Risikoregister - Risk Register

dokumentierte Übersicht bewerteter Risiken und Behandlungsmaßnahmen

Lesezeit: 5 Min.

Was bedeutet Risikoregister?

Ein Risikoregister ist die dokumentierte Übersicht aller identifizierten Risiken einer Organisation, ihrer Bewertung nach Eintrittswahrscheinlichkeit und Schadenshöhe sowie der beschlossenen Behandlungsmaßnahmen.

Ein Risikoregister (Risk Register) ist das zentrale Steuerungsdokument der Risikobewertung und -behandlung in einem Informationssicherheits-Managementsystem (ISMS). Für jedes identifizierte Risiko hält es fest: die betroffenen Werte (Assets), die zugrunde liegende Bedrohung und Schwachstelle, eine Bewertung nach Eintrittswahrscheinlichkeit und Schadenshöhe (meist mittels Risikomatrix), die gewählte Behandlungsoption sowie einen namentlich Verantwortlichen und eine Umsetzungsfrist. ISO/IEC 27001:2022 verlangt in Kap. 6.1.2 die systematische Risikobewertung und in Kap. 6.1.3 die Risikobehandlung. Das Risikoregister ist der praktische Nachweis, dass beides tatsächlich stattgefunden hat, nicht nur behauptet wird.

Pflichtinhalte nach ISO/IEC 27001:2022

Kap. 6.1.2 verlangt konsistente, vergleichbare und reproduzierbare Bewertungskriterien sowie festgelegte Risikoakzeptanzkriterien: ab welchem Wert ein Risiko ohne weitere Maßnahmen getragen werden darf. Kap. 6.1.3 verlangt für jedes zu behandelnde Risiko eine von vier Optionen: vermindern (Maßnahmen umsetzen), vermeiden (Tätigkeit einstellen), verlagern (z. B. versichern oder auslagern) oder akzeptieren (bewusst tragen, bei kritischen Risiken mit dokumentierter Freigabe). Jede daraus abgeleitete Maßnahme muss sich einem Control aus Anhang A zuordnen oder dessen Nicht-Anwendung begründen lassen. Das verbindet das Risikoregister direkt mit dem Statement of Applicability.

Bewertungsmethodik: die Risikomatrix

Die gängigste Bewertungsmethode ist eine Risikomatrix, die Eintrittswahrscheinlichkeit und Schadenshöhe auf je einer Skala (häufig 4x4 oder 5x5) einstuft und multipliziert. Wichtig ist die Unterscheidung zwischen Bruttorisiko (Bewertung vor Maßnahmen) und Restrisiko (Bewertung nach Umsetzung der Behandlung). Erst der Vergleich beider Werte zeigt, ob eine Maßnahme das Risiko tatsächlich in einen akzeptablen Bereich senkt.

Risikoregister, TARA und SoA im Zusammenspiel

Eine TARA (Threat Analysis and Risk Assessment) ist der Prozess, der das Risikoregister als Ergebnis liefert, die Methodik zur Identifikation und Bewertung. Das Statement of Applicability (SoA) wiederum greift die Behandlungsentscheidungen aus dem Risikoregister auf: Jeder als „vermindern" eingestufte Punkt braucht einen zugehörigen, als anwendbar markierten Control in Anhang A. Ohne aktuelles Risikoregister lässt sich ein SoA daher nicht seriös begründen. Beide Dokumente werden in der Praxis gemeinsam gepflegt.

Welche Felder ein Risikoregister enthalten muss

Die Norm schreibt keine feste Spaltenstruktur vor, aber aus den Anforderungen der Kap. 6.1.2 und 6.1.3 ergibt sich ein Minimum, das in jedem Audit erwartet wird.

Identifikation: eine eindeutige Risiko-ID, eine verständliche Beschreibung des Szenarios sowie das betroffene Asset oder der betroffene Prozess.

Ursache: die zugrunde liegende Bedrohung und die ausgenutzte Schwachstelle, getrennt notiert. „Serverausfall" ist kein Risiko, „Ausfall des Warenwirtschaftsservers durch fehlende Redundanz der Stromversorgung" schon.

Bewertung: Eintrittswahrscheinlichkeit, Schadenshöhe und der daraus errechnete Bruttorisikowert, jeweils auf der vorab definierten Skala.

Behandlung: die gewählte Option aus Kap. 6.1.3, die konkrete Maßnahme und die zugeordneten Annex-A-Controls.

Steuerung: Risikoeigentümer namentlich, Umsetzungsfrist, Status und das bewertete Restrisiko.

Nachweis: Datum der letzten Bewertung und die Freigabe akzeptierter Restrisiken durch die Leitung.

Die vier Behandlungsoptionen mit Beispielen

Vermindern: Der Regelfall. Das Risiko bleibt bestehen, wird aber durch Maßnahmen auf ein akzeptables Niveau gesenkt, etwa Mehr-Faktor-Authentifizierung gegen Kontoübernahme oder ein getestetes Backup gegen Datenverlust.

Vermeiden: Die risikoauslösende Tätigkeit wird eingestellt, zum Beispiel indem ein veralteter Fernwartungszugang ersatzlos abgeschaltet statt abgesichert wird.

Verlagern: Das Risiko wird ganz oder teilweise auf Dritte übertragen, etwa über eine Cyberversicherung oder die Auslagerung eines Dienstes. Wichtig ist, dass die Verantwortung für die Informationssicherheit dabei nicht mit übergeht und der Dienstleister über die Lieferantenbewertung gesteuert wird.

Akzeptieren: Das Risiko wird bewusst getragen, weil die Behandlung unverhältnismäßig wäre. Diese Option ist zulässig, verlangt aber eine dokumentierte, datierte Freigabe durch die verantwortliche Leitung. Ein stillschweigendes Akzeptieren ist der häufigste Auditbefund in diesem Kapitel.

Beispielhafter Registereintrag

So sieht ein prüffähiger Eintrag im Register aus. Risiko-ID: R-014.

Szenario: Ein Angreifer erlangt über eine per Phishing erbeutete Zugangskennung Zugriff auf das cloudbasierte Dokumentenmanagement, weil kein zweiter Faktor erzwungen wird.

Asset: Dokumentenmanagement mit Vertrags- und Personaldaten.

Bedrohung: Kontoübernahme.

Schwachstelle: fehlende Mehr-Faktor-Authentifizierung.

Bruttobewertung: Wahrscheinlichkeit hoch (4), Schadenshöhe hoch (4), Risikowert 16, oberhalb der Akzeptanzschwelle von 9.

Behandlung: vermindern.

Maßnahme: MFA für alle Konten verpflichtend aktivieren, Awareness-Schulung zu Phishing durchführen.

Controls: A.5.15, A.5.17, A.6.3.

Risikoeigentümer: Leitung IT.

Frist: 30.09.2026.

Restrisiko: Wahrscheinlichkeit gering (2), Schadenshöhe hoch (4), Risikowert 8, akzeptiert.

Letzte Bewertung: 02.08.2026. Der Unterschied zu einem nicht prüffähigen Eintrag liegt selten im Umfang, sondern in der Konkretheit: benanntes Asset, benannte Ursache, benannter Verantwortlicher, datierte Bewertung.

Risikoregister nach NIS-2 und für KMU

NIS-2 verlangt in Art. 21 Abs. 2 lit. a ausdrücklich Konzepte für die Risikoanalyse. Ein gepflegtes Risikoregister ist der praktische Nachweis dafür, auch ohne ISO-27001-Zertifizierung. Für kleine und mittlere Unternehmen ist der häufigste Fehler nicht ein zu einfaches, sondern ein zu großes Register: Wer im ersten Durchlauf 200 Risiken erfasst, pflegt keines davon weiter. Sinnvoller ist der Einstieg mit 15 bis 30 Risiken entlang der tatsächlich kritischen Prozesse, dafür mit vollständiger Bewertung und echten Verantwortlichen. Das Register muss zudem ein lebendes Dokument bleiben: Die Norm verlangt Bewertungen in geplanten Abständen und bei wesentlichen Änderungen. Bewährt hat sich ein fester Quartalsrhythmus für die Durchsicht offener Maßnahmen und eine jährliche Vollbewertung im Rahmen des Management-Reviews.

Praxis-Tool

Führe dein eigenes Risikoregister nach ISO 27001 - kostenlos, lokal im Browser

Zum Risikoregister →

Auch bekannt als

Risk Register · Risikoinventar · Risikoliste · Risikokatalog · Risikoverzeichnis

Teil des Themenbereichs: Compliance & Regulierung

Quellen

Zuletzt aktualisiert: 2026-08-02

Häufige Fragen zu Risikoregister

Was ist ein Risikoregister?

Ein Risikoregister ist die dokumentierte Übersicht aller identifizierten Risiken einer Organisation. Es hält je Risiko das Szenario, das betroffene Asset, die Bewertung nach Eintrittswahrscheinlichkeit und Schadenshöhe, die gewählte Behandlungsoption, den Verantwortlichen und das verbleibende Restrisiko fest. Nach ISO/IEC 27001:2022 ist es der zentrale Nachweis, dass Risikobewertung und -behandlung tatsächlich stattgefunden haben.

Ist ein Risikoregister nach ISO 27001 Pflicht?

Die Norm verlangt in Kap. 6.1.2 eine dokumentierte Risikobewertung und in Kap. 6.1.3 einen dokumentierten Risikobehandlungsplan. Das Wort „Risikoregister" nennt sie nicht, aber ein solches Register ist die übliche und im Audit erwartete Form, beide Anforderungen zu erfüllen. Ohne dieses Dokument fehlt der Nachweis für einen wesentlichen Teil des ISMS.

Welche Felder muss ein Risikoregister enthalten?

Als Minimum: Risiko-ID, Szenariobeschreibung, betroffenes Asset, Bedrohung und Schwachstelle, Eintrittswahrscheinlichkeit, Schadenshöhe, Bruttorisikowert, Behandlungsoption, konkrete Maßnahme, zugeordnete Annex-A-Controls, Risikoeigentümer, Frist, Status, Restrisiko und Datum der letzten Bewertung. Eine feste Spaltenstruktur schreibt die Norm nicht vor.

Was ist der Unterschied zwischen Risikoregister und Statement of Applicability?

Das Risikoregister sammelt die Risiken und die daraus abgeleiteten Maßnahmen. Das Statement of Applicability begründet für alle 93 Controls aus Anhang A, ob sie anwendbar sind und wie sie umgesetzt werden. Die Verbindung: Jedes als „vermindern" behandelte Risiko braucht ein zugehöriges, als anwendbar markiertes Control. Beide Dokumente werden deshalb gemeinsam gepflegt.

Was ist der Unterschied zwischen Bruttorisiko und Restrisiko?

Das Bruttorisiko ist die Bewertung vor Umsetzung von Maßnahmen, das Restrisiko die Bewertung danach. Erst der Vergleich beider Werte zeigt, ob eine Maßnahme wirksam war. Restrisiken oberhalb der Akzeptanzschwelle müssen durch die verantwortliche Leitung ausdrücklich und datiert freigegeben werden.

Wie oft muss ein Risikoregister aktualisiert werden?

ISO/IEC 27001 verlangt Risikobewertungen in geplanten Abständen und zusätzlich bei wesentlichen Änderungen, etwa neuen Systemen, neuen Dienstleistern oder nach einem Sicherheitsvorfall. In der Praxis bewährt sich eine quartalsweise Durchsicht der offenen Maßnahmen und eine vollständige Neubewertung einmal jährlich im Rahmen des Management-Reviews.

Wie viele Risiken gehören in ein Risikoregister?

Es gibt keine Vorgabe. Entscheidend ist die Abdeckung der tatsächlich kritischen Prozesse und Werte, nicht die Anzahl. Für kleine und mittlere Unternehmen sind 15 bis 30 sorgfältig bewertete Risiken beim Einstieg deutlich tragfähiger als 200 oberflächliche Einträge, die anschließend niemand pflegt.