Risikobehandlungsplan
Der Risikobehandlungsplan ist das Dokument, das für jedes bewertete Risiko festhält, wie damit umgegangen wird: vermindern, übertragen, vermeiden oder bewusst akzeptieren. Zu jeder Entscheidung gehören eine Maßnahme, eine verantwortliche Person, ein Termin und der Nachweis, dass die Leitung die Restrisiken kennt und trägt.
Aktualisiert am: 19.08.2026
Die vier Behandlungsarten
- Vermindern — Maßnahmen umsetzen, bis das Risiko tragbar ist
- Übertragen — etwa über Versicherung oder vertragliche Regelung
- Vermeiden — die risikotragende Tätigkeit einstellen oder ändern
- Akzeptieren — dokumentiert und von der Leitung freigegeben
Warum die Akzeptanz schriftlich sein muss
Akzeptiertes Risiko ist eine legitime Entscheidung, aber eine der Geschäftsleitung. Ohne Unterschrift ist es keine Entscheidung, sondern eine Lücke — und im Prüffall bleibt offen, wer sie zu verantworten hat. Der Plan verbindet sich mit der Anwendbarkeitserklärung: Beide müssen denselben Stand zeigen.
Wo das im Mandat vorkommt
In der ISO-27001-Beratung entsteht der Plan direkt aus der Risikoanalyse und wird zur Terminliste des Projekts. Im NIS2 Manager sind Risiken, Maßnahmen und Termine miteinander verknüpft.
Häufige Frage
Wer gibt den Risikobehandlungsplan frei?
Die Geschäftsleitung. Sie entscheidet über Restrisiken und stellt die Mittel bereit. Der ISB oder CISO bereitet vor und schreibt fort, aber die Freigabe ist nicht delegierbar.