Risikoregister: Vorlage und ausgefülltes Beispiel nach BSI-Standard 300-1

Das Risikoregister erwähnt 300-1 an zwei Stellen. In der Risikoidentifikation heißt es, die identifizierten Risiken „werden einem Risikoeigentümer zugewiesen und im Risikoregister dokumentiert“ (Kap. 4.2.1). Mindestkriterium 15 legt die Mindestangaben fest und ergänzt: „Das Risikoregister wird im weiteren Verlauf um die Angaben aus Risikobewertung und Risikobehandlung ergänzt.“ Weitere Kriterien aus Anhang 3 bestimmen, was zu einem Risiko festzuhalten ist. Zusammengezogen:

Der Anwenderkatalog ergänzt die Rolle: „Risikomanagement MUSS die Rolle des Risikoeigentümers mit den notwendigen Aufgaben und Befugnissen verankern.“ (RISK.1.3). Laut Erläuterung trägt der Risikoeigentümer die Verantwortung für die Behandlung und hat die Befugnis, über die Risikobehandlung zu entscheiden. Wer das Register technisch führt, legt 300-1 nicht fest; regeln Sie das in Ihrer Risikorichtlinie, etwa beim ISB. Die Einträge verantwortet der jeweilige Risikoeigentümer.

Die Vorlage ordnet die Spalten in der Reihenfolge, in der sie im Ablauf gefüllt werden. Pflichtspalten nach 300-1 sind mit (P) markiert, die übrigen sind unsere Empfehlung, damit das Register ohne Rückfragen entscheidungsfähig ist.

Ob Sie das Register als Tabelle, im ISMS-Werkzeug oder im Ticketsystem führen, lässt 300-1 offen. Wichtig ist, dass die Zuordnung zwischen Risiken und Maßnahmen in beide Richtungen nachvollziehbar bleibt (Kriterium 25): Das Register verweist auf die Maßnahmen, der Umsetzungsplan auf die Risiken.

Fiktives Beispiel. Eine Förderstiftung nimmt Förderanträge über ein Online-Portal an, prüft sie im Fachverfahren und zahlt bewilligte Mittel aus (Geschäftsprozess GP-03). Für GP-03 ist die Integrität „hoch“: Manipulierte Bewilligungen könnten Fehlzahlungen in einem Umfang auslösen, der für die Stiftung beträchtlich wäre, und ihren Ruf nachhaltig schädigen; das entspricht der Definition von „hoch“ und einem der Szenarien, die 300-1 als Hilfe nennt (Kap. 2.6). Vertraulichkeit und Verfügbarkeit sind „normal“. Skalen, Matrix und Akzeptanzkriterien hat der Vorstand vorab autorisiert; sie entsprechen dem Fall auf der Seite Risikoanalyse: „gering“ wird akzeptiert, „mittel“ ist befristet akzeptierbar, höchstens zwölf Monate, „hoch“ und „sehr hoch“ sind zu behandeln. Anforderungen aus dem Anwenderkatalog sind echt, alles andere ist erfunden.

Der fünfte Eintrag betrifft eine SOLLTE-Anforderung, deren Erfüllung schon eingeplant ist. Für diesen Fall verlangt 300-1 eine Restrisikobetrachtung mit Freigabe durch die Institutionsleitung (Kap. 2.11) und, das noch nicht mitigierte Risiko der Leitung mitzuteilen (Kap. 4.1.1). Der Katalog fasst das als UMS.1.2: „Umsetzung SOLLTE das bestehende Restrisiko durch die nicht umgesetzten Anforderungen festlegen.“ Laut Erläuterung können diese Risiken konsolidiert werden, um sie für die Institutionsleitung nachvollziehbarer zu machen. Ein eigener, knapper Eintrag reicht dafür:

Ob für temporär nicht erfüllte SOLLTE-Anforderungen eine Restrisikobetrachtung nötig ist, beantwortet 300-1 nicht einheitlich: Kap. 2.11 verlangt sie, Kap. 4.1.2 sagt, eine temporäre Nichterfüllung löse keine Risikobetrachtung aus. Wir behandeln das als offene Auslegungsfrage und führen den Eintrag, weil er wenig Aufwand macht und die Leitung ohnehin informiert werden muss (Kap. 4.1.1). Wie die zugehörigen Entscheidungsvermerke aussehen, zeigt die Seite Risikoakzeptanz und Restrisiko.

• Überprüfung. Die Risikobetrachtung ist mindestens jährlich und bei geplanten oder eingetretenen wesentlichen Änderungen zu überprüfen (Kriterium 35). Im Fall wäre das etwa die Ablösung des Altmoduls bei R-03-02 oder ein neuer Zahlungsdienstleister.
• Neue Erkenntnisse. Nach Kap. 5.4 sind Verfahren zu verankern, die Schwachstellen und neu auftretende Bedrohungen in der Risikobetrachtung berücksichtigen. Legen Sie fest, wer daraus einen neuen Eintrag oder eine Neubewertung macht.
• Verbindung zum Umsetzungsplan. Der Katalog zählt in der Erläuterung zu RISK.1.10 unter anderem Anforderungsbeschreibung, verantwortliche Stelle, Fristen, Prioritäten, Status, Risiken mit Begründung sowie Datum der Freigabe und Unterschrift des Risikoeigentümers zu den Inhalten eines Umsetzungsplans. Was dort steht, muss zum Register passen.
• Bericht an die Leitung. Der Status der Risikobehandlung gehört zu den Punkten der Managementbewertung (Kap. 5.3). Ein Auszug aus dem Register mit Niveau, Option, Status und offenen Fristen reicht als Grundlage; wie Sie den Stand der Leitung vorlegen, zeigt die Seite Managementbewertung und Kennzahlen.
• Nichts löschen. Geschlossene Risiken bleiben mit Datum und Grund im Register; für Maßnahmen empfiehlt 300-1 eine Historie (Kap. 4.3), dieselbe Logik hilft beim Register.

Prüfliste vor einem Audit

Ob Ihr Verfahren insgesamt alle 35 Mindestkriterien erfüllt, prüfen Sie auf der Seite Risiko-Mindestkriterien. Wie die Einträge entstehen, vom Anlass bis zur Behandlung, zeigt die Seite Risikoanalyse. Wenn Sie ein bestehendes Risikoverzeichnis auf 300-1 umstellen oder ein Register neu aufsetzen wollen, unterstützt Sie Blackfort Technology, siehe Beratung.

Rechtehinweis: Kurze Zitate aus BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0 vom 20.10.2026, © Bundesamt für Sicherheit in der Informationstechnik 2026, Quelle: BSI-Seite zu Grundschutz++; aus BSI-Standard 200-3 „Risikoanalyse auf der Basis von IT-Grundschutz“, Version 1.0, © Bundesamt für Sicherheit in der Informationstechnik 2017, Quelle: BSI-Seite zu BSI-Standard 200-3. Diese Zitate stehen nicht unter CC BY-SA 4.0; der Lizenzhinweis am Seitenende gilt nur für die Auszüge aus den Katalogdaten.