. Akzeptanzschwellen je Asset und Policy steuern, ab welchem Wert eine Freigabe nötig wird (DORA Art. 6(5)/(8)).
Für Prüfer lässt sich ein zeitlich begrenzter, schreibgeschützter Zugang erzeugen (Standard 90 Tage, optional auf einzelne Asset-Gruppen begrenzt). Der Zugang wird sicher gespeichert; der Prüfer sieht Audit-Trail und Auswertungen, kann aber nichts verändern.
Risiken unterhalb der Akzeptanzschwelle können regelbasiert (ohne KI) als akzeptiert gesetzt werden – pro Mandant standardmäßig deaktiviert. Jede Auto-Akzeptanz erzeugt ein Audit-Ereignis mit Netto-Wert, Schwelle und Regel. Über der Schwelle bleibt der ICT-Risk-Manager Pflicht.
Sie müssen ICT-Risiken nach DORA belastbar steuern und im Audit nachweisen. Avalon liefert die asset-gebundene Methodik, die Vier-Augen-Freigabe ohne Selbstfreigabe, das verkettete Audit-Log und den Quartals-ICT-Risk-Report – statt Tabellen zu konsolidieren. DORA-Incident-Daten können als Risikokontext einfließen; Meldeklassifikation und Behörden-Export bleiben in der Incident-/OpRisk-Strecke verortet.
Ihre ICT- und Informationssicherheitsrisiken liegen verteilt über Excel und Einzeltools. Avalon bringt sie in eine saubere Struktur: eine versionierte Methodik, Brutto/Netto je Bedrohung, Behandlungsstrategien, Owner und Bewertungshistorie – mit konfigurierbaren Freigabe-Schwellen. Operationelle Gesamtbankrisiken bleiben im OpRisk-Modul konsolidiert.
Vorstand, Gremien, Interne Revision und Aufsicht erwarten eine prüffähige Gesamtsicht. Der ICT-Risk-Report aggregiert Netto- und Brutto-Risiko, Schwellenüberschreitungen, Vorquartals-Trend und Top-10-Risiken – auf Gruppen-Ebene mit Gesellschaftsvergleich oder je Einzelinstitut, als PDF und PowerPoint.
Risiken entstehen nicht isoliert – sie hängen an Informationsverbund, Prozessen, Anbietern und regulatorischen Pflichten. Avalon verknüpft diese Dimensionen sichtbar.
Risiken sind asset-gebunden: Schutzbedarfe und Maßnahmen aus dem Gap Assessment des Assets fließen direkt in die Netto-Bewertung ein. ISMS und IT Risk Management arbeiten mit derselben Methodik und Datenbasis – ohne doppelte Erfassung.
Nach Quick Check, DRA und BPDD kann TPRM die bewerteten Risikokategorien als Quellrisiken in das zentrale Risikoregister spiegeln – im Entwurfsstatus und mit derselben Vier-Augen-Freigabe und Audit-Spur wie andere Registereinträge. Die fachliche Bewertung bleibt im TPRM führend; das Risikoregister dient der zentralen Steuerungs- und Reporting-Sicht.
Erreicht ein KI-System bei der Klassifizierung eine bewertungsrelevante Risikoklasse, lässt sich eine verknüpfte Risikobewertung anstoßen – mit Bezug zum KI-System, Asset und Prozesskontext. So können Hochrisiko-KI-Systeme in die zentrale Risikosteuerung aufgenommen werden, ohne dass die AI-Governance-Klassifizierung ersetzt oder doppelt gepflegt wird.
Avalon unterstützt die Umsetzung dieser Rahmenwerke. Die Konformität bleibt in der Verantwortung Ihrer Organisation.
Im IT Risk Management befüllt die KI Bedrohungs-, Maßnahmen- und Begründungsfelder innerhalb der gepflegten Risikomethodik vor, unter anderem über eine pgvector-Suche im Bedrohungskatalog. Jede Vorbefüllung landet zunächst im Status „ausstehend“ und muss geprüft, übernommen, geändert oder abgelehnt werden – beim Ablehnen ist eine Begründung Pflicht. Keine KI-Funktion kann jemals selbst eine Bewertung oder Maßnahme final schreiben; das ist technisch ausgeschlossen, nicht nur per Konvention. Arbeitsentwürfe, die von Ihrer gepflegten Methodik abweichen, werden automatisch verworfen und als Methodik-Abweichung protokolliert; häufen sich solche Abweichungen, fordert Avalon einen Methodik-Review an. Der manuelle Pfad bleibt immer voll funktionsfähig und ist pro Mandant standardmäßig der Standard. Das ist „KI als Co-Pilot, nicht als Autopilot“ – verankert in Human-in-the-Loop, technisch erzwungener Letztentscheidung des Menschen und durchgängigem Audit-Trail.
KI kann Bedrohungs-, Maßnahmen- und Bewertungsfelder innerhalb der gepflegten Risikomethodik vorbefüllen. Außerhalb der Methodik wird nichts übernommen.
Im Zentrum stehen ICT- und Informationssicherheitsrisiken nach DORA (Art. 6 ff.) – inklusive asset-gebundener Risiken, regulatorischer ICT-Risiken und aus TPRM-Bewertungen übernommener ICT-Drittparteirisiken. Bewertungslogik und Skalen sind an Ihre Methodik anpassbar. Die gesamtbankweite operationelle Risikosteuerung nach CRR III (Basel-III-Finalisierung) und MaRisk AT 4.3.2 übernimmt bewusst das eigenständige OpRisk-Modul.
Maßnahmen werden Risiken direkt zugeordnet, mit Status, verantwortlicher Person und Termin. Wirksamkeit ist nachvollziehbar dokumentiert und wiederkehrend prüfbar.
Vorgefertigte ICT-Risk-Report-Templates werden aus freigegebenen Risiko-, Maßnahmen- und Schwellenwertdaten befüllt – inklusive DORA-relevanter Kennzahlen, Vergleichsperioden und Schwellwertüberwachung. Der Bericht bleibt prüf- und sign-off-fähig, statt ein unkontrollierter Auto-Export zu sein.
Ja. Skalen für Eintrittswahrscheinlichkeit und Schadensausmaß sind konfigurierbar und können über mehrere Gesellschaften hinweg vereinheitlicht werden.
Wir zeigen Ihnen Avalon entlang Ihrer aktuellen Fragestellung – konkret, in Ihrem Kontext, ohne Standard-Sales-Demo.
On-Premise · KI-Inferenz auf Ihrer Appliance