Vorlagen und Aufzeichnungen · ISO 27001 · Abschnitt 6.1.3

Vorlage für den Risikobehandlungsplan nach ISO 27001

Was mit jedem nicht akzeptierten Risiko geschieht: mit welchen Maßnahmen, durch wen, bis wann und welches Risiko danach bleibt – genehmigt von seinem Eigentümer.

In einem Satz

Der Risikobehandlungsplan hält für jedes nicht akzeptierte Risiko die gewählte Option – mindern, vermeiden, übertragen oder akzeptieren –, die anzuwendenden Maßnahmen, den Verantwortlichen und die Frist sowie die Genehmigung durch den Eigentümer samt Akzeptanz des Restrisikos fest, wie es Abschnitt 6.1.3 e) und f) von ISO/IEC 27001 verlangt.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27001 · Abschnitt 6.1.3 Die Abschnitte folgen ISO/IEC 27001:2022; die mit „A.“ beginnenden sind Maßnahmen aus Anhang A, verbindlich in dem Umfang, in dem die Erklärung zur Anwendbarkeit sie aufnimmt.
Art der Information: Pflichtaufzeichnung Dokumentierter Prozess (6.1.3) und aufzubewahrende Ergebnisse (8.3)
Wer sie ausfüllt: Informationssicherheitsbeauftragter und Risikoeigentümer Der Eigentümer genehmigt den Plan und zeichnet die Akzeptanz des Restrisikos ab
Wann: Nach jeder Risikobeurteilung Der Fortschritt wird im Sicherheitsausschuss und in der Managementbewertung überprüft
Wie lange sie aufbewahrt wird: Legt die Organisation fest ISO/IEC 27001 nennt keine Fristen, verlangt aber eine Entscheidung über Aufbewahrung und Vernichtung der dokumentierten Information (7.5.3). Wer den dreijährigen Zertifizierungszyklus abdeckt, kann bei der Rezertifizierung die Historie vorlegen.

Was die Norm verlangt

Was ISO 27001 fordert und was Ihrem Ermessen überlassen bleibt

Sind die Risiken bewertet, verlangt die Norm, Behandlungsoptionen auszuwählen, die notwendigen Maßnahmen festzulegen, einen Plan zu formulieren und von den Eigentümern die Genehmigung des Plans und die Akzeptanz des Restrisikos einzuholen.

Der Plan ist nicht die Erklärung zur Anwendbarkeit: Die SoA sagt, welche Maßnahmen bestehen und warum; der Plan sagt, was wer bis wann tut, um diesen Zustand zu erreichen. Beide speisen sich aus derselben Beurteilung.

Die Umsetzung des Plans wird in Kapitel 8 verfolgt: Er ist umzusetzen, und seine Ergebnisse sind aufzubewahren, sodass im Audit erkennbar ist, was erledigt ist, was aussteht und warum.

Im Zusammenhang lesen: Planung, in der Akademie zu ISO 27001

Aufbau

Felder, die die Vorlage enthalten sollte

Behandeltes Risiko und Niveau vor der Behandlung
Behandlungsoption: mindern, vermeiden, übertragen oder akzeptieren
Geplante Maßnahmen oder Aktionen (mit Verweis auf Anhang A, falls vorhanden)
Verantwortlicher und geplanter Termin
Benötigte Ressourcen
Erwartetes Restrisikoniveau
Genehmigung durch den Eigentümer und Akzeptanz des Restrisikos
Status und Abschlussdatum

Beispiel

Beispiel: Behandlung des Risikos eines Anbieterausfalls

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Risiko	R-07 · Niveau 10, hoch
Option	Mindern
Maßnahme T-07	Replikation der Plattform in einer zweiten Region mit getesteter Umschaltung (Maßnahmen 5.30 und 8.14)
Verantwortlicher und Frist	Leiter Infrastruktur · 31. Januar 2027
Ressourcen	Genehmigtes Budget von 18.000 € jährlich
Erwartetes Restrisiko	Niveau 5, akzeptabel
Genehmigung	Leiterin Betrieb, 10. September 2026; akzeptiert das Restrisiko
Status	In Arbeit · 60 %

Im Audit

Fehler, die Auditoren häufig feststellen

Der Plan hat weder Termine noch Verantwortliche: eine Liste guter Absichten.
Die Akzeptanz des Restrisikos durch den Eigentümer ist nicht dokumentiert.
Risiken werden auf eine Versicherung oder einen Lieferanten „übertragen“, ohne zu prüfen, was der Vertrag abdeckt.
Im Plan abgeschlossene Maßnahmen schlagen sich nicht in der Erklärung zur Anwendbarkeit nieder.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Jede Maßnahme des Plans wird einem Verantwortlichen mit Termin zugewiesen, und das System warnt bei Verzug.
2Die Behandlung wird zusammen mit dem Risiko und seinem Eigentümer samt Genehmigung erfasst.
3Die Managementbewertung startet mit einer Vorlage, in der Sicherheitsvorfälle und Risiken bereits zusammengeführt sind.

Häufige Fragen

Was man uns vor dem Start fragt

Darf ein hohes Risiko akzeptiert werden?

Ja, wenn sein Eigentümer es bewusst akzeptiert und dies dokumentiert ist. Die Norm verbietet nicht, Risiken oberhalb des Kriteriums zu akzeptieren; sie verlangt, dass die Entscheidung ausdrücklich und von jemandem mit entsprechender Befugnis getroffen wird.

Können Behandlungsplan und SoA dasselbe Dokument sein?

Sie können im selben Werkzeug nebeneinander bestehen, beantworten aber unterschiedliche Fragen. Werden sie vermischt, geht meist entweder die Nachverfolgung der Maßnahmen oder die Begründung der Maßnahmenauswahl verloren.

Führen Sie die Aufzeichnungen zu ISO 27001 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme. Anforderungen ISO/IEC · 25. Oktober 2022
ISO/IEC 27005:2022 — Leitfaden zur Handhabung von Informationssicherheitsrisiken ISO/IEC · Oktober 2022