Wer das lesen sollte: jede Person in einem Unternehmen mit weniger als dreihundert Beschäftigten, die eine Tabelle namens Risikoregister pflegt und der gesagt wurde, dass diese vor einer Auditorin oder einer zuständigen Behörde bestehen muss.
Fast jedes Unternehmen, das wir bewerten, hat ein Risikoregister. Fast keines hat eines, das seine Aufgabe erfüllt. Die Datei existiert, sie hat Zeilen, jemand hat sie vor dem letzten Audit aktualisiert. Was meist fehlt, ist der Teil, der sie zu einem Entscheidungsnachweis statt zu einer Sorgenliste macht, und genau den liest eine Prüferin zuerst.
Was die Texte tatsächlich verlangen
Zwei Texte zählen hier, und sie sagen weitgehend dasselbe.
ISO 27001 Abschnitt 6.1.2 verlangt einen Prozess zur Informationssicherheits-Risikobeurteilung, der konsistente, valide und vergleichbare Ergebnisse liefert, und Abschnitt 6.1.3 verlangt einen Risikobehandlungsprozess, der in einem dokumentierten Risikobehandlungsplan mit Zustimmung der Risikoeigentümer endet.
Auf der NIS2-Seite regelt die Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 die Einzelheiten für digitale Infrastruktur, Verwaltung von IKT-Diensten und digitale Anbieter, und die ENISA hat am 26. Juni 2025 ihre technische Umsetzungsleitlinie veröffentlicht, die erläutert, welche Nachweise dem genügen. Abschnitt 2.1.1 verlangt einen dokumentierten Risikomanagementrahmen. Abschnitt 2.1.2 verlangt, dass der Prozess die gewählten Behandlungsmaßnahmen in einem Plan dokumentiert und die Gründe für die Akzeptanz von Restrisiken in nachvollziehbarer Weise festhält.
An dieser letzten Formulierung scheitern die meisten Register, und darauf kommen wir zurück.
Die sieben Felder, und die drei, die Sie haben
Die ENISA legt fest, was ein Behandlungseintrag tragen soll. In einfacher Sprache:
- Eine Beschreibung des Risikos und des bedrohten Sicherheitsziels.
- Die gewählte Option: vermeiden, mindern, übertragen oder akzeptieren.
- Die Werte, an denen das Risiko hängt.
- Die mindernden Maßnahmen.
- Wie deren Wirksamkeit beurteilt wird.
- Die Umsetzungsfristen.
- Die verantwortliche Rolle.
Öffnen Sie nun Ihr eigenes Register. In den meisten KMU-Dateien sind Feld eins, zwei und vier vorhanden. Manchmal Feld sechs. Die Felder drei, fünf und sieben fehlen meist, und Feld fünf fehlt fast immer.
Die Folge ist keine Formfrage. Ein Register ohne Werte lässt sich nicht gegen Ihre Erklärung zur Anwendbarkeit abgleichen, also kann die Auditorin nicht prüfen, ob die für anwendbar erklärten Maßnahmen tatsächlich Ihre Risiken behandeln. Ein Register ohne benannte Rolle bedeutet, dass kein Risiko einen Eigentümer hat, was der Genehmigungspflicht aus 6.1.3 widerspricht. Ein Register ohne Wirksamkeitsprüfung hält eine Absicht fest, keine Maßnahme.
Das Bewertungstheater
Das häufigste Register ist eine Tabelle mit etwa vierzig Zeilen, jede mit einer Eintrittswahrscheinlichkeit von eins bis fünf, einer Auswirkung von eins bis fünf, einem Produkt und einer Farbe. Die Farben sind überwiegend orange.
An einer Fünf-mal-fünf-Matrix ist nichts falsch. Falsch ist, dass in neun von zehn Fällen keine Erläuterung der Zahlen beiliegt. Was trennt eine Wahrscheinlichkeit von zwei von einer von drei? Wo liegt die Auswirkungsschwelle, in Euro, in Ausfallstunden, in offengelegten Datensätzen? Ohne das erzeugen zwei Personen für dasselbe Risiko verschiedene Zahlen, und damit liefert der Prozess nicht die verlangten konsistenten und vergleichbaren Ergebnisse.
Die Abhilfe ist eine einzige Seite, einmal geschrieben, die jede Skalenstufe und die Kriterien für die Risikoakzeptanz definiert. Das kostet einen Nachmittag. Es macht aus einer subjektiven Tabelle eine wiederholbare Methode, und es ist das Erste, was eine kompetente Auditorin nach dem Register selbst verlangt.
Restrisiko, in nachvollziehbarer Weise
Hier die Anforderung, die am häufigsten scheitert: Die Gründe für die Akzeptanz von Restrisiken müssen so festgehalten werden, dass eine lesende Person sie verstehen kann.
In der Praxis behandeln Register das Restrisiko auf drei Arten. Manche ignorieren es und hören bei der Behandlung auf. Manche notieren nach der Behandlung eine niedrigere Bewertung, ohne zu erklären, warum sie niedriger ist. Manche schreiben „Risiko durch die Geschäftsleitung akzeptiert“, ohne Namen und ohne Begründung.
Keine davon hält der Prüfung stand. Was standhält, liest sich wie eine Entscheidung: Dieses Risiko verbleibt nach diesen Maßnahmen auf dieser Höhe, wir akzeptieren es, weil die Kosten weiterer Minderung die Exposition übersteigen, diese namentlich genannte Person hat es an diesem Datum akzeptiert, und wir prüfen es zu diesem Zeitpunkt erneut. Vier zusätzliche Sätze je akzeptiertem Risiko, und der schwächste Teil des Registers wird zu dem Teil, der zeigt, dass Governance real ist.
Das ist zugleich die natürliche Verbindung zur Managementbewertung, in der akzeptierte Risiken erneut geprüft und nicht stillschweigend weitergetragen werden sollen.
Das Register, das in Wahrheit eine Maßnahmenliste ist
Ein zweiter, subtilerer Fehlermodus. Das Register beschreibt Maßnahmen statt Risiken. Die Zeilen lauten „keine Mehrfaktor-Authentifizierung“, „Sicherungen nicht getestet“, „kein Inventar der Werte“.
Das sind Lücken, keine Risiken. Eine Lückenliste ist nützlich, und jede ehrliche Bewertung erzeugt eine, aber sie ist ein anderes Artefakt. Ein Risiko ist ein Szenario mit Ursache und Folge: Ein Angreifer verwendet ein bei einem Dritten offengelegtes Zugangsdatum erneut und erreicht das Postfach der Buchhaltung, weil dieser Zugang keinen zweiten Faktor verlangt, und die Folge ist eine Zahlungsumleitung. Der fehlende Faktor ist die Ursache. Das Szenario ist das Risiko.
Das zählt, weil sich die Behandlungsentscheidungen unterscheiden. Sie können „keine MFA“ nicht als Risiko akzeptieren, der Satz ergibt keinen Sinn. Sie können ein Szenario bei angegebener Wahrscheinlichkeit und Auswirkung akzeptieren und begründen. Es zählt auch für die Abdeckung: Zehn Maßnahmen können ein Szenario betreffen, und eine Maßnahme sechs. Die 93 Anhang-A-Maßnahmen, gruppiert für die tatsächliche Arbeit, sind das Vokabular der Behandlung, nicht das des Risikos.
Die Daten verraten alles
Eine Auditorin beurteilt ein Register in etwa neunzig Sekunden, und das Feld, das sie dafür nutzt, ist nicht die Bewertung. Es sind die Daten.
Ein Register, in dem jede Zeile in derselben Woche geändert wurde, drei Wochen vor dem Audit, erzählt für sich die ganze Geschichte. Ebenso eines, in dem das Prüfdatum bei vierzig Zeilen identisch ist. Ebenso eines, in dem seit Anlage der Datei kein Risiko je bewegt, geschlossen oder ergänzt wurde.
Ein benutztes Register ist auf eine bestimmte Weise unordentlich: Risiken zu verschiedenen Zeitpunkten ergänzt, einige mit Begründung geschlossen, verschobene und neu geplante Behandlungstermine, einzelne Zeilen nach einem Vorfall oder einem neuen Lieferanten überarbeitet. Diese Textur lässt sich in der Vorwoche nicht herstellen, und genau deshalb wird ihr geglaubt. Dieselbe Logik trägt Nachweise, die sich selbst zusammensetzen: Der Zeitverlauf ist der Teil, der sich nicht nachträglich erzeugen lässt.
Wie viele Zeilen
Weniger, als Sie denken. Wir sehen regelmäßig Register mit hundertzwanzig Zeilen in Unternehmen mit vierzig Beschäftigten, und es sind immer die, die niemand liest.
Ein Unternehmen dieser Größe hat vielleicht fünfzehn bis fünfundzwanzig reale Szenarien. Kompromittierte Zugangsdaten, Ransomware auf gemeinsam genutztem Speicher, ein Lieferant mit Produktionszugang, Verlust einer Schlüsselperson, ein falsch konfigurierter Cloud-Speicher, ein ungepatchter, aus dem Internet erreichbarer Dienst, Zahlungsbetrug durch Identitätsvortäuschung, Geräteverlust, Datenoffenlegung über eine Testumgebung. Die Liste ist kurz, weil das Geschäft nicht kompliziert ist.
Ein kurzes, vierteljährlich geprüftes Register schlägt jedes lange, jährlich geprüfte. Der Sinn der zehn Maßnahmen aus NIS2 Artikel 21 liegt darin, dass sie zu Ihrer Exposition verhältnismäßig sind, und das Register ist das Instrument, das zeigt, worin diese Exposition wirklich besteht. Die Gesamtkarte steht im NIS2-Leitfaden.
Was in diesem Monat zu tun ist
Schreiben Sie das Register nicht neu. Tun Sie vier Dinge mit dem vorhandenen.
Verfassen Sie die eine Seite mit Skala und Akzeptanzkriterien. Ergänzen Sie in jeder Zeile eine verantwortliche Rolle. Ergänzen Sie zu jeder Behandlung eine Wirksamkeitsprüfung, auch wenn diese lautet: „Die vierteljährliche Zugangsprüfung zeigt keine verwaisten Konten.“ Schreiben Sie zu jedem akzeptierten Risiko vier echte Sätze.
Das ist ein Arbeitstag, und es behebt die drei am häufigsten fehlenden Felder sowie die am häufigsten verfehlte Anforderung.
Die technische Realität: Ein Register hält Entscheidungen fest, es erkennt nichts
Hier der Teil, der leicht verloren geht. Alles Obige macht das Register verteidigungsfähig. Nichts davon macht das Unternehmen sicherer.
Ein Risikoregister ist ein Nachweis über Entscheidungen, die zu einem Zeitpunkt über als wahr angenommene Bedingungen getroffen wurden. Es sagt, dass Sie entschieden haben, aus dem Internet erreichbare Dienste binnen dreißig Tagen zu patchen. Es sagt Ihnen nicht, dass einer davon derzeit neunzig Tage im Rückstand ist, dass der Zugang eines Lieferanten zum Vertragsende nie entzogen wurde, oder dass die Sicherung, die das Register als vierteljährlich getestet ausweist, zuletzt im März erfolgreich wiederhergestellt wurde.
Das ist die Lücke zwischen Register und Sicherheitslage, und dort lässt eine gut geführte Compliance-Übung Sie dennoch exponiert. Sie zu schließen heißt, die vom Register angenommenen Bedingungen laufend zu prüfen statt jährlich zu behaupten: Inventar aus dem, was tatsächlich läuft, Patch- und Expositionsstand gemessen statt erklärt, Lieferantenzugänge gegen Verträge abgeglichen, Wiederherstellungen verifiziert statt geplant. Läuft das, hört das Register auf, ein zu verteidigendes Dokument zu sein, und wird zur Beschreibung eines sichtbaren Zustands. Das ist auch der Punkt, an dem Zertifizierung aufhört, dasselbe wie Sicherheit zu sein.
Wenn Sie das gemessen statt geschätzt haben wollen, liefert ein unabhängiges Sicherheitsaudit die Szenarienliste und den Ist-Zustand zusammen, und die CloudSoul-Plattform hält beides danach aktuell statt erst im Monat vor dem Audit.
