Zusammenfassung

  • Das neue Unternehmensregister von RIPE NCC bündelt Risiken mit hoher Wirkung in einer organisationsweiten Top-down-Sicht.
  • Der Vorstand verwies auf den Budgetbedarf einzelner Maßnahmen; das Entwurfsprotokoll nennt keine Risiken, Verantwortlichen, Beträge, Fristen oder Kennzahlen.

Analyse

Am 14. und 15. September erhielt das RIPE NCC Executive Board die erste öffentliche Beschreibung eines neuen unternehmensweiten Risikoregisters. Eleonora Petridou, zuständig für Informationssicherheit, stellte eine organisationsweite Sicht auf die wichtigsten Risiken vor. Laut Entwurfsprotokoll wurden sie durch eine ganzheitliche Top-down-Analyse formuliert, nicht wie das zuvor vorgestellte Bottom-up-Register. Damit ändert sich der Ausgangspunkt für das Gesamtbild; das Protokoll sagt nicht, dass Teams ihre Risiken nicht mehr erfassen.

Danach ging es um die Behandlung. Petridou erläuterte das Management auf Organisationsebene und operative Maßnahmen; Geschäftsführer Hans Petter Holen beschrieb bestehende Pläne. Vorstandsmitglieder wiesen darauf hin, dass manche Maßnahmen angemessene Budgets benötigen. Holen stimmte zu, dass RIPE NCC Ausgaben und Ergebnisse prüfen müsse. Belegt ist Budgetabhängigkeit, keine Finanzierungslücke: Risiko, Betrag, Verantwortlicher, Frist und Kennzahl bleiben ungenannt. Im selben Bericht wurde regelmäßigerer Austausch mit Regierungen und Aufsichtsbehörden angeregt.

Das endgültige Protokoll von 2025 erwähnt jährliche Prüfungen der Teamregister; die neue Sicht beweist nicht, dass dieser Prozess entfällt.

Bei der folgenden Sitzung am 23. September stimmte der Vorstand der Veröffentlichung des Entwurfs für Activity Plan und Budget 2027 zu. Das Protokoll nennt erwartete Einnahmen von 42,5 Millionen Euro, Kosten von 44,2 Millionen Euro und ein geplantes Gesamtdefizit von 1,1 Millionen Euro. Für die IT-Infrastrukturinvestition beschreibt es einen Entscheidungsrahmen von 5 bis 10 Millionen Euro; eine Variante mit 5 Millionen Euro würde weniger Resilienz bieten. Das Protokoll ordnet diese Zahlen oder Projekte keinem konkreten Unternehmensrisiko zu.

Sie liefern Budgetkontext, aber keinen Nachweis, dass eine bestimmte Maßnahme finanziert oder nicht finanziert wurde.

Quellen