In der Schweiz gibt es kein Gesetz, das jedem Unternehmen ein Dokument mit dem Titel «Risikoregister» vorschreibt. Verpflichtet sind Sie trotzdem oft: Sobald eine Regulierung, ein Standard, ein Vertrag oder Ihre eigene Governance verlangt, dass Sie Risiken systematisch bewerten, behandeln und nachweisen, ist ein zentral geführtes Register die praktisch einzige Form, die diesen Nachweis trägt. Dieser Leitfaden zeigt, woher die Pflicht kommt, wie Sie für Ihre Organisation prüfen, ob sie besteht, und was ein Register enthalten muss, damit es als Nachweis taugt.

Die Pflicht ergibt sich aus Ihrem Umfeld

Ob ein Register verlangt wird, hängt weniger vom Wort «Risikoregister» ab als von der Frage, ob Sie Risiken gegenüber jemandem nachweisen müssen: gegenüber einer Aufsicht, einem Auditor, einem Kunden oder Ihrem eigenen Verwaltungsrat. Je stärker Ihre Branche reguliert ist, je sensibler die Daten sind, die Sie bearbeiten, und je abhängiger Ihr Betrieb von der IT ist, desto eher wird eine dokumentierte Risikosteuerung erwartet.

In der Praxis entsteht die Pflicht auf vier Wegen.

1. Regulierung und Aufsicht

Finanzinstitute, Versicherungen, Gesundheitseinrichtungen, Energieversorger, öffentliche Verwaltungen und andere Betreiber kritischer Infrastrukturen unterliegen meist weitergehenden Anforderungen an Risiko- und Kontrollmanagement. Aufsichtsbehörden, kantonale Vorgaben oder Branchenregeln setzen dort eine nachvollziehbare Risikobeurteilung voraus. Ein Register ist der naheliegende Nachweis, weil es Risiken, Bewertungen, Massnahmen und Entscheide an einem Ort zusammenführt.

Als Referenz für die Umsetzung bietet sich der IKT-Minimalstandard an, der eine risikobasierte Steuerung vorsieht. Ob er Sie betrifft, klärt der Leitfaden Wer braucht den IKT-Minimalstandard in der Schweiz?.

Schweizer Unternehmen, die in der EU tätig sind und dort unter die NIS2-Richtlinie (EU 2022/2555) fallen, müssen Massnahmen zum Risikomanagement umsetzen. Auch das lässt sich ohne dokumentierte Risikoanalyse kaum belegen. Mehr dazu auf der Seite zum NIS2-Assessment.

2. Datenschutz

Das Schweizer Datenschutzrecht schreibt kein Risikoregister vor. Es verlangt aber angemessene technische und organisatorische Massnahmen, die sich am Risiko für die betroffenen Personen ausrichten. Wer besonders schützenswerte Personendaten bearbeitet, umfangreiche Datenbearbeitungen betreibt oder bei einem Vorfall grossen Schaden anrichten könnte, muss begründen können, warum die gewählten Massnahmen angemessen sind. Eine strukturierte Risikodokumentation liefert diese Begründung. Den Stand Ihrer Organisation prüfen Sie mit dem Datenschutz-Check nach revDSG und DSGVO.

3. Standards und Zertifizierungen

Wer ein Informationssicherheits-Managementsystem nach ISO 27001 betreibt oder eine Zertifizierung anstrebt, braucht einen dokumentierten Risikoprozess. Die Norm verlangt, Informationssicherheitsrisiken nach festgelegten Kriterien zu identifizieren, zu analysieren, zu bewerten und zu behandeln. Eine bestimmte Datei oder Tabellenform schreibt sie nicht vor. Ohne aktuelles Register lässt sich aber kaum belegen, wie Entscheide zustande kamen und ob Massnahmen verfolgt werden. Wie Sie sich auf die Prüfung vorbereiten, beschreibt der Leitfaden Auditvorbereitung für ISO 27001.

Andere Rahmenwerke wie NIST CSF 2.0, der IKT-Minimalstandard oder der Cyber Security Basis Check sehen je nach Reifegrad ebenfalls eine risikobasierte Steuerung vor. Wer sich daran ausrichtet, braucht einen Ort, an dem aus den Lücken eines Assessments bewertete Risiken mit Verantwortlichen und Fristen werden.

4. Verträge, Kunden und interne Governance

Viele KMU begegnen der Pflicht über ihre Kunden. Ausschreibungen, Lieferantenfragebögen und Verträge verlangen zunehmend Nachweise zu Informationssicherheit, Datenschutz und Betriebskontinuität. Wer belegen muss, dass Cyberrisiken laufend bewertet und behandelt werden, kommt mit verstreuten E-Mails und Excel-Dateien selten durch.

Auch Verwaltungsrat, Geschäftsleitung oder das interne Kontrollsystem können eine formelle Risikoberichterstattung verlangen. Das ist besonders dann sinnvoll, wenn Risiken mehrere Bereiche betreffen, Investitionen auslösen oder den Betrieb gefährden können. Ein Register sorgt dafür, dass solche Risiken auf der richtigen Stufe entschieden werden. Für die Dokumentation interner Kontrollen gibt es das Modul Internes Kontrollsystem.

So prüfen Sie, ob ein Register für Sie verpflichtend ist

Beantworten Sie die folgenden Fragen. Trifft eine davon zu, sollten Sie ein Register führen, weil Sie sonst den verlangten Nachweis nicht erbringen können.

Frage	Wenn ja
Unterliegt Ihre Organisation einer Aufsicht oder gehört sie zu den kritischen Infrastrukturen?	Vorgaben der Aufsicht prüfen; eine dokumentierte Risikobeurteilung wird in der Regel erwartet.
Fallen Sie mit Tätigkeiten in der EU unter NIS2?	Massnahmen zum Risikomanagement sind Pflicht und müssen belegt werden.
Bearbeiten Sie besonders schützenswerte Personendaten oder grosse Datenmengen?	Angemessenheit der Massnahmen risikobasiert begründen und dokumentieren.
Sind Sie nach ISO 27001 zertifiziert oder wollen Sie es werden?	Dokumentierter Risikoprozess mit Bewertung und Behandlung ist Voraussetzung.
Verlangen Kunden, Ausschreibungen oder Verträge Sicherheitsnachweise?	Register als Grundlage für Fragebögen und Nachweise führen.
Verlangt Ihr Verwaltungsrat oder Ihr IKS eine Risikoberichterstattung?	Register als Quelle für die Berichte nutzen.

Trifft keine Frage zu, sind Sie formal frei. Ein schlankes Register lohnt sich trotzdem, aus einem einfachen Grund: Auch ein kleines Unternehmen hängt an E-Mail, Cloud-Diensten, Kundendaten und wenigen zentralen Anwendungen. Ein erfolgreicher Phishing-Angriff, ein Ausfall des ERP oder ein übernommenes Administratorkonto kann den Betrieb erheblich beeinträchtigen. Ein Register macht sichtbar, wo die wenigen verfügbaren Mittel am meisten bewirken.

Bei Unsicherheit über konkrete gesetzliche oder regulatorische Pflichten lohnt sich eine rechtliche Einordnung durch eine Fachperson. Dieser Leitfaden ersetzt sie nicht.

Was «angemessen» bei kleinen Organisationen heisst

Ein Register für ein kleines Unternehmen mit überschaubarer IT muss nicht umfangreich sein. Wenige präzise bewertete und aktiv verfolgte Risiken sind wertvoller als lange Listen allgemeiner Einträge ohne Verantwortliche. Prüfer und Kunden achten darauf, ob die Dokumentation die tatsächliche Lage abbildet und ob Entscheide nachvollziehbar sind. Die Zahl der Einträge ist dabei zweitrangig.

«Klein» heisst aber nicht «ausgenommen». Wo Pflichten aus Verträgen oder Datenschutz bestehen, gelten sie unabhängig von der Grösse.

Was ein Register enthalten muss, damit es als Nachweis taugt

Eine Liste möglicher Gefahren reicht nicht. Damit ein Register bei Audit, Revision oder Kundenprüfung trägt, braucht jeder Eintrag:

• ein verständliches Risikoszenario mit Ursache und möglicher Auswirkung,
• eine Bewertung von Eintrittswahrscheinlichkeit und Auswirkung nach festgelegten Kriterien,
• die bestehenden Kontrollen und die verbleibende Lücke,
• eine verantwortliche Person,
• die gewählte Behandlung (reduzieren, vermeiden, übertragen oder akzeptieren) mit Massnahme, Frist und Status,
• das Restrisiko und, falls es akzeptiert wird, wer das wann und bis wann entschieden hat.

Gerade der letzte Punkt fehlt in dezentralen Listen oft. Das operative Team arbeitet an Massnahmen, aber niemand kann zeigen, dass die Geschäftsleitung die verbleibenden Risiken kennt und bewusst trägt. Wie Sie solche Entscheide regeln, beschreibt der Leitfaden Risikoakzeptanz im Unternehmen festlegen. Eine vollständige Vorlage mit allen Feldern finden Sie im Leitfaden Risikoregister Informationssicherheit: Vorlage.

Ebenso wichtig ist die Aktualität. Ein sorgfältig erstelltes Register, das danach liegen bleibt, ist beim nächsten Audit ein Schwachpunkt. Legen Sie feste Anlässe für Überprüfungen fest: einen periodischen Review, wesentliche Änderungen an Systemen oder Dienstleistern und jeden Sicherheitsvorfall.

Vom Assessment zum Register

Am wenigsten Aufwand macht ein Register, das aus einer strukturierten Bewertung entsteht. Ein Assessment gegen den für Sie relevanten Standard zeigt, welche Anforderungen fehlen oder ungenügend umgesetzt sind. Nicht jede Lücke ist dabei ein kritisches Risiko: Wie schwer sie wiegt, hängt davon ab, welche Systeme und Daten betroffen sind, welche Schutzmassnahmen bereits bestehen und welche Folgen ein Angriff hätte. Diese Einordnung verhindert eine überfüllte Liste ohne Prioritäten ebenso wie unterschätzte Risiken in kritischen Bereichen. Wie die Bewertung ohne externe Unterstützung gelingt, zeigt der Leitfaden Risikobewertung ohne Berater umsetzen.

In SCMC folgt das Register direkt aus der Bewertung. Das Modul Cyber-Risikomanagement liefert ein strukturiertes Risikoregister mit Wahrscheinlichkeit, Auswirkung, Restrisiko und verknüpften Massnahmen. In den Assessments nach ISO 27001 oder dem IKT-Minimalstandard erfassen Sie zur Lücke die Massnahme mit Frist, Verantwortlichen und Erinnerung per E-Mail und bewerten das Risiko daneben. Der Verlauf hält fest, wer was wann geändert hat, und die Risikoanalyse lässt sich als Word-Dokument für Geschäftsleitung, Revision oder Kunden herunterladen. Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich).

Für einen ersten Überblick ohne Kosten eignet sich der Cyber Security Basis Check. Preise der übrigen Module finden Sie unter Preise.