ISO 27001 Risikobehandlungsplan: Maßnahmen und Vorlage
Wie Sie aus bewerteten Informationsrisiken konkrete Maßnahmen, Verantwortlichkeiten, Entscheidungen zum Restrisiko und prüfbare Nachweise machen.
Eine Risikobewertung zeigt, wo Ihr ISMS verwundbar ist. Sie sagt aber noch nicht, was als Nächstes passiert. Genau diese Lücke schließt der Risikobehandlungsplan: Er übersetzt Risiken in begründete Entscheidungen, konkrete Maßnahmen, Verantwortliche, Termine und Nachweise.
Das ist mehr als eine Aufgabenliste für die IT. Die Geschäftsführung muss entscheiden, welche Risiken akzeptiert werden können, während Owner die Maßnahmen umsetzen und später belegen müssen, ob sie wirksam sind. Ein guter Plan hält diese Verbindung sichtbar.
Was ein Risikobehandlungsplan leistet
Der Plan macht aus dem Risikoregister einen steuerbaren Arbeitsprozess. Für jedes relevante Risiko sollte nachvollziehbar sein:
- welches Szenario behandelt wird und welche Bewertung zugrunde liegt,
- warum eine Behandlungsoption gewählt wurde,
- welche Maßnahme das Risiko konkret verändern soll,
- wer für Umsetzung und Entscheidung verantwortlich ist,
- woran die Wirksamkeit erkannt wird und wo der Nachweis liegt,
- welches Restrisiko nach der Maßnahme verbleibt.
Die ISO-27001-Risikobewertung liefert die Ausgangsdaten. Der Behandlungsplan führt sie in die Umsetzung.
Die vier Behandlungsoptionen
| Option | Wann sie passt | Beispiel |
|---|---|---|
| Reduzieren | Das Risiko bleibt relevant, kann aber durch Kontrollen auf ein akzeptables Niveau sinken. | Access Reviews und stärkere Authentifizierung einführen. |
| Vermeiden | Die risikobehaftete Aktivität wird beendet oder grundsätzlich anders gestaltet. | Eine unsichere Datenübertragung nicht mehr anbieten. |
| Übertragen | Ein Teil der Folgen wird vertraglich oder versicherungstechnisch auf einen Dritten verlagert. | Cloud-Anbieter mit klaren Sicherheitsanforderungen und Haftungsregelungen einsetzen. |
| Akzeptieren | Das verbleibende Risiko liegt innerhalb der freigegebenen Akzeptanzkriterien. | Ein niedriges, wirtschaftlich nicht sinnvoll weiter reduzierbares Risiko dokumentiert freigeben. |
„Übertragen“ bedeutet dabei nicht, dass die Organisation ihre Verantwortung für das Risiko vollständig abgibt. Vertragsklauseln oder Versicherungen können Folgen begrenzen, ersetzen aber nicht die eigene Bewertung, Lieferantensteuerung oder Überwachung.
Von einem Risiko zur umsetzbaren Maßnahme
Eine Maßnahme sollte nicht nur ein Control wiederholen. Sie beschreibt ein überprüfbares Ergebnis. Vergleichen Sie:
| Zu vage | Steuerbar |
|---|---|
| „Zugriffe verbessern“ | „Bis 30. September werden privilegierte Zugriffe aller produktiven Systeme quartalsweise geprüft; Abweichungen werden innerhalb von fünf Arbeitstagen bearbeitet.“ |
| „Mitarbeitende schulen“ | „Alle Beschäftigten im Scope absolvieren jährlich das Awareness-Modul; Teilnahme und Verständnisprüfung werden im Schulungsregister dokumentiert.“ |
Die zweite Formulierung nennt Ergebnis, Umfang, Zeitpunkt und Nachweis. So kann der Owner arbeiten und ein Auditor später nachvollziehen, ob die Maßnahme umgesetzt und wirksam ist.
Restrisiko und Freigabe
Nach der geplanten Behandlung verschwindet ein Risiko selten vollständig. Der Plan sollte deshalb die erwartete Restbewertung und die Entscheidung dazu enthalten. Akzeptiert werden darf ein Restrisiko nur, wenn:
- die Akzeptanzkriterien vorher definiert wurden,
- die entscheidungsbefugte Person feststeht,
- gesetzliche, regulatorische oder vertragliche Pflichten berücksichtigt sind,
- die Annahmen und verbleibenden Abhängigkeiten dokumentiert sind.
Wichtig ist die zeitliche Reihenfolge: Eine Maßnahme ist nicht automatisch wirksam, nur weil sie als „erledigt“ markiert wurde. Planen Sie eine Wirksamkeitsprüfung ein und halten Sie deren Ergebnis als Nachweis fest.
Verbindung zum Statement of Applicability
Der Risikobehandlungsplan und das Statement of Applicability haben unterschiedliche Aufgaben. Der Plan steuert Risiken und Maßnahmen. Das SoA dokumentiert die Auswahl und Begründung der Controls. Beide müssen jedoch zusammenpassen: Ein Control, das zur Behandlung eines relevanten Risikos ausgewählt wurde, sollte im SoA, in der Maßnahme und in den Nachweisen auffindbar sein.
Zusätzliche Controls außerhalb des Referenzsatzes können sinnvoll sein, wenn sie aus dem eigenen Risikoprozess entstehen. Entscheidend ist nicht die Anzahl der Controls, sondern die nachvollziehbare Begründung.
So verwenden Sie die Excel-Vorlage
Beginnen Sie mit dem Blatt „Risiken & Behandlung“ und übertragen Sie nur Risiken, für die eine Entscheidung oder Maßnahme erforderlich ist. Verknüpfen Sie jede Maßnahme über die Risiko-ID. Im Maßnahmenplan beschreiben Sie das erwartete Ergebnis, nicht nur die Aktivität. Danach ordnen Sie im Blatt „Controls & SoA“ die relevanten Controls zu und verlinken die Nachweise.
Nutzen Sie das Blatt „Freigaben & Reviews“ für Entscheidungen, die nicht allein durch einen technischen Owner getroffen werden dürfen. Aktualisieren Sie den Status erst, wenn ein konkretes Ergebnis vorliegt. Lassen Sie das Feld zur Wirksamkeitsprüfung zunächst offen, wenn die Maßnahme zwar umgesetzt, aber noch nicht ausreichend beobachtet wurde.
Download: ISO 27001 Risikobehandlungsplan
Die Excel-Vorlage enthält Dropdown-Felder für Behandlung, Priorität, Status, Umsetzungsstand und Restrisiko-Entscheidung. Sie ist als Arbeitsregister gedacht und sollte mit einer kontrollierten Versionierung, Zugriffsregelung und Freigabe in Ihr ISMS eingebunden werden.
Excel-Vorlage herunterladenTypische Fehler in der Praxis
- Aus „Risiko reduzieren“ wird keine konkrete Maßnahme mit Owner und Termin.
- Das SoA wird gepflegt, während der tatsächliche Maßnahmenstatus in einem anderen System veraltet.
- Restrisiken werden stillschweigend akzeptiert, statt durch die zuständige Rolle freigegeben zu werden.
- Nachweise zeigen nur, dass eine Richtlinie existiert, nicht dass die Maßnahme im Alltag funktioniert.
- Abhängigkeiten zu Lieferanten, Budgets oder Systemänderungen fehlen im Plan.
Auditperspektive
Vor Stage 1 oder Stage 2 sollte ein externer Auditor die Kette von Risiko zu Behandlung, Control, Owner und Nachweis grundsätzlich nachvollziehen können. Die Checkliste für die ISO-27001-Auditvorbereitung hilft dabei, offene Punkte und Interviewpartner zu strukturieren. Ein sauberer Risikobehandlungsplan macht außerdem sichtbar, welche Punkte bewusst offen sind und welche nur noch auf ihre Wirksamkeitsprüfung warten.
Normative Orientierung
Die Anforderungen an ein ISMS und den Risikobehandlungsprozess sollten immer anhand der für Ihre Organisation geltenden Normausgabe und des vereinbarten Zertifizierungsschemas geprüft werden. Die offizielle Übersicht der ISO/IEC 27001:2022 bei ISO ist dafür ein geeigneter Ausgangspunkt.
Wie Sternberg Consulting unterstützt
Wir unterstützen KMU dabei, Risikobewertung, Risikobehandlung, SoA und Auditnachweise in ein schlankes, gelebtes ISMS zu übersetzen. Die ISO-27001-Beratung reicht von Scope und Gap-Analyse bis zur Umsetzung und Auditvorbereitung.
Häufig gestellte Fragen
Ist ein Risikobehandlungsplan dasselbe wie ein Risikoregister?
Nein. Das Risikoregister beschreibt und bewertet Risiken. Der Risikobehandlungsplan dokumentiert die Entscheidung und steuert die Maßnahmen, mit denen Risiken verändert, vermieden, übertragen oder akzeptiert werden.
Muss jede Maßnahme einem Control aus Anhang A entsprechen?
Nein. Controls sind ein wichtiger Referenzrahmen, aber der eigene Risikoprozess kann zusätzliche Maßnahmen erfordern. Die Auswahl und Begründung sollte nachvollziehbar dokumentiert werden.
Wer darf ein Restrisiko akzeptieren?
Das hängt von Ihren Akzeptanzkriterien und der Governance ab. Die Rolle sollte befugt sein, die betroffene Information oder den Prozess zu verantworten, und die Entscheidung sollte dokumentiert werden.
Weiterführende Artikel
Lesen Sie ergänzend den Ablauf der ISO-27001-Zertifizierung für KMU und die Übersicht zu Kapitel 4 bis 10 und den 93 Controls.