EBIOS Risk Manager ist die offizielle Methode der ANSSI (der französischen Cybersicherheitsbehörde) für das Management von Cybersicherheitsrisiken. Ihre aktuelle Version, EBIOS RM, ist die unverzichtbare Referenz in weiten Teilen des regulierten Sektors in Frankreich und zunehmend eine hoch geschätzte Zertifizierung in europäischen Organisationen, die mit der französischen Verwaltung zusammenarbeiten oder Rahmenwerke übernehmen, die mit NIS 2 und DORA kompatibel sind. In diesem Artikel erläutere ich, was EBIOS RM ist, wie seine fünf Workshops funktionieren, worin es sich von ISO/IEC 27005 unterscheidet und warum die Zertifizierung PECB EBIOS Risk Manager ein strategischer Vorteil für den französischsprachigen Markt ist.

Was EBIOS ist und was die ANSSI tut

EBIOS ist das französische Akronym für "Expression des Besoins et Identification des Objectifs de Sécurité" (Ermittlung der Anforderungen und Festlegung der Sicherheitsziele), eine Methode, die die ANSSI (die nationale französische Cybersicherheitsagentur) in den 1990er Jahren entwickelt und 2018 mit der Version EBIOS Risk Manager (EBIOS RM) grundlegend überarbeitet hat. Die ANSSI ist die nationale Cybersicherheitsbehörde Frankreichs und in weiten Teilen Europas die faktische regulatorische Referenz in kritischen Sektoren.

EBIOS RM ist die Methode, die Behörden, Betreiber wesentlicher Dienste und viele regulierte Sektoren in Frankreich verwenden. Sie wird außerdem von der ENISA anerkannt und ist mit ISO/IEC 27005 kompatibel, was sie in europäischen Organisationen besonders nützlich macht.

Ein wichtiger konzeptioneller Unterschied: EBIOS RM ist nicht einfach eine weitere Methode zur Risikobewertung; es ist eine auf Angriffsszenarien ausgerichtete Methode. Statt von Werten und Schwachstellen auszugehen, geht sie von realistischen Risikoquellen aus und baut vollständige Szenarien bis hin zur Auswirkung auf. Das macht sie gegen fortgeschrittene Bedrohungen besonders wirksam.

Die EBIOS-Philosophie: vom Wert zum Szenario

Die meisten klassischen Methoden des Risikomanagements gehen vom Wert aus (was ich besitze) und arbeiten sich bis zur Schwachstelle und zur Bedrohung vor. EBIOS RM kehrt die Logik um: Es geht von der Risikoquelle aus (wer mich angreifen könnte und warum) und baut vollständige Angriffsszenarien auf, von außen nach innen.

Diese Logik passt sehr gut zur modernen Bedrohungslage. Wenn wir über Ransomware, Industriespionage oder Sabotage sprechen, zählt nicht nur die technische Schwachstelle, sondern das Motiv des Angreifers, seine Fähigkeiten und der Weg, den er zu seinem Ziel nimmt. EBIOS RM modelliert all das.

Die fünf Workshops, einer nach dem anderen

EBIOS RM ist in fünf Workshops gegliedert. Sie bilden das Rückgrat der Methode und zugleich die Struktur des Kurses:

Workshop 1: Anwendungsbereich und Sicherheitsbasis. Sie legen den Umfang der Untersuchung fest, identifizieren die Geschäftswerte (was Sie schützen) und die befürchteten Ereignisse (was nicht passieren darf). Sie legen die Sicherheitsbasis als Ausgangspunkt fest.

Workshop 2: Risikoquellen und Zielobjekte. Sie identifizieren die Risikoquellen (potenzielle Angreifer: Cyberkriminelle, Staaten, Hacktivisten, Innentäter) und genau das, worauf sie es abgesehen haben. Das ist der charakteristischste Teil der Methode.

Workshop 3: Strategische Szenarien. Sie bauen Szenarien auf hoher Ebene, die beschreiben, wie eine Risikoquelle ihr Ziel erreichen könnte, welche Wege sie nehmen könnte und welche Auswirkung daraus folgen würde.

Workshop 4: Operative Szenarien. Sie gehen in die technischen Details jedes strategischen Szenarios und modellieren die Abfolge elementarer Ereignisse, aus denen der Angriff besteht.

Workshop 5: Risikobehandlung. Sie priorisieren die Szenarien nach ihrem Risikoniveau, wählen die Behandlung (Akzeptanz, Minderung, Übertragung, Vermeidung) und erstellen einen Aktionsplan.

Möchten Sie sich als EBIOS Risk Manager zertifizieren lassen?
Offizielle PECB-Schulung mit einem praktizierenden Berater, in Ihrem Tempo oder mit Einzelbegleitung.

Zum Kurs →Mit Ricardo sprechen

EBIOS RM vs. ISO/IEC 27005: welche Methode, und wann

Beide Methoden sind gültig, haben aber unterschiedliche Profile.

ISO/IEC 27005 ist allgemeiner und kompatibler. Sie fügt sich nahtlos in jedes ISMS nach ISO 27001 ein und ist die internationale Referenz. Ideal, wenn Sie an einem Zertifizierungsprojekt nach ISO 27001, NIS 2 oder DORA arbeiten und eine weltweit anerkannte Methode brauchen.

EBIOS RM ist spezifischer und auf fortgeschrittene Bedrohungen ausgerichtet. Ideal, wenn Sie mit Organisationen des öffentlichen Sektors, der Verteidigung, der Energie oder der Finanzen in Frankreich arbeiten, oder mit jeder europäischen Organisation, die mit der französischen Verwaltung zu tun hat oder gezielten Bedrohungen ausgesetzt ist.

In der Praxis beherrschen viele Fachleute am Ende beide. ISO/IEC 27005 gibt Ihnen den allgemeinen Rahmen; EBIOS RM gibt Ihnen die Tiefe der Szenarien. Sie ergänzen einander.

Warum EBIOS in Frankreich und mit NIS 2 zentral ist

Wenn Sie mit französischen Organisationen arbeiten, kommen Sie an EBIOS RM praktisch nicht vorbei. Die ANSSI verlangt die Methode bei den Bewertungen der Betreiber wesentlicher Dienste (OES) und der Anbieter digitaler Dienste, und die meisten französischen öffentlichen Ausschreibungen nennen sie als bevorzugte Methode.

Mit NIS 2 in voller Umsetzung hat die ANSSI bestätigt, dass EBIOS RM in Frankreich die empfohlene Methode bleibt, um Artikel 21 der Richtlinie zu erfüllen. Und dank des Einflusses der ANSSI auf europäischer Ebene wird die Methode auch von Organisationen in anderen Ländern übernommen, die der europäischen Regulierung unterliegen.

Was der PECB-Kurs EBIOS Risk Manager abdeckt

Der Kurs PECB Certified EBIOS Risk Manager ist eine intensive dreitägige Schulung, die die fünf Workshops mit realen Praxisfällen abdeckt. Das Programm:

  • Tag 1: Grundlagen der Methode, Workshop 1 (Abgrenzung) und Workshop 2 (Risikoquellen).
  • Tag 2: Workshops 3 und 4 (strategische und operative Szenarien).
  • Tag 3: Workshop 5 (Behandlung), Wiederholung und die offizielle PECB-Prüfung.

Der Kurs ist als offizielles PECB-Selbststudium verfügbar, sodass Sie in Ihrem Tempo vorankommen. Und da es sich um die offizielle französische Methode handelt, sind die Unterlagen auch auf Französisch verfügbar, ein Vorteil für zweisprachige Fachleute oder für alle, die mit französischsprachigen Kunden arbeiten.

EBIOS RM konkurriert nicht mit ISO 27005, es ergänzt sie. Wer beide beherrscht, hat auf dem europäischen Markt ein einzigartiges Profil: die internationale Strenge der 27005 und die Tiefe der ANSSI-Methode bei fortgeschrittenen Bedrohungen.

Schulung und Zertifizierung

Wenn Sie den Schritt zur offiziellen PECB-Zertifizierung gehen möchten, ist der Kurs EBIOS Risk Manager der direkte Weg: offizielles PECB-Selbststudium, damit Sie in Ihrem Tempo vorankommen und sich auf die Zertifizierungsprüfung vorbereiten.