Key Risk Indicators (KRIs): 14 Kennzahlen für 2026

Ihr Risikoregister sagt Ihnen, was schiefgehen könnte. Ihre KRIs sagen Ihnen, ob das Falsche gerade jetzt wahrscheinlicher wird.

Wenn Sie schon einmal einem Prüfer gegenübersaßen und gefragt wurden: "Woran würden Sie erkennen, dass sich Ihr IKT-Risikoumfeld seit der letzten Bewertung wesentlich verändert hat?" - und keine quantitative Antwort parat hatten - dann brauchten Sie KRIs. Dieser Leitfaden ist die Arbeitsfassung dieser Antwort. Er erklärt, was ein Key Risk Indicator ist, wie er sich von einem Key Performance Indicator (KPI) unterscheidet, warum jedes moderne Compliance-Rahmenwerk solche Indikatoren erwartet und welche konkreten KRIs Sie am ersten Tag für ISO 27001, NIS2, DORA, NIST CSF und die KI-Verordnung anlegen sollten.

Ob Sie nach "Was sind KRIs", "KRI-Beispiele für das Risikomanagement", "DORA-KRI-Kennzahlen", "Key Risk Indicators ISO 27001" oder "KRI vs KPI" suchen - das hier ist Ihre zentrale Referenz. Am Ende haben Sie ein Starterpaket aus 14 KRIs, die regulatorischen Fundstellen zu jedem einzelnen und die Schwellenwertlogik für ein vorstandsreifes Ampel-Dashboard.

Was ist ein Key Risk Indicator?

Ein Key Risk Indicator ist eine quantitative Kennzahl, die gewählt wird, um Veränderungen in Eintrittswahrscheinlichkeit, Auswirkung oder Geschwindigkeit eines definierten Risikos vorherzusagen oder zu erkennen. Anders als ein Key Performance Indicator (KPI), der misst, ob Sie ein Ziel erreichen, misst ein KRI, ob ein bereits identifiziertes Risiko akuter oder weniger akut wird.

Ein guter KRI hat sechs Eigenschaften:

1. Quantitativ. Anzahlen, Prozentwerte, Tage, Beträge. "Hoch / mittel / niedrig" gehört ins Register.
2. Vorlaufend oder zeitgleich statt nachlaufend. "Anzahl der Sicherheitsvorfälle im letzten Quartal" ist ein nachlaufender KPI. "Anzahl der Schwachstellen mit hoher Kritikalität, die länger als 30 Tage offen sind" ist ein vorlaufender KRI.
3. An ein konkretes Risiko im Register gebunden. Eine Kennzahl ohne Anker ist bloß eine Schaumzahl.
4. Mit eindeutiger Richtung. Niedriger ist besser (z. B. Anzahl offener kritischer Vorfälle) oder höher ist besser (z. B. MFA-Abdeckung in Prozent). Die Schwellenwertlogik hängt daran.
5. Mit Schwellenwerten versehen. Ein grünes, gelbes oder rotes Band, in das der Wert fällt. Ohne Schwellenwerte haben Sie Daten und noch kein Signal.
6. Mit Eigentümer. Eine namentlich benannte verantwortliche Rolle (CISO, CRO, DSB, Compliance-Leitung).

Warum jedes moderne Compliance-Rahmenwerk KRIs verlangt

Das Wort "KRI" steht nicht immer im Gesetzestext, die Pflicht dahinter schon. Aufsichtsbehörden wollen den Nachweis, dass Sie Risikoniveaus kontinuierlich überwachen und dass es einen Mechanismus zur Eskalation gibt, wenn sie aus der Toleranz laufen. Quantitative Indikatoren mit Schwellenwerten sind die universelle Antwort darauf.

Rahmenwerk	Artikel / Ziffer	Was verlangt wird
DORA (EU 2022/2554)	Art. 6, Art. 16	IKT-Risikomanagementrahmen mit dokumentierter Strategie, Leitlinien, Verfahren und Protokollen, einschließlich fortlaufender Identifizierung, Bewertung und Überwachung aller IKT-Risiken. Artikel 29 ergänzt die Überwachung des IKT-Konzentrationsrisikos auf Unternehmensebene.
NIS2 (EU 2022/2555)	Art. 21 Abs. 2 Buchst. f	"Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit." Der einzig glaubwürdige Weg, Wirksamkeit zu bewerten, ist sie zu messen.
ISO 27001:2022	Ziffern 6.1.3, 9.1	Risikobehandlungsplan mit Überwachung der Wirksamkeit. Ziffer 9.1 verlangt ausdrücklich, dass die Organisation festlegt, was überwacht und gemessen wird, wann und durch wen.
NIST CSF 2.0	GV.RM-02, ID.IM-03	Aussagen zu Risikoappetit und Risikotoleranz enthalten Kriterien und Messgrößen. Kontinuierliche Überwachung speist die Verbesserung.
KI-Verordnung (EU 2024/1689)	Art. 9, Art. 72	Risikomanagementsystem über den Lebenszyklus des KI-Systems. Artikel 72 führt die Beobachtung nach dem Inverkehrbringen für Hochrisiko-KI-Systeme ein, mit Kennzahlen zu Leistung und Vorfällen.

Im Klartext: Jedes Aufsichtsregime der letzten fünf Jahre ist auf dieselbe aufsichtliche Erwartung zugelaufen - zeigen Sie Ihre Kennzahlen, zeigen Sie Ihre Schwellenwerte, zeigen Sie den Trend. KRIs beantworten alle drei Punkte. Eine Einschränkung zu dieser Tabelle, denn sie schmeichelt den Regulatoren ein wenig. Keines dieser Instrumente sagt Ihnen, was Sie messen sollen, und diese Lücke müssen Sie mit eigenem Urteil füllen. Der Vorteil daran: Kein Prüfer kann Ihr KRI-Set als das falsche Set zurückweisen. Zurückweisen kann er es nur, wenn es ohne Anker ist, nicht gemessen wird oder ignoriert wird, wenn es auf Rot springt - und genau so sieht ein schwaches KRI-Programm in der Praxis aus.

Die 14 KRIs, die jeder Risikomanager 2026 verfolgen sollte

Unten finden Sie ein praxistaugliches Starterpaket, gruppiert nach Risikodomäne. Jeder Eintrag nennt die Richtung, ein beispielhaftes Schwellenwertband und die Rahmenwerksziffern, die der KRI belegen hilft. Ein Wort zum Aufwand, bevor Sie die Liste übernehmen. Etwa die Hälfte lässt sich direkt aus Systemen ablesen, die Sie ohnehin betreiben, und ihre Einrichtung ist Konfigurationsarbeit, die Sie in einer Woche abschließen. Die Gruppe zu Drittparteien ist die teure, denn Konzentration der Lieferantenausgaben und Abhängigkeit von einzelnen Anbietern brauchen beide ein sauberes Lieferanteninventar als Unterbau, und dieses Inventar aufzubauen ist das eigentliche Projekt. Wenn Ihre Lieferantendaten unordentlich sind, fangen Sie dort an und lassen Sie diese Indikatoren auf Gelb, bis das erledigt ist.

Regulatorik & Compliance

Operativ

Cyber & IKT

Drittparteien

Menschen & Sensibilisierung

So führen Sie ein KRI-Programm tatsächlich - fünf praktische Schritte

Der schnellste Weg, bei KRIs zu scheitern, ist ein wunderschöner Katalog, für den nie eine Messung erhoben wird. Der schnellste Weg zum Erfolg ist, so viele KRIs wie möglich an Systemdaten zu hängen, die Ihre Plattform bereits hat, und dann für jeden verbleibenden manuellen KRI genau eine verantwortliche Person auf eine einzige Seite zu verpflichten, auf der sie einmal im Monat einen Wert einträgt. Der zweitschnellste Weg zum Scheitern ist, weiter zu erheben, lange nachdem die Zahlen nichts mehr aussagen. Ein Indikator, der seit seiner Anlage jeden Monat grün war, beobachtet entweder ein Risiko, das Sie nicht haben, oder er beobachtet es auf eine Weise, die sich nicht bewegen kann. Nehmen Sie ihn aus dem Betrieb und halten Sie fest, warum. Eine kurze Liste, die jemand liest, schlägt eine lange, an der alle vorbeiscrollen.

1. Verankern Sie jeden KRI an einem Risiko und an einer Regulierung. KRIs ohne Anbindung werden zu Waisen, die niemand aktualisiert. Kennzeichnen Sie die Artikel oder Kontrollen des Rahmenwerks, die die Kennzahl bedient - fragt eine Aufsichtsbehörde, warum Sie sie verfolgen, steht die Antwort auf dem Bildschirm.
2. Setzen Sie Schwellenwerte, bevor Sie messen. Sonst wird der erste Messwert zur neuen "Normalität" und Sie verlieren die Objektivität. Wo es eine belastbare externe Referenz gibt, übernehmen Sie sie als Ausgangswert und kennzeichnen Sie sie als solche. Die HHI-Konzentrationsbänder 1.500 / 2.500 stammen aus den Horizontal Merger Guidelines des US-Justizministeriums und der FTC von 2010 und nicht aus DORA (Art. 29 verlangt eine Konzentrationsrisikobewertung, nennt aber keinen Wert); ein Patch-SLA von 30 Tagen ist eine verbreitete interne Konvention im Stil von PCI DSS. Rechnen Sie damit, dass dieser Schritt der politische ist. Jedes Band, das Sie setzen, ist eine implizite Aussage darüber, was die Organisation zu tolerieren bereit ist, und die Führungskraft, die den zugrunde liegenden Prozess verantwortet, wird eine rote Schwelle als Urteil über ihr Team lesen. Lassen Sie die Bänder gemeinsam mit dem Risikoappetit in einer Sitzung freigeben, bevor irgendjemand einen Live-Wert mit seinem Namen daran sieht.
3. Automatisieren Sie jeden KRI, den Sie automatisieren können. Liegen die Daten in Ihrer Plattform (Risikoregister, Kontrollbibliothek, Lieferanteninventar, Vorfalltabelle, Integrationsbefunde), sollte die Berechnung ein Klick sein. Automatisierung ist der Standard, manuelle Erhebung die Ausnahme.
4. Zeigen Sie den Trend neben dem heutigen Wert. Ein grüner KRI, der sich im letzten Quartal jeden Monat verschlechtert hat, ist wichtiger als ein roter, der gerade eben umgesprungen ist. Eine Sparkline plus eine Regel für Regressionswarnungen (drei aufeinanderfolgende Messungen in die schlechte Richtung) fängt beides ab.
5. Koppeln Sie die Überschreitung an die Eskalation. Wenn ein KRI auf Rot springt, muss automatisch etwas geschehen - mindestens eine Benachrichtigung mit benannter verantwortlicher Person. Für regulierte Unternehmen sollte die Überschreitung zugleich die gesetzliche Uhr starten (DORA Art. 19: Erstmeldung innerhalb von 4 Stunden nach Einstufung des Vorfalls als schwerwiegend; NIS2 Art. 23: Frühwarnung innerhalb von 24 Stunden). KRIs ohne Eskalation sind Dekoration.

Wie Venvera KRIs umsetzt

Venvera liefert ein KRI-Modul als Teil des Standard-Arbeitsbereichs für Risikomanagement. Ein Katalog von 22 KRIs ist vorbelegt und deckt neun unternehmensweite Risikodomänen ab, jeweils verankert an konkreten Artikeln oder Kontrollen aus DORA, NIS2, ISO 27001 und NIST CSF. Vierzehn davon werden automatisch aus Risikoregister, Kontrollbibliothek, Vorfalltabelle und TPRM-Lieferantendaten berechnet, ganz ohne manuelle Erhebung. Die übrigen acht sind manuell: Eine benannte verantwortliche Person trägt den Wert auf einer einzigen Seite ein und ergänzt den Kontext.

Was Venvera über eine statische KRI-Liste hinaus ergänzt:

• Überschreitung gekoppelt an die regulatorische Uhr. Aktivieren Sie für jeden KRI "bei Überschreitung automatisch regulatorischen Vorfall anlegen"; springt er auf Rot, eröffnet Venvera einen Vorfall mit der richtigen gesetzlichen Uhr (DORA Art. 19: 4 h Erstmeldung, 72 h Zwischenbericht, 1 Monat Abschluss; oder NIS2 Art. 23: 24 h, 72 h, 1 Monat), benachrichtigt die richtigen Personen, und der Vorfall-Uhr-Worker prüft die Fälligkeiten alle fünf Minuten neu.
• Regressionswarnungen auf Basis von Momentaufnahmen. Das Dashboard hebt KRIs hervor, deren Verlauf sich über die letzten drei Momentaufnahmen verschlechtert - selbst wenn der aktuelle Status noch grün ist. Genau dieses Frühwarnsignal erwarten Aufsichtsbehörden von Ihrer Überwachung.
• Zusammengesetzte Domänen-Gesundheitswerte. Jede der zehn unternehmensweiten Risikodomänen erhält einen Gesundheitswert von 0 bis 100, gewichtet nach regulatorischer Verankerung (KRIs mit mehr Artikelbezügen wiegen schwerer). Fließt direkt in Vorstandsunterlagen ein.
• Weitergabe von Kontrollausfällen. Verknüpfen Sie jeden KRI mit den Kontrollen, deren Wirksamkeit ihn wesentlich beeinflusst. Fällt eine Kontrolle aus, wird der KRI als gefährdet markiert, noch bevor die nächste Messung erfasst ist.
• PDF-Export für Vorstandsunterlagen. Ein Klick erzeugt ein vorstandsreifes PDF mit Gesamtgesundheit, Domänen-Kompositwerten, Regressionswarnungen, offenen Überschreitungen samt Uhrstatus und regulatorischen Reifegraden je Rahmenwerk - verankert an Fundstellen auf Artikelebene.

Häufige Fragen zu Key Risk Indicators

Was ist der Unterschied zwischen einem KRI und einem KPI?

Ein KPI misst, ob Sie ein Leistungsziel erreichen. Ein KRI misst, ob ein von Ihnen identifiziertes Risiko zu- oder abnimmt. Dieselbe Rohzahl kann beides sein - entscheidend ist die Rahmung. "Zeit bis zum Deployment" ist ein KPI; "Zeit bis zum Patchen einer kritischen Schwachstelle nach Bekanntgabe" ist ein KRI. Schwellenwertlogik und Verantwortungskette unterscheiden sich entsprechend.

Wie viele KRIs sollte eine Organisation verfolgen?

Für mittelständische Finanzdienstleister, B2B-SaaS- und Gesundheitsunternehmen unter ISO 27001, NIS2, DORA und angrenzenden Regimen sind 15 bis 30 aktive KRIs eine gesunde Spanne. Unter 15 übersehen Sie mit ziemlicher Sicherheit kritische Signale; über 40 übersteigt der Aufwand der monatlichen Erhebung den zusätzlichen Erkenntnisgewinn. Der Startkatalog von Venvera liegt bei 22, womit die meisten regulierten Mittelständler mit wenig Anpassung arbeiten können.

Brauchen kleine Organisationen KRIs, um NIS2- oder DORA-konform zu sein?

NIS2 Art. 21 Abs. 2 Buchst. f verlangt "Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit". Ohne quantitative Indikatoren wird diese Bewertung subjektiv und lässt sich in einer Prüfung der zuständigen Behörde nicht verteidigen. DORA ist expliziter: Art. 6 verlangt einen dokumentierten Rahmen mit fortlaufender Überwachung aller IKT-Risiken. Kleine Unternehmen kommen mit weniger KRIs aus, doch die Pflicht, welche zu haben, hängt nicht von der Größe ab.

In welchem Verhältnis stehen KRIs und Risikoappetit?

Der Risikoappetit ist die qualitative Aussage darüber, welches Risikoniveau eine Organisation zu akzeptieren bereit ist. KRIs sind die quantitativen Instrumente, die dem Vorstand sagen, ob die Organisation innerhalb dieses Appetits arbeitet. Ein KRI-Schwellenwert (die Grenze zwischen Grün und Gelb) ist die Operationalisierung des Appetits. Springt ein KRI auf Rot, arbeitet die Organisation außerhalb ihres erklärten Appetits, und eine Eskalation ist erforderlich.

Sollten KRIs an den Vorstand berichtet werden?

Ja - und die meisten modernen Vorstandsunterlagen enthalten ein einseitiges KRI-Dashboard mit Ampelstatus, einer Sparkline für den Trend und einer Markierung für jede Überschreitung in der Periode. Insbesondere DORA Art. 5 nimmt das Leitungsorgan persönlich für den IKT-Risikomanagementrahmen einschließlich der Überwachung in die Pflicht. Ein KRI-Dashboard ist der zentrale Nachweis, dass der Vorstand diese Aufsicht ausübt.

Wo finde ich KRI-Vorlagen, die ich anpassen kann?

Venvera liefert einen Referenzkatalog mit 22 KRIs - für ISO 27001, NIS2, DORA, NIST CSF und die KI-Verordnung - den Sie in jedem Mandanten mit einem Klick anlegen können. Dokumentation hier. Wenn Sie lieber selbst bauen, gibt Ihnen das Starterpaket mit 14 KRIs aus diesem Artikel eine belastbare Grundlage, die Sie an Ihren eigenen Risikoappetit anpassen können.

Primärquellen

Jede regulatorische Fundstelle in diesem Leitfaden lässt sich auf eine Primärquelle zurückführen. Die Artikelnummern verweisen auf die Pflicht; die KRI-Schwellenwerte sind unsere eigenen beispielhaften Ausgangswerte und keine Vorgaben.

• DORA - Verordnung (EU) 2022/2554: Art. 5 (Governance), 6/16 (IKT-Risikomanagementrahmen), 9 (Schutz und Prävention), 13 (Lernen und Weiterbildung), 17 (Vorfallmanagement), 19 (Meldung schwerwiegender Vorfälle), 28/29 (IKT-Drittparteien und Konzentrationsrisiko auf Unternehmensebene). EUR-Lex.
• DORA-Meldefristen - Delegierte Verordnung (EU) 2025/301 der Kommission legt die Meldefristen fest: Erstmeldung innerhalb von 4 Stunden nach Einstufung eines Vorfalls als schwerwiegend (spätestens 24 Stunden nach Kenntnisnahme), Zwischenbericht innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. EUR-Lex.
• NIS2 - Richtlinie (EU) 2022/2555: Art. 21 Abs. 2 (Risikomanagementmaßnahmen, einschließlich Buchst. f zur Bewertung der Wirksamkeit), Art. 23 (Frühwarnung 24 h, Meldung 72 h, Abschlussbericht 1 Monat). EUR-Lex.
• ISO/IEC 27001:2022 - Ziffern 6.1.3 und 9.1 sowie die zitierten Anhang-A-Kontrollen. Der Normtext ist bei iso.org erhältlich.
• NIST CSF 2.0 - GV.RM-02 (Risikoappetit und Risikotoleranz) und ID.IM-03 (kontinuierliche Überwachung speist die Verbesserung). nist.gov.
• DSGVO - Verordnung (EU) 2016/679, Art. 33: Meldung einer Verletzung "binnen 72 Stunden". EUR-Lex.
• KI-Verordnung - Verordnung (EU) 2024/1689, Art. 9 (Risikomanagementsystem) und Art. 72 (Beobachtung nach dem Inverkehrbringen bei Hochrisiko-KI-Systemen). EUR-Lex.
• HHI-Konzentrationsbänder (1.500 / 2.500) - US Department of Justice und Federal Trade Commission, Horizontal Merger Guidelines (2010). Hier nur als beispielhafter Ausgangswert verwendet.

Bereit für den Schritt von der Tabelle zum Programm?

Legen Sie einen Venvera-Mandanten an, erzeugen Sie den Katalog mit 20 KRIs und starten Sie die automatische Berechnung. In unter fünf Minuten haben Sie ein vorstandsreifes Dashboard, an dem die regulatorischen Fundstellen bereits hängen. Kostenlos testen →