ISO 27001 · Entscheidungen im ISMS
Risikoakzeptanz im Kontext von ISO 27001 dokumentieren
Eine unterschriebene Freigabe allein erklärt noch nicht, wie eine Risikoentscheidung zustande kam. Im ISMS sollten Bewertung, Behandlungsentscheidung und das verbleibende Risiko nachvollziehbar zusammenhängen. Dafür braucht es eine konsistente Akte und klare Zuständigkeiten.
Direkte Antwort
Wie gehört Risikoakzeptanz in ein ISO-27001-orientiertes ISMS?
Die Akzeptanz eines Informationssicherheitsrisikos gehört in den Zusammenhang der Risikobewertung und Risikobehandlung. Für die praktische Dokumentation sollten die angewandten Kriterien, der Risikoeigentümer, geplante beziehungsweise wirksame Maßnahmen und die Entscheidung über verbleibende Risiken erkennbar sein. Eine spezielle Software ist dafür keine Voraussetzung.
Den normativen Rahmen und die eigene Umsetzung trennen
ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheitsmanagementsystem und verfolgt einen risikobasierten Ansatz. Die konkrete Ausgestaltung muss zum Kontext der Organisation passen. Eine Produktseite oder Vorlage ist deshalb keine vollständige Anleitung zur Erfüllung der Norm.
Die folgenden Schritte sind praktische Vorschläge für die Verbindung Ihrer vorhandenen ISMS-Unterlagen. Begriffe, Bewertungsstufen und Mandate sollten aus dem eigenen Verfahren stammen. Wenn Ihr Risikoregister andere Kategorien verwendet als das Ausnahmeformular, schaffen Sie eine nachvollziehbare Zuordnung. Unterschiedliche Zahlenwerte ohne Erläuterung erschweren die spätere Prüfung derselben Entscheidung.
Fachlicher Bezug: ISO: Überblick zu ISO/IEC 27001:2022
Akzeptanzkriterien vor dem Einzelfall verständlich machen
Ein Team sollte erklären können, warum es ein bestimmtes Risiko innerhalb seines Entscheidungsrahmens trägt. Dazu gehören Kriterien für die Bewertung und die Akzeptanz sowie festgelegte Zuständigkeiten. Kriterien sollten nicht erst dann geändert werden, wenn ein zeitkritisches Projekt eine gewünschte Freigabe benötigt.
Beschreiben Sie, welche Fälle mit begrenztem Mandat entschieden werden können und wann eine Eskalation erforderlich ist. Neben der Risikokategorie können Reichweite, Unsicherheit oder betroffene Prozesse eine Rolle spielen. Eine hohe Einstufung bedeutet nicht automatisch eine bestimmte universelle Genehmigungsstufe; diese Zuordnung muss im jeweiligen ISMS nachvollziehbar festgelegt sein.
Wird von einer internen Regel abgewichen, dokumentieren Sie zusätzlich den Bezug zur betroffenen Anforderung. Das verhindert, dass eine Risikoentscheidung fälschlich als Änderung des gesamten Sicherheitsstandards gelesen wird. Die Freigabe eines einzelnen Systems ändert noch keine organisationsweite Richtlinie.
Eine zusammenhängende Nachweiskette aufbauen
Diese Verknüpfungen können über stabile Kennungen und geregelte Dokumentablage hergestellt werden. Entscheidend ist, dass Prüfer und spätere Verantwortliche die relevanten Unterlagen auffinden und deren Zusammenhang verstehen können.
Bewertung referenzieren
Verknüpfen Sie die Akzeptanz mit einer identifizierbaren Risikobewertung. Szenario, Geltungsbereich, Kriterien und Bewertungsdatum müssen zur Entscheidung passen. Der aktuelle Registereintrag allein erklärt eine frühere Freigabe möglicherweise nicht mehr.
Behandlung nachvollziehbar machen
Beschreiben Sie die gewählte Option und den Bezug zum Behandlungsplan. Trennen Sie Maßnahmen, die bereits wirksam sind, von geplanten Aufgaben. Halten Sie fest, auf welchen Zustand sich die Entscheidung bezieht.
Verbleibendes Risiko und Zustimmung festhalten
Dokumentieren Sie das Restrisiko in verständlicher Sprache und die Entscheidung der zuständigen Person. Eine fachliche Empfehlung und die eigentliche Risikoübernahme sollten als unterschiedliche Beiträge erkennbar bleiben.
Überwachung mit dem ISMS verbinden
Legen Sie Wiedervorlage und Anlässe zur Neubewertung fest. Neue Erkenntnisse aus Vorfällen, Änderungen oder Prüfungen sollten an die verantwortlichen Personen gelangen. Das Ergebnis wird mit Bezug auf die frühere Entscheidung festgehalten.
Häufige Verwechslungen bei Ausnahmeentscheidungen
Eine Risikoakzeptanz ist keine pauschale Erklärung, eine Anforderung sei nicht anwendbar. Ebenso wenig beendet sie automatisch eine Auditfeststellung. Anwendbarkeit von Maßnahmen, festgestellte Abweichungen und konkrete Betriebsentscheidungen haben unterschiedliche Fragen zu beantworten. Behandeln Sie diese Bezüge ausdrücklich, statt denselben Freigabetext an mehreren Stellen einzusetzen.
Auch ein grüner Status in einer Anwendung genügt nicht als fachlicher Nachweis. Er sollte auf eine nachvollziehbare Entscheidung und ihren Umfang verweisen. Prüfen Sie bei einer Stichprobe deshalb nicht nur, ob ein Feld ausgefüllt ist, sondern ob die damaligen Voraussetzungen, Maßnahmen und Verantwortlichkeiten aus den Unterlagen hervorgehen.
Fiktives Praxisbeispiel
Ein Backup-Verfahren erreicht das interne Wiederherstellungsziel noch nicht
Ein fiktives ISMS-Team bewertet ein Fachverfahren, dessen Wiederherstellung länger dauert als intern vorgesehen. Eine technische Verbesserung ist geplant. Für die Übergangszeit soll der Betrieb unter dokumentierten Bedingungen fortgesetzt werden.
- Bewertungsbezug
- Der Vorgang verweist auf das bewertete Ausfallszenario im Risikoregister und auf den betroffenen Geschäftsprozess. Eine geänderte Wiederherstellungsdauer bleibt später zuordenbar.
- Behandlung
- Der Behandlungsplan enthält die technische Optimierung. Ein bereits erprobtes manuelles Ersatzverfahren begrenzt vorübergehend die Folgen; der geplante Umbau wird noch nicht als wirksame Kontrolle bewertet.
- Restrisiko
- Bei einem Ausfall entsteht weiterhin zusätzlicher Aufwand und eine längere Unterbrechung. Die Prozessverantwortliche versteht diese verbleibenden Folgen und entscheidet innerhalb ihres Mandats.
- Genehmigung
- Die Akte dokumentiert die Entscheidung zur vorgelegten Fassung für zehn Wochen. Security hält die fachliche Einschätzung und offene Annahmen fest.
- Review
- Nach fünf Wochen werden Umsetzung und Testergebnisse geprüft. Nach der Optimierung wird die Wiederherstellung erneut erprobt, bevor die Ausnahme geschlossen wird.
Für eine spätere Stichprobe lässt sich damit von der Entscheidung zur Bewertung, zur Maßnahme und zum Wirksamkeitsnachweis navigieren. Der Zusammenhang wird nicht erst kurz vor dem Audit rekonstruiert.
Abweichwerk als ergänzende Akte im ISMS
Abweichwerk kann einzelne Sicherheitsausnahmen mit Bewertung, Maßnahmen, Entscheidungen und Historie zusammenführen. Bestehende ISMS-Dokumente lassen sich fachlich über ihre Referenzen einordnen. Das unterstützt die Nachvollziehbarkeit eines Teilprozesses, ohne das gesamte Managementsystem in eine neue Anwendung übertragen zu müssen.
Die Organisation entscheidet weiterhin über ihre Risikomethodik, Anwendbarkeit und Nachweisführung. Im Pilot sollte besonders geprüft werden, wie vorhandene Registerkennungen und Entscheidungsbefugnisse zum Produkt passen. Abweichwerk garantiert keine Zertifizierung oder Compliance.
Den Abweichwerk-Workflow ansehenHäufige Fragen: ISO 27001 Risikoakzeptanz
Verlangt ISO 27001 eine bestimmte Risikoakzeptanz-Software?
Eine konkrete Software ist keine Voraussetzung für ein ISMS. Relevant ist die nachvollziehbare Umsetzung der Anforderungen im jeweiligen Kontext. Eine geeignete Anwendung kann Zuständigkeiten und Dokumentation unterstützen; auch andere geregelte Verfahren können diese Aufgaben erfüllen.
Muss jede akzeptierte Abweichung die SoA ändern?
Ein einzelner Ausnahmefall ist nicht automatisch eine neue Entscheidung über die Anwendbarkeit einer Maßnahme. Prüfen Sie den fachlichen Zusammenhang. Wenn der Fall grundsätzliche Annahmen verändert, kann eine Überprüfung weiterer ISMS-Unterlagen sinnvoll sein.
Sind feste jährliche Akzeptanzfristen vorgeschrieben?
Aus der hier beschriebenen Praxisempfehlung ergibt sich keine pauschale Jahresfrist. Legen Sie Laufzeit und Überwachung passend zum eigenen Verfahren und Risikoszenario fest. Bei schnell veränderlichen Bedingungen kann ein deutlich früherer Review nötig sein.
Was sollte ich für eine Auditstichprobe bereithalten?
Die damalige Bewertung, den Behandlungsbezug, das erläuterte Restrisiko und die dokumentierte Entscheidung. Ergänzen Sie Nachweise zu Bedingungen und späteren Reviews. Die Unterlagen sollten den betrachteten Umfang und den jeweiligen Versionsstand eindeutig erkennen lassen.
Ausnahmeentscheidungen nachvollziehbar in Ihr ISMS einordnen
Prüfen Sie im Abweichwerk-Pilot den Weg von der Bewertung bis zur dokumentierten Entscheidung.