Ein Risikoregister für die Informationssicherheit braucht wenige, gut definierte Felder: ein klar formuliertes Risikoszenario, eine Bewertung vor und nach den Massnahmen, eine verantwortliche Person, eine Behandlung mit Frist und einen dokumentierten Entscheid über das Restrisiko. Dieser Leitfaden gibt Ihnen eine Vorlage mit allen Feldern als Tabelle, erklärt, wie Sie Einträge formulieren und bewerten, wie Sie das Register pflegen und welche Fehler es in der Praxis unbrauchbar machen.

Wozu das Register dient

Viele Organisationen haben ihre Risiken an mehreren Orten: im Auditbericht, in einer Excel-Liste der IT, in Sitzungsprotokollen und in E-Mails. Beim nächsten Review weiss niemand sicher, welcher Stand gilt, wer zuständig ist und ob eine beschlossene Massnahme überhaupt etwas bewirkt hat.

Ein Risikoregister löst dieses Problem, wenn es drei Dinge zusammenführt: den festgestellten Zustand (was fehlt oder schwach ist), die Bewertung (wie gefährlich das ist) und die Entscheidung (was die Organisation dagegen tut oder bewusst trägt). Es muss für die Geschäftsleitung verständlich sein und für das operative Team präzise genug, um daraus Arbeit abzuleiten. Ist es zu abstrakt, folgt nichts daraus. Ist es zu detailliert, pflegt es niemand.

Ob Ihre Organisation ein solches Register führen muss, behandelt der Leitfaden Wann ist ein Risikoregister verpflichtend?. Hier geht es um den Aufbau.

Die Vorlage: alle Felder auf einen Blick

Die folgende Tabelle zeigt die Felder eines Eintrags. Die Beispielspalte folgt durchgehend einem einzigen, frei erfundenen Risiko, damit Sie sehen, wie die Felder zusammenspielen.

Feld	Was hineingehört	Beispiel
Risiko-ID	Eindeutige, unveränderliche Nummer	R-014
Titel	Kurzer, sprechender Name	Kontoübernahme beim Fernzugriff
Risikoszenario	Ursache, Ereignis und Folge in einem Satz	Weil der Fernzugriff nur mit Passwort geschützt ist, können Angreifer mit gestohlenen Zugangsdaten auf Personaldaten und interne Systeme zugreifen.
Bereich, Prozess oder Asset	Was betroffen ist	Fernzugriff, HR-System, E-Mail
Herkunft	Woraus das Risiko abgeleitet ist	Assessment, Frage zur Zugriffskontrolle; Lieferantenprüfung; Vorfall; interne Kontrolle
Bestehende Kontrollen	Was heute schon wirkt	Passwortrichtlinie, Sperre nach Fehlversuchen
Lücke	Was fehlt oder zu schwach ist	Keine Mehrfaktor-Authentisierung für externe Zugriffe
Eintrittswahrscheinlichkeit (brutto)	Stufe nach Ihrer Skala	3 von 4
Auswirkung (brutto)	Stufe nach Ihrer Skala, mit Begründung	4 von 4: besonders schützenswerte Personendaten, möglicher Betriebsunterbruch
Risikowert und Stufe	Wahrscheinlichkeit mal Auswirkung, daraus die Stufe	12, sehr hoch
Risikoeigner	Person, die für das Risiko geradesteht	Leiterin Personal
Behandlung	Reduzieren, vermeiden, übertragen oder akzeptieren	Reduzieren
Massnahme	Konkreter Auftrag mit prüfbarem Ergebnis	Mehrfaktor-Authentisierung für alle externen und administrativen Zugänge aktivieren, Ausnahmen genehmigen lassen, Testprotokoll ablegen
Umsetzung verantwortlich	Wer die Massnahme ausführt	Leiter IT
Frist und Status	Termin, Stand der Umsetzung	Ende Quartal, in Arbeit
Wirksamkeitsnachweis	Woran Sie sehen, dass die Massnahme greift	Konfigurationsauszug, Liste abgedeckter Systeme, Stichprobe bei Anmeldungen
Restrisiko	Bewertung nach umgesetzter Massnahme	2 mal 3 = 6, mittel
Entscheid zum Restrisiko	Wer akzeptiert, wann, bis wann, mit welcher Begründung	Geschäftsleitung, Beschluss vom [Datum], gültig bis zur nächsten Jahresbewertung
Letzte und nächste Überprüfung	Datum	[Datum], [Datum]

Nicht jede Organisation braucht jedes Feld in derselben Tiefe. Ein kleines Unternehmen mit wenigen kritischen Systemen kommt mit einer schlankeren Fassung aus. Unverzichtbar sind aber Szenario, Bewertung vor und nach Massnahmen, Risikoeigner, Behandlung mit Frist und der Entscheid zum Restrisiko. Fehlt eines davon, kann das Register keine Entscheidung mehr stützen.

Ein guter Prüfstein für die Vorlage: Bleiben Felder regelmässig leer, ist sie zu umfangreich. Fallen relevante Entscheidungen ausserhalb des Registers, etwa in E-Mails oder Sitzungen, ist sie zu schlank.

Einträge richtig formulieren

Szenario statt Stichwort

«Cyberangriff», «Datenschutz» oder «MFA fehlt» sind keine Risiken. Die ersten beiden sind Sammelbegriffe, das dritte ist ein Befund. Ein brauchbarer Eintrag verbindet Ursache, Ereignis und Folge: «Mitarbeitende erkennen Phishing-E-Mails nicht zuverlässig, wodurch Zugangsdaten abfliessen und Angreifer auf E-Mail und Ablage zugreifen können.» Erst diese Form erlaubt es, Wahrscheinlichkeit und Auswirkung sinnvoll zu bewerten und eine passende Massnahme zuzuordnen.

Befund, Risiko und Massnahme trennen

Ein häufiger Grund für unübersichtliche Register ist, dass ein Eintrag gleichzeitig eine Schwachstelle beschreibt, eine Empfehlung enthält und eine Bewertung trägt. Halten Sie die drei Ebenen auseinander:

• Der Befund beschreibt, was festgestellt wurde (Feld «Lücke», mit Verweis auf die Herkunft).
• Das Risiko beschreibt, welcher Schaden daraus entstehen kann (Feld «Risikoszenario»).
• Die Massnahme beschreibt, was dagegen getan wird (Feld «Massnahme»).

Die richtige Körnung

Zwei Fehler liegen nahe beieinander. Das Sammelrisiko «Cyberangriff» umfasst alle Bedrohungen, Systeme und Folgen und lässt sich deshalb nicht behandeln. Umgekehrt taucht ein und dasselbe Problem mehrfach auf, einmal als Datenschutzthema, einmal als IT-Risiko und einmal als Auditfeststellung, und wird so mehrfach gezählt.

Als Regel hilft: Trennen Sie Risiken, wenn sie unterschiedliche Ursachen, Verantwortliche oder Massnahmen haben. Führen Sie Befunde zusammen, wenn sie dieselbe Ursache haben und durch dieselbe Massnahme reduziert werden.

Klare Sprache für zwei Leserschaften

Ein Mitglied der Geschäftsleitung sollte beim Lesen des Szenarios verstehen, warum das Risiko für das Geschäft zählt. Das operative Team sollte aus der Massnahme ablesen können, was konkret zu tun ist. Technische Kürzel gehören, wenn überhaupt, in das Feld «Lücke».

Bewerten: einheitlich vor genau

Die beste Vorlage nützt wenig, wenn jede Person anders bewertet. Für die meisten KMU genügt eine Skala mit vier oder fünf Stufen für Eintrittswahrscheinlichkeit und Auswirkung. Der Risikowert ergibt sich aus Wahrscheinlichkeit mal Auswirkung. Wichtiger als die Feinheit der Skala ist, dass jede Stufe kurz und konkret beschrieben ist, damit «hoch» für alle dasselbe bedeutet.

Drei Punkte machen die Bewertung belastbar:

• Auswirkung breit denken. Neben Vertraulichkeit, Integrität und Verfügbarkeit zählen Betriebsunterbruch, rechtliche und vertragliche Folgen, finanzieller Schaden und Reputation.
• Wahrscheinlichkeit nüchtern einschätzen. Ein kleines Unternehmen ohne Mehrfaktor-Authentisierung und mit unklaren Berechtigungen hat dringendere Risiken als exotische Angriffsszenarien aus den Medien. Berücksichtigen Sie, wie exponiert ein System ist und welche Schutzmassnahmen schon bestehen.
• Brutto und Restrisiko getrennt führen. Das Bruttorisiko beschreibt die Lage ohne die betrachtete Massnahme, das Restrisiko die Lage, nachdem sie wirksam umgesetzt ist. Erst die Differenz zeigt der Geschäftsleitung, was eine Massnahme bringt.

Eine Ampel in Rot, Gelb und Grün hilft beim Überblick, ersetzt aber keine Begründung. Ohne verbindliche Schwellenwerte dahinter vermittelt sie eine Sicherheit, die es nicht gibt. Wie Sie Skalen, Schwellen und eine Risikomatrix ohne externe Hilfe festlegen, zeigt der Leitfaden Risikobewertung ohne Berater umsetzen.

Behandlung und Restrisiko

Jeder Eintrag braucht eine Entscheidung, wie mit dem Risiko umgegangen wird:

• Reduzieren: Technische oder organisatorische Massnahmen senken Wahrscheinlichkeit oder Auswirkung. Das ist der häufigste Fall.
• Vermeiden: Die riskante Tätigkeit, Schnittstelle oder Technologie wird aufgegeben, weil sie nicht zwingend nötig ist.
• Übertragen: Versicherung oder Vertrag verlagern einen Teil der finanziellen Folgen. Die operative Verantwortung bleibt in der Regel bei Ihnen.
• Akzeptieren: Die zuständige Stelle trägt das Risiko bewusst, weil es innerhalb der festgelegten Grenze liegt oder weitere Massnahmen unverhältnismässig wären.

Eine Massnahme ist erst steuerbar, wenn sie ein prüfbares Ergebnis hat. «MFA einführen» genügt nicht. «Mehrfaktor-Authentisierung für alle administrativen und externen Zugriffe aktivieren, Testprotokoll ablegen, Ausnahmen genehmigen lassen» schon. Wie Sie aus vielen solchen Einträgen einen umsetzbaren Plan machen, beschreibt der Leitfaden Massnahmenplan Informationssicherheit erstellen.

Das Restrisiko darf erst sinken, wenn die Wirkung belegt ist. Eine erledigte Aufgabe senkt kein Risiko, solange niemand geprüft hat, ob sie greift. Bei einer Backup-Massnahme reicht die erfolgreiche Sicherung nicht: Entscheidend ist, ob die Wiederherstellung in der benötigten Zeit funktioniert. Und wird ein Restrisiko akzeptiert, gehört der Entscheid mit Namen, Datum, Begründung und Ablaufdatum ins Register. Wie Sie dafür Regeln festlegen, behandelt der Leitfaden Risikoakzeptanz im Unternehmen festlegen.

Woher neue Einträge kommen

Ein Register, das nur in Workshops gefüllt wird, ist eine Momentaufnahme mit viel Bauchgefühl. Belastbarer wird es, wenn Einträge aus festen Quellen stammen:

• Assessments gegen einen Standard, zum Beispiel ISO 27001, NIST CSF 2.0, den IKT-Minimalstandard oder den Cyber Security Basis Check. Jede nicht erfüllte Anforderung ist ein Kandidat für einen Risikoeintrag.
• Ergebnisse interner Kontrollen und Audits.
• Sicherheitsvorfälle und Beinahe-Vorfälle.
• Änderungen: neue Systeme, Cloud-Dienste, Standorte, Dienstleister. Für Dienstleister hilft ein strukturierter Fragebogen, siehe Lieferantenrisiken mit Fragebogen bewerten.

Das Feld «Herkunft» hält fest, aus welchem Befund ein Risiko stammt. Bei einem Audit können Sie so zeigen, welche Feststellung zu welchem Risiko geführt hat und wie damit umgegangen wurde. Achten Sie darauf, dass die Geschäftsauswirkung verständlich bleibt: Eine Liste von Kontrollnummern ersetzt kein Szenario.

Das Register pflegen

Das einmalige Anlegen ist der einfache Teil. Die Arbeit liegt in der laufenden Pflege.

Rhythmus und Anlässe

Bewährt hat sich ein fester Review, für viele KMU quartalsweise, ergänzt durch Überprüfungen bei Anlass: nach einem Vorfall, bei wesentlichen Änderungen an Systemen oder Dienstleistern, bei neuen regulatorischen Anforderungen und wenn eine Massnahme abgeschlossen ist. Ein monatlicher Vollreview aller Einträge ist für ein kleines Team meist zu viel und führt eher zu formaler Pflege als zu besseren Entscheidungen. Kritische Risiken und laufende Massnahmen können dagegen einen engeren Takt brauchen.

Was im Review geprüft wird

• Neue Befunde seit dem letzten Review aufnehmen.
• Bestehende Einträge hinterfragen: Hat sich die Auswirkung oder die Wahrscheinlichkeit geändert, sind neue Abhängigkeiten entstanden?
• Fristen kontrollieren und überfällige Massnahmen eskalieren.
• Abgeschlossene Massnahmen auf Wirkung prüfen und erst dann das Restrisiko anpassen.
• Ablaufende Risikoakzeptanzen erneut vorlegen.
• Überholte Einträge schliessen, mit Begründung.

Geschlossene Risiken löschen Sie nicht. Sie bleiben mit Entscheid, umgesetzten Kontrollen und letzter Bewertung im Register, archiviert und auffindbar. So muss bei einem Personalwechsel niemand ein bekanntes Problem von vorne analysieren.

Rollen

Ein Register hängt nicht an einer Person. Bewährt hat sich eine Aufteilung: Fachbereiche schätzen die geschäftliche Auswirkung ein, IT und Informationssicherheit bewerten die technische Seite und setzen um, eine verantwortliche Stelle für Informationssicherheit oder Compliance sichert Methode und Einheitlichkeit, und die Geschäftsleitung entscheidet über Prioritäten, Mittel und die Akzeptanz wesentlicher Restrisiken. Der Risikoeigner muss dabei nicht die Person sein, die technisch umsetzt. Bei Risiken für einen Geschäftsprozess liegt diese Verantwortung oft bei der Bereichsleitung.

Was die Geschäftsleitung sehen sollte

Die Geschäftsleitung braucht keine vollständige Liste. Sie braucht die Risiken, die über der festgelegten Grenze liegen, überfällige Massnahmen, offene oder ablaufende Akzeptanzen und die Entwicklung seit der letzten Bewertung. Für Geschäftsleitungen, die sich ohne Technik in das Thema einarbeiten wollen, gibt es das Selbstlernmodul «SCMC Cyber-Risiken: Führung gefordert», entstanden mit der HWZ. Es dauert rund 50 Minuten und zeigt, warum Informationssicherheit Chefsache ist und wie sich der Reifegrad sichtbar machen lässt.

Häufige Fehler

Fehler	Folge	Abhilfe
Befund statt Risiko («Antivirus nicht aktuell»)	Unklar, warum es dringend ist	Szenario mit Ursache, Ereignis, Folge formulieren
Skalenstufen ohne Definition	Gleiche Risiken werden verschieden bewertet	Jede Stufe in einem Satz beschreiben
Fast alles «hoch»	Keine Priorisierung mehr möglich	Schwellen festlegen und konsequent anwenden
Brutto- und Restrisiko vermischt	Lagebild zu positiv, Kontrollen wirken nur auf dem Papier	Beide Werte getrennt führen
Restrisiko gesenkt, bevor die Massnahme wirkt	Risiko gilt als erledigt, obwohl es besteht	Senken erst nach Wirksamkeitsnachweis
«IT prüft Lösung» als Massnahme	Niemand fühlt sich zuständig	Person, Frist, prüfbares Ergebnis
Kein Risikoeigner	Register wird zur Ablage	Jedem Eintrag eine Person zuordnen
Stillschweigende Akzeptanz	Weder steuerbar noch prüfbar	Akzeptanz mit Name, Datum, Begründung, Ablauf
Aktualisierung nur vor dem Audit	Register zeigt einen alten Stand	Fester Rhythmus plus Anlässe
Doppelte Erfassung in Auditbericht, Massnahmenliste und Register	Widersprüchliche Stände, doppelter Aufwand	Eine Quelle für Risiken und Massnahmen
Ampel ohne Begründung	Scheinbare Sicherheit	Ampel als Ergebnis der Bewertung, Begründung im Eintrag
Zu viele Felder und Kategorien	Pflege bleibt liegen	Vorlage auf genutzte Felder kürzen

Viele Projekte scheitern auch am Anspruch. Wer vom ersten Tag an jedes denkbare Risiko perfekt modellieren will, verliert die Beteiligten. Besser ist ein Start mit den kritischen Geschäftsprozessen, den besonders schützenswerten Informationen, den wichtigsten Dienstleistern und den bekannten Lücken.

Excel oder Software

Eine Excel-Datei mit Auswahllisten für Status und Stufen und einer Formel für den Risikowert ist ein brauchbarer Einstieg, wenn wenige Personen mit wenigen Risiken arbeiten. Die Grenzen zeigen sich, sobald mehrere Personen mitarbeiten, Versionen per E-Mail kreisen, Befunde aus Assessments laufend übertragen werden müssen oder ein Prüfer wissen will, wer wann eine Bewertung geändert hat. Welche Kriterien für den Wechsel sprechen, behandelt der Leitfaden ISMS Software oder Excel.

Wenn Sie bei Excel bleiben, regeln Sie mindestens Ablageort, Schreibrechte, Freigaben und eine Änderungshistorie.

So bildet SCMC das Register ab

In SCMC entsteht das Register aus der Bewertung selbst. Das Modul Cyber-Risikomanagement geht von einem BSI-orientierten Risiko-Framework aus, erlaubt eigene Bedrohungsszenarien und liefert ein strukturiertes Risikoregister mit Wahrscheinlichkeit, Auswirkung und verknüpften Massnahmen. Im Modul Internes Kontrollsystem ist der Bereich «Risikomanagement» Ihr Risikoregister, im Tab «Risiken» bewerten Sie zusätzlich die Zeilen nach Wahrscheinlichkeit und Auswirkung, mit Restrisiko.

Konkret heisst das:

• Der Wert einer Position ist Wahrscheinlichkeit mal Auswirkung, höchstens 16, die Farbe zeigt die Stufe. Sie erfassen die Werte als Kacheln, als Zeilen oder direkt in einer Risikomatrix.
• Jede Massnahme trägt Frist und verantwortliche Person, die Validierung ebenfalls, mit eigener Frist. Erinnerungen gehen per E-Mail hinaus, und «Meine Aufgaben» zeigt jeder Person, was auf sie läuft.
• Der Verlauf jeder Position zeigt, was sich wann geändert hat und wer zuletzt geändert hat.
• Die Risikoauswertung zeigt Risiko- und Restrisikomatrix nebeneinander, und die Risikoanalyse gibt es als bearbeitbares Word-Dokument mit allen Positionen absteigend nach Risiko samt Massnahme.
• Wer lieber in Excel arbeitet, exportiert die Bewertung, je nach Modul mit einem Blatt für die Risikobewertung, und liest sie wieder ein. Fürs nächste Jahr dupliziert ein Klick die Bewertung mit allen Risiken und Massnahmen.

Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich). Einen kostenlosen Einstieg bietet der Cyber Security Basis Check. Die Preise der Module finden Sie unter Preise, Antworten auf Detailfragen im Hilfe-Center.