Vorlagen und Aufzeichnungen · ISO 27001 · Abschnitt 6.1.2

Vorlage für die Informationssicherheits-Risikobeurteilung nach ISO 27001

Die Analyse, die ermittelt, was die Vertraulichkeit, Integrität oder Verfügbarkeit der Information gefährden kann, wer für jedes Risiko einsteht und wie schwer es wiegt.

In einem Satz

Die Informationssicherheits-Risikobeurteilung identifiziert die Risiken für Vertraulichkeit, Integrität und Verfügbarkeit, weist jedem einen Eigentümer zu, bewertet Wahrscheinlichkeit und Folgen und vergleicht sie mit vorab festgelegten Akzeptanzkriterien; ISO/IEC 27001 verlangt, den Prozess zu dokumentieren (6.1.2) und seine Ergebnisse aufzubewahren (8.2).

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27001 · Abschnitt 6.1.2 Die Abschnitte folgen ISO/IEC 27001:2022; die mit „A.“ beginnenden sind Maßnahmen aus Anhang A, verbindlich in dem Umfang, in dem die Erklärung zur Anwendbarkeit sie aufnimmt.
Art der Information: Pflichtaufzeichnung Dokumentierter Prozess (6.1.2) und aufzubewahrende Ergebnisse (8.2)
Wer sie ausfüllt: Informationssicherheitsbeauftragter mit den Risikoeigentümern Jedes Risiko hat einen Eigentümer mit der Befugnis, über seine Behandlung zu entscheiden
Wann: Mindestens einmal jährlich Und bei relevanten Änderungen: ein neuer Dienst, ein kritischer Lieferant, ein schwerer Vorfall
Wie lange sie aufbewahrt wird: Legt die Organisation fest ISO/IEC 27001 nennt keine Fristen, verlangt aber eine Entscheidung über Aufbewahrung und Vernichtung der dokumentierten Information (7.5.3). Wer den dreijährigen Zertifizierungszyklus abdeckt, kann bei der Rezertifizierung die Historie vorlegen.

Was die Norm verlangt

Was ISO 27001 fordert und was Ihrem Ermessen überlassen bleibt

Die Norm verlangt einen festgelegten Beurteilungsprozess mit Risikoakzeptanzkriterien und Kriterien für die Durchführung, sodass er bei Wiederholung konsistente und vergleichbare Ergebnisse liefert. Innerhalb dieses Prozesses sind die Risiken zu identifizieren, ihre Eigentümer zu benennen, Folgen und Wahrscheinlichkeit zu bewerten, das Niveau zu bestimmen und Prioritäten zu setzen.

Eine Methode schreibt sie nicht vor. Seit 2013 muss man nicht mehr von den Werten ausgehen: Man kann nach Szenarien, nach Prozessen oder nach Werten vorgehen. ISO/IEC 27005 bietet Orientierung, ist aber weder zertifizierbar noch verpflichtend.

Die Beurteilung wird in geplanten Abständen und bei wesentlichen Änderungen wiederholt (8.2). Aufzubewahren sind die Ergebnisse jedes Durchlaufs, nicht nur die neueste Fassung.

Im Zusammenhang lesen: Planung, in der Akademie zu ISO 27001

Aufbau

Felder, die die Vorlage enthalten sollte

Akzeptanzkriterien und Skalen für Wahrscheinlichkeit und Auswirkung
Kennung und Beschreibung des Risikos (Bedrohung und Schwachstelle oder Szenario)
Betroffener Wert, Prozess oder Dienst
Betroffenes Schutzziel: Vertraulichkeit, Integrität oder Verfügbarkeit
Risikoeigentümer
Bestehende Maßnahmen
Wahrscheinlichkeit, Auswirkung und Risikoniveau
Entscheidung: akzeptieren oder behandeln
Datum der Beurteilung und Version

Beispiel

Beispiel: ein Risiko aus der jährlichen Beurteilung

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Risiko	R-07 · Längerer Ausfall des Hosting-Anbieters der Plattform
Betroffener Dienst	SaaS-Plattform von Nubeta (fiktiv)
Schutzziel	Verfügbarkeit
Eigentümerin	Leiterin Betrieb
Bestehende Maßnahmen	Tägliche Sicherungen in einer anderen Region; Vertrag mit 99,9 % Service-Level
Bewertung	Wahrscheinlichkeit 2 von 5 · Auswirkung 5 von 5 · Niveau 10, hoch
Akzeptanzkriterium	Akzeptiert werden Risiken bis Niveau 6
Entscheidung	Behandeln · geht als Maßnahme T-07 in den Behandlungsplan ein
Datum	Jährliche Beurteilung, 2. September 2026

Im Audit

Fehler, die Auditoren häufig feststellen

Es gibt keine schriftlichen Akzeptanzkriterien, oder sie werden erst nach Sichtung der Ergebnisse festgelegt.
Risiken ohne Eigentümer oder mit „IT“ als Eigentümer aller Risiken.
Die Beurteilung wird nach einem schweren Vorfall oder einem Lieferantenwechsel nicht wiederholt.
Beim Aktualisieren wird die Vorversion gelöscht: Es bleibt kein Ergebnis zum Aufbewahren.
Die Skalen ändern sich von Jahr zu Jahr, und die Ergebnisse sind nicht mehr vergleichbar.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Jedes Risiko wird mit seinem Wert, seiner Behandlung und seinem Eigentümer erfasst.
2Der Eigentümer jedes Risikos und jedes Werts wird direkt im System zugewiesen.
3Jede Version der Beurteilung bleibt gespeichert, und nach einem relevanten Vorfall wird sie direkt aus der Korrekturmaßnahme heraus aktualisiert.

Häufige Fragen

Was man uns vor dem Start fragt

Muss man vom Inventar der Werte ausgehen?

Seit der Ausgabe 2013 ist das nicht mehr Pflicht, auch wenn viele Unternehmen es weiterhin tun, weil es hilft, nichts zu übersehen. Man kann nach Szenarien oder Prozessen beurteilen, solange die Ergebnisse konsistent und vergleichbar sind.

Was ist der Risikoeigentümer?

Die Person mit der Befugnis und Verantwortung, ein Risiko zu steuern. Sie genehmigt den Behandlungsplan und akzeptiert das Restrisiko und ist meist eine Führungskraft aus dem Fachbereich, nicht der Systemtechniker.

Führen Sie die Aufzeichnungen zu ISO 27001 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme. Anforderungen ISO/IEC · 25. Oktober 2022
ISO/IEC 27005:2022 — Leitfaden zur Handhabung von Informationssicherheitsrisiken ISO/IEC · Oktober 2022