Risikoakzeptanz heisst: Die zuständige Stelle entscheidet bewusst, ein bekanntes Restrisiko zu tragen, mit Begründung, mit Ablaufdatum und schriftlich festgehalten. Damit das im Unternehmen einheitlich funktioniert, legen Sie vorab fest, welche Risiken überhaupt akzeptiert werden dürfen, wer das auf welcher Stufe entscheiden darf und wann ein Entscheid neu geprüft wird. Dieser Leitfaden zeigt, wie Sie diese Regeln aufstellen, wie Sie das Restrisiko richtig bestimmen und welche Fehler eine Akzeptanz wertlos machen.

Warum Sie Regeln für die Akzeptanz brauchen

Kein Unternehmen kann jede Schwachstelle sofort beheben, und keines muss jedes denkbare Risiko beseitigen. Es muss aber belegen können, warum ein verbleibendes Risiko tragbar ist, wie lange es getragen wird und wer dafür einsteht.

Ohne Regeln entscheidet das Bauchgefühl. Eine Fachabteilung hält eine veraltete Anwendung für unproblematisch, die IT sieht darin ein Einfallstor. Die Geschäftsleitung erhält eine lange Liste offener Punkte, aber keine Aussage dazu, was sofort behandelt werden muss und was befristet getragen werden kann.

Gegenüber Revision, Aufsicht und Kunden macht das einen grossen Unterschied. Eine offene Massnahme, die vergessen ging, ist ein Mangel. Dieselbe offene Massnahme, die bewertet, bewusst genehmigt und mit einem Prüftermin versehen wurde, ist ein dokumentierter Entscheid. Die Nachvollziehbarkeit beginnt beim Entscheid, lange vor jedem Bericht.

Die Begriffe

Begriff	Bedeutung
Bruttorisiko	Das Risiko ohne die betrachteten Massnahmen
Restrisiko	Das Risiko, das nach wirksam umgesetzten Massnahmen bleibt
Risikoakzeptanz	Der Entscheid der zuständigen Stelle, ein bestimmtes Restrisiko zu tragen
Akzeptanzgrenze	Die Schwelle, bis zu der ein Risiko überhaupt akzeptiert werden darf
Toleranz	Der Spielraum innerhalb dieser Grenze, etwa wie lange ein Mangel offen bleiben darf

Akzeptanz und Toleranz werden oft gleich verwendet. Die Trennung hilft: Ein Risiko kann akzeptabel sein, aber nur bis zu einem festen Datum, etwa weil die Ablösung eines Systems bereits geplant ist. Läuft die Frist ab, wird die Akzeptanz neu geprüft. So wird aus einem einmaligen Entscheid ein kontrollierter Vorgang.

Risikoakzeptanz in fünf Schritten festlegen

1. Einheitlich bewerten

Eine Akzeptanzgrenze funktioniert nur, wenn alle Risiken nach derselben Skala bewertet werden. Bedeutet «hoch» in einem Team eine mehrstündige Störung und im anderen einen mehrtägigen Ausfall, lässt sich keine gemeinsame Grenze ziehen. Beschreiben Sie jede Stufe von Eintrittswahrscheinlichkeit und Auswirkung in einem kurzen, konkreten Satz. Bewerten Sie die Auswirkung am Geschäft: Verfügbarkeit von Prozessen, Verlust oder Offenlegung von Daten, finanzielle und rechtliche Folgen, Reputation, Auswirkungen auf Dritte. Wie Sie Skala und Matrix aufbauen, zeigt der Leitfaden Risikobewertung ohne Berater umsetzen.

Die Bewertungslogik ist für alle Organisationen ähnlich, die Schwellen unterscheiden sich. Eine Gemeinde gewichtet den Ausfall eines Fachsystems anders als ein Handelsunternehmen, ein Gesundheitsbetrieb die Vertraulichkeit anders als ein Produktionsbetrieb.

2. Grenzen und Kompetenzen mit der Geschäftsleitung bestimmen

Risikoakzeptanz ist ein Führungsentscheid. IT, Informationssicherheit und Compliance liefern Fakten, schätzen Folgen ab und schlagen Massnahmen vor. Welche Risiken getragen werden, entscheidet die Geschäftsleitung, für wesentliche Risiken selbst und für kleinere über eine Kompetenzordnung, die sie festlegt.

Formulieren Sie konkrete Regeln statt allgemeiner Grundsätze, zum Beispiel:

• Risiken mit hoher Auswirkung auf besonders schützenswerte Personendaten werden nie ohne zusätzliche Massnahmen akzeptiert.
• Risiken der Stufe «mittel» dürfen befristet akzeptiert werden, wenn ein verbindlicher Umsetzungsplan besteht.
• Risiken der Stufe «niedrig» dürfen von der Bereichsleitung akzeptiert werden, mit Begründung im Register.

Eine Kompetenzordnung könnte so aussehen:

Risikostufe nach Massnahmen	Wer darf akzeptieren	Gültigkeit
Niedrig	Bereichsleitung oder Risikoeigner	Bis zum nächsten Jahresreview
Mittel	Geschäftsleitung, auf Antrag des Risikoeigners	Befristet, mit Umsetzungsplan
Hoch	Geschäftsleitung als Gremium, nur mit kompensierenden Massnahmen	Kurz befristet, mit Ablöseplan
Sehr hoch	Grundsätzlich nicht akzeptierbar; Ausnahme nur durch das oberste Gremium	Ausnahme mit Sofortmassnahmen

Die Stufen und Fristen passen Sie an Ihre Organisation an. Wichtig ist, dass die Regeln verständlich bleiben und im Alltag angewendet werden, statt nur im Sicherheitskonzept zu stehen. Nicht jedes Restrisiko braucht den Verwaltungsrat, aber keines darf still im Team akzeptiert werden, wenn seine Folgen die ganze Organisation treffen.

3. Jede Akzeptanz befristen

Akzeptanz ist kein Endzustand. Ein Risiko, das vor zwei Jahren vertretbar war, kann nach einem Systemwechsel, einem neuen Dienstleister oder einer veränderten Bedrohungslage kritisch sein. Geben Sie deshalb jedem Entscheid ein Ablaufdatum und benennen Sie Ereignisse, die eine vorzeitige Neubeurteilung auslösen: ein Vorfall, eine wesentliche Änderung am betroffenen System, ein höherer Schutzbedarf der Daten, eine neue gesetzliche Vorgabe oder eine Verzögerung der geplanten Massnahme.

4. Den Entscheid vollständig dokumentieren

Eine Akzeptanz ohne Dokumentation ist im Streitfall kaum belastbar. Im Register gehören zu jedem akzeptierten Risiko:

• Risikoszenario und betroffene Werte oder Prozesse,
• Bewertung vor und nach den Massnahmen,
• bestehende und kompensierende Schutzmassnahmen,
• die verbleibende Lücke,
• Begründung des Entscheids,
• wer entschieden hat und wann,
• Gültigkeit bis und Auslöser für eine Neubeurteilung.

Die Begründung entscheidet über die Qualität. «Budget fehlt» mag stimmen, ist aber keine Risikobewertung. Aussagekräftiger ist etwa: «Die Massnahme wird beim nächsten Erneuerungszyklus umgesetzt. Bis dahin senken zusätzliche Kontrollen die Wahrscheinlichkeit. Die Geschäftsleitung akzeptiert das verbleibende Risiko bis [Datum].» So bleibt der Entscheid verständlich, auch wenn Mitarbeitende wechseln oder eine externe Prüfung stattfindet. Eine Vorlage mit diesen Feldern finden Sie im Leitfaden Risikoregister Informationssicherheit: Vorlage.

5. Akzeptierte Risiken überwachen

Legen Sie Prüftermine und Erinnerungen fest. Im Management-Review müssen nicht alle Risiken erneut im Detail besprochen werden. Auf die Traktandenliste gehören die Risiken über der Grenze, ablaufende Akzeptanzen, überfällige Massnahmen und Veränderungen mit hoher Auswirkung.

Das Restrisiko richtig bestimmen

Eine Akzeptanz ist nur so gut wie die Bewertung des Restrisikos, auf die sie sich stützt. Drei Fehler kommen dabei immer wieder vor.

Massnahmenstatus und Risikostatus werden vermischt. Eine abgeschlossene Massnahme bedeutet nicht, dass das Risiko gesunken ist. Erst wenn die Wirkung belegt ist, etwa durch Konfiguration, Test oder Protokoll, darf das Restrisiko angepasst werden. Umgekehrt kann eine noch offene Massnahme mit geeigneten Kompensationen bereits zu einem tragbaren Restrisiko führen.

Das Restrisiko wird als Wunschergebnis eingetragen. Das Restrisiko beschreibt die Lage nach wirksam umgesetzten Kontrollen. Ist die Massnahme noch offen, darf die Bewertung nicht so aussehen, als wirke sie schon. Sonst wirken Risiken auf dem Papier erledigt.

Brutto- und Restrisiko werden nicht getrennt geführt. Dann ist nicht erkennbar, ob eine Kontrolle schützt oder nur formal vorhanden ist, und eine Akzeptanz lässt sich nicht begründen.

Ein Beispiel

Nehmen wir ein Unternehmen, das Mehrfaktor-Authentisierung für alle externen Zugriffe einführt. Eine ältere Fachanwendung unterstützt sie nicht und lässt sich erst mit dem nächsten Release-Wechsel ablösen. «Risiko akzeptiert» zu vermerken, genügt hier nicht. Dokumentiert wird: warum die Anwendung vorerst ohne Mehrfaktor-Authentisierung bleibt, welche Übergangsmassnahmen gelten (Zugriff nur aus dem internen Netz oder über VPN, eingeschränkte Berechtigungen, engere Überwachung), wie hoch das Restrisiko damit ist, wer es bis wann akzeptiert und dass die Akzeptanz mit der Ablösung endet. Wie Sie Übergangs- und Ablösemassnahmen planen, beschreibt der Leitfaden Massnahmenplan Informationssicherheit erstellen.

Risiken, die Sie nicht einfach akzeptieren sollten

Eine allgemeingültige Liste gibt es nicht. Bei einigen Kategorien sollte die Hürde aber besonders hoch liegen:

• Verstösse gegen zwingende gesetzliche oder vertragliche Anforderungen,
• ungeschützte besonders schützenswerte Personendaten,
• fehlende Datensicherung oder ungetestete Wiederherstellung für geschäftskritische Systeme,
• Risiken, die Mitarbeitenden, Kundinnen und Kunden oder der Öffentlichkeit erheblich schaden können.

Hier genügt ein Vermerk im Register nicht. Meist braucht es kompensierende Massnahmen, eine formelle Ausnahmegenehmigung auf hoher Stufe oder eine rasche Behebung. Ob ein Risiko tatsächlich nicht akzeptierbar ist, hängt von der konkreten Pflicht und vom Kontext ab, und eine Ampelfarbe ersetzt diese Prüfung nicht. Welche Pflichten für Ihre Organisation gelten können, behandelt der Leitfaden Wann ist ein Risikoregister verpflichtend?.

Typische Fehler

Fehler	Folge
Akzeptanz ohne Ablaufdatum	Überholte Entscheide gelten weiter, obwohl sich die Lage geändert hat
Operative Teams akzeptieren Risiken mit Folgen für das ganze Unternehmen	Dem Entscheid fehlt die Legitimation
Stillschweigende Akzeptanz	Weder steuerbar noch prüfbar; im Audit nicht von einem Versäumnis zu unterscheiden
Begründung zu allgemein («Budget fehlt»)	Entscheid ist später nicht nachvollziehbar
Ähnliche Risiken werden unterschiedlich behandelt	Der ganze Risikoprozess verliert an Glaubwürdigkeit
Restrisiko vor dem Wirksamkeitsnachweis gesenkt	Akzeptanz stützt sich auf ein zu positives Bild
Akzeptierte Risiken verschwinden aus dem Reporting	Ablaufende Entscheide werden übersehen

Klare Kriterien, Rollen und Fristen helfen gegen alle diese Fehler. Sie verringern den Interpretationsspielraum, ohne zusätzliche Bürokratie zu schaffen.

Was die Geschäftsleitung regelmässig sehen sollte

Ein guter Bericht zeigt, welche Restrisiken bewusst und dauerhaft getragen werden, welche nur befristet akzeptiert sind, welche Akzeptanzen demnächst ablaufen, welche Risiken über der Grenze liegen und wo Massnahmen überfällig sind. So kommen Risiken auf den Tisch, bevor ein Audit oder ein Vorfall sie sichtbar macht.

Wenn Ihre Geschäftsleitung das Thema erst einordnen will, eignet sich das Selbstlernmodul «SCMC Cyber-Risiken: Führung gefordert», entstanden mit der HWZ. Es zeigt in rund 50 Minuten und ohne Technik, warum Informationssicherheit Chefsache ist und wie sich der Reifegrad des Unternehmens sichtbar machen lässt.

Restrisiken in SCMC führen

In SCMC bewerten Sie jede Position nach Wahrscheinlichkeit und Auswirkung und tragen daneben das Restrisiko ein. Die Risikoauswertung zeigt Risiko- und Restrisikomatrix nebeneinander, die Zahl der Positionen, die vor und nach den Massnahmen hoch oder sehr hoch sind, und wie viele Positionen noch kein Restrisiko haben. Gerade diese Zahl zeigt, wo noch niemand gesagt hat, was nach der Massnahme bleibt, und wo also auch keine Akzeptanz möglich ist.

Jede Massnahme trägt Frist und Verantwortliche, die Validierung hat eine eigene Frist und einen eigenen Verantwortlichen. Damit lässt sich die Wirksamkeitsprüfung vor dem Senken des Restrisikos fest einplanen. Erinnerungen gehen per E-Mail an die gewählten Empfänger, und «Meine Aufgaben» sammelt, was auf eine Person läuft. Der Verlauf hält fest, wer eine Bewertung wann geändert hat.

Den Akzeptanzentscheid selbst halten Sie nach Ihrer Kompetenzordnung fest, etwa im Beschluss der Geschäftsleitung. Als Grundlage dient die Risikoanalyse als Word-Dokument: Sie beginnt mit Risiko- und Restrisikomatrix und führt alle bewerteten Positionen absteigend nach Risiko mit der zugehörigen Massnahme auf. Für strukturiertes Risikomanagement mit eigenen Bedrohungsszenarien gibt es das Modul Cyber-Risikomanagement, für interne Kontrollen das Modul Internes Kontrollsystem. Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich). Preise finden Sie unter Preise.