ISO/IEC 27005 · Methodik-Leitlinie

ISO 27005: Risiko­management,
das ein Audit übersteht

Fast jedes Unternehmen hat ein Risikoregister. Deutlich weniger können erklären, wie sie zu ihren Bewertungen gekommen sind — und genau danach fragt der Auditor. ISO 27005 liefert die Methodik dahinter.

30 Minuten · kostenlos · kein Verkaufsdruck · Sie bekommen danach eine schriftliche Einschätzung

Wann brauchen Sie das?

Niemand ist von ISO 27005
betroffen — aber fast jeder braucht sie

Die 27005 ist keine Pflicht. Sie ist die Antwort auf eine Frage, die früher oder später jeder gestellt bekommt: Wie genau sind Sie zu dieser Risikobewertung gekommen?

Sie sollten sich damit befassen

  • Sie bauen ein ISMS auf oder streben eine ISO-27001-Zertifizierung an
  • NIS-2 oder DORA verlangen von Ihnen ein dokumentiertes Risikomanagement
  • Ihr Risikoregister existiert, wurde aber seit über einem Jahr nicht überarbeitet
  • In einem Audit wurde Ihre Bewertungsmethodik schon einmal bemängelt
  • Sie können nicht erklären, warum ein Risiko als „mittel“ statt „hoch“ eingestuft wurde

Eher nachrangig für Sie

  • Sie haben eine etablierte, dokumentierte Methodik, die im Audit standgehalten hat
  • Ihr Risikomanagement läuft bereits nach einem anderen anerkannten Rahmenwerk
  • Aber auch dann lohnt der Abgleich — die 27005 wurde zuletzt überarbeitet und denkt stärker in Szenarien als ältere Ansätze

Warum diese Seite hier steht: Risikomanagement ist der Punkt, an dem in Zertifizierungsaudits die meisten Feststellungen entstehen — nicht weil Unternehmen keine Risiken kennen, sondern weil die Bewertung nicht nachvollziehbar dokumentiert ist. Es ist zugleich die Stelle, an der sich Aufwand am schnellsten rechnet: Ein sauber aufgesetztes Risikomanagement bedient ISO 27001, NIS-2 und DORA gleichzeitig.

Was die Methodik ausmacht

Sechs Schritte, die aus Bauchgefühl
eine belegbare Bewertung machen

Die Leitlinie schreibt kein Werkzeug und keine Skala vor. Sie verlangt, dass Ihre Entscheidungen einem Dritten erklärbar sind — und das ist anspruchsvoller, als es klingt.

1
Kontext und Kriterien festlegen

Was soll geschützt werden, mit welchem Anspruch, und ab welcher Schwelle ist ein Risiko nicht mehr akzeptabel? Diese Festlegung trifft die Geschäftsführung — nicht die IT.

2
Risiken identifizieren

Über Werte, Bedrohungen und Schwachstellen — oder szenariobasiert. Beide Wege sind zulässig; der szenariobasierte liefert in der Praxis oft die brauchbareren Ergebnisse.

3
Analysieren und bewerten

Eintrittswahrscheinlichkeit und Auswirkung nach definierten Skalen, nicht nach Gefühl. Entscheidend ist, dass zwei Personen unabhängig voneinander zum selben Ergebnis kämen.

4
Behandlung entscheiden

Vermeiden, vermindern, übertragen oder akzeptieren. Jede Entscheidung braucht einen Verantwortlichen, einen Termin und eine Begründung — besonders die Akzeptanz.

5
Restrisiko freigeben lassen

Was nach der Behandlung übrig bleibt, muss die Leitung formal akzeptieren. Der Schritt, der in der Praxis am häufigsten fehlt — und im Audit sofort auffällt.

6
Überwachen und fortschreiben

Risiken ändern sich mit jedem neuen System und jedem neuen Dienstleister. Ohne festen Turnus und benannte Zuständigkeit ist das Register nach einem Jahr Fiktion.

Woran es in der Praxis scheitert

Drei Muster, die wir
immer wieder sehen

📋
 
Das eingefrorene Register

Unter Auditdruck einmal vollständig befüllt, danach nie wieder angefasst. Nach zwölf Monaten stehen dort Systeme, die es nicht mehr gibt — und die drei wichtigsten neuen Risiken fehlen.

🎲
 
Bewertung ohne Maßstab

Zahlen von eins bis fünf, aber niemand kann sagen, was eine Vier bedeutet. Der Auditor fragt genau das — und die Bewertung fällt als nicht nachvollziehbar durch, obwohl inhaltlich nichts falsch war.

🫥
 
Maßnahmen ohne Besitzer

Behandlungsentscheidungen ohne Namen und ohne Termin. Beim nächsten Audit steht dieselbe Maßnahme noch immer auf „geplant“ — was schlechter aussieht, als das Risiko bewusst akzeptiert zu haben.

So gehen wir vor

Von der Methodik
zum laufenden Prozess

Der Unterschied zwischen einem Register, das ein Audit übersteht, und einem, das danach einschläft, entsteht in den letzten beiden Schritten.

Woche 1
Kriterien mit der Leitung festlegen

Skalen, Akzeptanzschwelle, Zuständigkeiten. Eine Stunde mit der Geschäftsführung, die später jede Diskussion über Einstufungen erspart.

Woche 2–3
Werte und Prozesse erfassen

Was ist überhaupt schützenswert — Systeme, Daten, Prozesse, Dienstleister? Der zeitaufwendigste Teil, weil das Wissen im Haus verstreut liegt.

Woche 3–5
Risiken beurteilen

Identifikation, Analyse und Bewertung nach den festgelegten Kriterien — in Workshops mit den Fachbereichen statt am Schreibtisch.

Woche 5–7
Behandlung planen und freigeben

Maßnahmen mit Verantwortlichen und Terminen, Restrisiken dokumentiert und von der Leitung formal akzeptiert.

Ab Woche 8
In den Betrieb überführen

Das Register zieht in die Plattform, bekommt Termine und Erinnerungen. Ab hier pflegt es sich mit dem Tagesgeschäft statt gegen es.

Das bekommen Sie

Am Ende liegt etwas
auf dem Tisch — nicht nur ein Gefühl

Diese Unterlagen sind genau die, nach denen ein Auditor bei der Risikobeurteilung fragt.

RisikomethodikKriterien, Skalen, Akzeptanzschwelle und Vorgehen — das Dokument hinter jeder Bewertung
Werte- und ProzessübersichtWas geschützt werden soll, mit Schutzbedarf und Verantwortlichen
RisikoregisterVollständig beurteilt, in der Plattform statt in einer Tabelle
RisikomatrixDie Verteilung auf einen Blick — brauchbar für die Managementbewertung
BehandlungsplanMaßnahmen mit Verantwortlichen, Terminen und Status
Restrisiko-FreigabeProtokolliert und von der Leitung akzeptiert — der Schritt, der meist fehlt
ÜberwachungsplanTurnus, Auslöser und Zuständigkeiten für die Fortschreibung
Anschluss an ISO 27001Verknüpfung zur Erklärung zur Anwendbarkeit, damit beides zusammenpasst
Was wir geleistet haben

Erfahrung, die sich
nachrechnen lässt

XXRisikomanagement-Systeme aufgebaut
XXXRisiken beurteilt und behandelt
X Wochenim Schnitt bis zur ersten vollständigen Beurteilung
  • Risikomethodiken entwickelt, die im Zertifizierungsaudit standgehalten haben
  • Eingeschlafene Register reaktiviert, statt sie von vorne aufzubauen
  • Bewertungsskalen so definiert, dass Fachbereiche sie ohne Schulung anwenden können
  • Restrisiko-Freigaben eingeführt, wo vorher niemand formal entschieden hat
  • Risikomanagement an ISO 27001, NIS-2 und DORA gleichzeitig angeschlossen

Platzhalter: Die drei Kennzahlen oben sind noch nicht belegt. Vor dem Livegang durch echte Werte ersetzen — oder den Zahlenblock entfernen und nur die Liste stehen lassen. Markierung entfernen: class="todo" im Quelltext löschen.

FAQ

Häufige Fragen zu ISO 27005

Kann man sich nach ISO 27005 zertifizieren lassen?
Nein. ISO/IEC 27005 ist eine Leitlinie, kein Anforderungsstandard — es gibt kein Zertifikat und keine Prüfstelle. Zertifiziert wird nach ISO 27001. Die 27005 beschreibt, wie man die dort geforderte Risikobeurteilung methodisch sauber durchführt. Wer sie befolgt, besteht das Audit an genau der Stelle leichter, an der die meisten Feststellungen entstehen.
Wir haben doch schon ein Risikoregister. Reicht das nicht?
Ein Register ist die Ausgabe, nicht die Methode. Auditoren fragen nicht, ob es existiert, sondern wie Sie zu den Bewertungen gekommen sind: Welche Kriterien, welche Skalen, welche Akzeptanzschwelle, wer entscheidet über die Behandlung. Wenn diese Fragen nicht beantwortbar sind, hilft das schönste Register nichts — dann gilt die Bewertung als nicht nachvollziehbar.
Wie hängt ISO 27005 mit ISO 27001 zusammen?
ISO 27001 verlangt in den Kapiteln 6 und 8 eine Risikobeurteilung und -behandlung, schreibt aber nicht vor, wie sie auszusehen hat. Genau diese Lücke füllt die 27005: Sie liefert das Vorgehen, die Kriterien und die Struktur. Die 27001 sagt, dass Sie Risiken managen müssen — die 27005 sagt, wie.
Brauchen wir das auch für NIS-2 oder DORA?
Beide verlangen ein dokumentiertes Risikomanagement, ohne eine Methode vorzuschreiben. Wer nach ISO 27005 arbeitet, erfüllt diese Anforderung mit demselben System — statt für jedes Regelwerk ein eigenes Verfahren aufzusetzen. Das ist einer der Gründe, warum sich ein sauber aufgebautes Risikomanagement mehrfach auszahlt.
Wie lange dauert der Aufbau?
Für die Methodik samt erster vollständiger Beurteilung typischerweise sechs bis zehn Wochen. Der zeitaufwendigste Teil ist nicht die Bewertung, sondern das Zusammentragen der Werte und Prozesse, die überhaupt geschützt werden sollen. Danach ist der laufende Aufwand gering, sofern das Register in einem Werkzeug und nicht in einer Tabelle lebt.
Warum scheitern Risikoregister so oft nach dem ersten Jahr?
Weil sie als Projekt behandelt werden und nicht als Prozess. Die Erstbefüllung passiert unter Auditdruck, danach fühlt sich niemand zuständig. Ohne feste Termine, benannte Verantwortliche und ein Werkzeug, das erinnert, ist das Register nach zwölf Monaten Fiktion. Genau deshalb koppeln wir es an die Plattform statt an eine Datei.
Immer noch unsicher?

Klären Sie es
in 60 Sekunden

Kostenlos starten

Schauen wir uns Ihr
Risikoregister gemeinsam an

In 30 Minuten sehen Sie, ob Ihre Methodik einem Audit standhält, wo die Lücken sind und was zuerst dran ist. Ohne Fachchinesisch, ohne Verkaufsdruck.