Leitfäden

ISO 27001 Risikobehandlungsplan: Inhalt und Umsetzung

Vom NexoDocs-Team · wie wir Inhalte erstellen und prüfen

Der Risikobehandlungsplan nach ISO 27001 hält fest, was mit jedem Risiko geschieht, das nicht so akzeptiert wird, wie es ist: die gewählte Option (mindern, übertragen, vermeiden oder akzeptieren), die Maßnahmen, die verantwortliche Person, das Zieldatum, den Fortschritt und das erwartete Restrisiko. ISO/IEC 27001:2022 verlangt ihn in Abschnitt 6.1.3, ebenso die Freigabe des Plans und die Akzeptanz des Restrisikos durch die Risikoeigentümer; Abschnitt 8.3 verlangt seine Umsetzung mit aufbewahrten Nachweisen der Ergebnisse.

Was ISO/IEC 27001:2022 zur Risikobehandlung verlangt

Die Behandlung beginnt dort, wo die Risikobeurteilung (Abschnitt 6.1.2) endet. Kurz zusammengefasst verlangt Abschnitt 6.1.3 von der Organisation:

• für jedes Risiko auf Basis der Beurteilung eine passende Behandlungsoption zu wählen;
• die Maßnahmen festzulegen, die diese Option umsetzen, aus beliebigen Quellen;
• diese Maßnahmen mit Anhang A abzugleichen, damit keine notwendige Maßnahme fehlt;
• die Erklärung zur Anwendbarkeit mit einbezogenen und ausgeschlossenen Maßnahmen samt Begründung zu erstellen;
• den Risikobehandlungsplan zu formulieren;
• die Freigabe des Plans und die Akzeptanz des Restrisikos durch die Risikoeigentümer einzuholen.

Abschnitt 8.3 verlangt, den Plan umzusetzen und dokumentierte Information über die Ergebnisse aufzubewahren. Ein Auditor prüft also nicht nur, ob der Plan existiert, sondern ob die Maßnahmen vorankommen, ob es Nachweise gibt und ob jemand mit Befugnis das verbleibende Risiko freigegeben hat. Wer mit dem IT-Grundschutz des BSI arbeitet, kann dessen Risikoanalyse als Methode nutzen; der Plan muss trotzdem die Anforderungen aus 6.1.3 erfüllen.

Spalten eines Risikobehandlungsplans in Excel

Die Norm schreibt kein Format vor. Dies sind die Spalten des Behandlungsplans im NexoDocs-Kit (ISMS-RSK-03 Risikobehandlungsplan), so angelegt, dass sich jede Zeile vom Risikoregister bis zur Erklärung zur Anwendbarkeit verfolgen lässt:

Die Vorlage, sofort einsetzbar

ISMS-Dokumentationskit ISO 27001

84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.

Zum ISO-27001-Dokumentationskit (Einmalzahlung)

Die vier Optionen der Risikobehandlung

Ein übertragenes Risiko nimmt der Organisation die Verantwortung nicht ab: Sie haftet weiter gegenüber Kunden und Behörden und muss den Dritten steuern. Akzeptieren heißt auch nicht „nichts tun“: Es ist eine dokumentierte Entscheidung des Risikoeigentümers, die bei der nächsten Beurteilung erneut geprüft wird.

Wie das Restrisiko bewertet wird

Das Restrisiko ist das, was nach der Behandlung übrig bleibt. Bewerten Sie es mit derselben Skala wie die Beurteilung (im Kit Auswirkung mal Wahrscheinlichkeit, jeweils von 1 bis 4) und vergleichen Sie es mit denselben Akzeptanzkriterien. Im Kit gilt standardmäßig: Mittel ab 6, Hoch ab 9 und Kritisch ab 16; ein hohes Risiko ist innerhalb von höchstens 3 Monaten zu behandeln. Liegt das Restniveau weiterhin über den Kriterien, ergänzen Sie Maßnahmen oder lassen es vom Eigentümer ausdrücklich und begründet akzeptieren.

Beispiel aus dem ausgefüllten Kit (NubeSur): Der Diebstahl von Entwickler-Zugangsdaten beginnt mit Niveau 12 (Hoch). Mit verpflichtender MFA für Repository, Cloud und E-Mail wird die Restauswirkung mit 4 und die Restwahrscheinlichkeit mit 1 bewertet, das Restniveau ist 4 (Niedrig), und die Entwicklungsleitung gibt es mit Datum frei.

Zusammenhang mit der Erklärung zur Anwendbarkeit

Beides sind zwei Seiten derselben Arbeit. Der Plan sagt, was mit jedem Risiko geschieht; die Erklärung zur Anwendbarkeit sagt, welche Maßnahmen aus Anhang A einbezogen oder ausgeschlossen sind, warum und ob sie umgesetzt sind. Jede Maßnahme aus dem Plan sollte in der Erklärung als einbezogen erscheinen, und jede einbezogene Maßnahme sollte durch ein Risiko, eine gesetzliche oder vertragliche Anforderung oder eine Entscheidung der Organisation begründet sein.

Häufige Feststellungen im Audit

• Vage Maßnahmen wie „Sicherheit verbessern“ ohne konkrete Maßnahme und ohne Datum.
• Allgemeine Verantwortliche („die IT“) statt einer Rolle oder Person.
• Restrisiko nicht bewertet oder nicht vom Risikoeigentümer freigegeben.
• Überschrittene Termine ohne neues Datum oder Erklärung.
• Maßnahmen im Plan, die in der Erklärung zur Anwendbarkeit fehlen, oder umgekehrt.
• Ein Plan, der nach einer neuen Risikobeurteilung nicht aktualisiert wird.

Vorlage: der Risikobehandlungsplan im ISO-27001-Kit

Der Behandlungsplan im ISO-27001-Kit von NexoDocs auf Deutsch ist eine Excel-Arbeitsmappe ohne Makros mit den Spalten dieses Leitfadens, Auswahllisten für Option und Status, automatischem Restniveau und Restkategorie nach den freigegebenen Kriterien (Blatt „Kriterien“) und einem vollständig ausgefüllten Beispiel eines fiktiven Unternehmens. Er ist mit der Methode der Risikobeurteilung, dem Risikoregister und der Erklärung zur Anwendbarkeit des Kits verbunden.

Nächster Schritt

Kostenlos testen oder direkt zur vollständigen Lösung.

ISMS-Dokumentationskit ISO 27001

84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.

Zum ISO-27001-Dokumentationskit (Einmalzahlung)

Kostenloses Muster

Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.

Kostenlose Probe herunterladen (Englisch)

Häufige Fragen

Verwandte Leitfäden

Aktualisiert: 2026-10-29