Eine Cyberrisikoanalyse liegt als PDF im Projektordner, offene Massnahmen stehen in Excel und der aktuelle Status ist nur einzelnen Mitarbeitenden bekannt. Spätestens bei einer Revision, einem Audit oder einem Sicherheitsvorfall wird daraus eine unangenehme Frage: Wann ist ein Risikoregister verpflichtend? Die kurze Antwort lautet: Nicht jede Schweizer Organisation braucht aufgrund eines einzelnen Gesetzes zwingend ein Dokument mit der Überschrift „Risikoregister“. In vielen Fällen ist ein zentral geführtes, nachvollziehbares Register jedoch die praktisch notwendige Form, um gesetzliche, regulatorische, vertragliche oder normative Pflichten belastbar zu erfüllen.

Entscheidend ist deshalb nicht allein, ob ein Risikoregister ausdrücklich genannt wird. Entscheidend ist, ob Ihre Organisation Risiken systematisch erkennen, bewerten, behandeln und gegenüber Management, Aufsicht oder Prüfern nachweisen muss. Gerade für Cyber- und Informationssicherheit schafft ein sauber geführtes Register volle Kontrolle über offene Risiken, Verantwortlichkeiten und Fristen.

Wann ist ein Risikoregister verpflichtend?

Eine allgemeingültige Pflicht für alle Unternehmen in der Schweiz gibt es nicht. Die Verpflichtung ergibt sich vielmehr aus dem Kontext Ihrer Organisation. Je stärker Sie reguliert sind, je sensibler die bearbeiteten Daten und je höher die Abhängigkeit von IT-Systemen ist, desto eher wird eine dokumentierte Risikosteuerung erwartet oder verbindlich verlangt.

In der Praxis entsteht die Pflicht typischerweise auf vier Wegen: durch sektorale Regulierung, durch einen gewählten Standard oder eine Zertifizierung, durch Vertragsanforderungen sowie durch interne Governance-Vorgaben. Auch ohne ausdrückliche Formulierung „Risikoregister“ verlangen diese Vorgaben meist einen dokumentierten Nachweis über Risikobewertung und Risikobehandlung.

Gesetzliche und regulatorische Anforderungen

Für Finanzinstitute, Versicherungen, Gesundheitseinrichtungen, Energieversorger, öffentliche Verwaltungen oder Betreiber kritischer Dienstleistungen gelten häufig weitergehende Anforderungen an das Risiko- und Kontrollmanagement. Die zuständigen Aufsichtsbehörden, kantonalen Vorgaben oder branchenspezifischen Regelwerke können eine nachvollziehbare Risikobeurteilung voraussetzen. Ein Risikoregister ist dann der naheliegende Nachweis, weil es Risiken, Bewertungen, Massnahmen und Entscheidungen an einem Ort zusammenführt.

Auch das Schweizer Datenschutzrecht schreibt nicht pauschal ein Risikoregister vor. Es verlangt aber angemessene technische und organisatorische Massnahmen, die sich am Risiko für die Persönlichkeit und die Grundrechte betroffener Personen orientieren. Bei besonders schützenswerten Personendaten, umfangreichen Datenbearbeitungen oder hohen Auswirkungen eines Vorfalls müssen Organisationen ihre Einschätzungen fundiert begründen können. Ein strukturiertes Register schafft dafür die notwendige Dokumentation.

ISO 27001 und andere Sicherheitsstandards

Wer ein Informationssicherheits-Managementsystem nach ISO 27001 betreibt oder eine Zertifizierung anstrebt, kommt an einem dokumentierten Risikoprozess nicht vorbei. Die Norm verlangt, Informationssicherheitsrisiken anhand definierter Kriterien zu identifizieren, zu analysieren, zu bewerten und zu behandeln. Sie fordert nicht zwingend eine bestimmte Datei oder Tabellenstruktur. Doch ohne ein aktuelles Risikoregister lässt sich kaum revisionssicher belegen, wie Entscheidungen zustande gekommen sind und ob Massnahmen wirksam nachverfolgt werden.

Ähnlich ist es beim IKT-Minimalstandard, bei NIST-orientierten Anforderungen oder beim Cyber Security Basis Check. Diese Rahmenwerke verlangen je nach Reifegrad eine risikobasierte Steuerung. Ein Assessment zeigt dabei den Ist-Zustand und identifiziert Lücken. Das Risikoregister übersetzt diese Lücken in steuerbare Einträge: Was kann passieren, wie gross ist die Auswirkung, wer ist verantwortlich und bis wann wird das Risiko reduziert oder akzeptiert?

Verträge, Kundenanforderungen und interne Richtlinien

Viele KMU begegnen der faktischen Verpflichtung nicht durch ein Gesetz, sondern durch Kunden. Ausschreibungen, Lieferantenfragebögen und Verträge verlangen zunehmend Nachweise zur Informationssicherheit, zum Datenschutz und zur Business Continuity. Wer nachweisen muss, dass Cyberrisiken laufend bewertet und behandelt werden, benötigt belastbare Unterlagen. Einzelne E-Mails oder verstreute Excel-Dateien genügen dafür selten.

Auch Verwaltungsräte, Geschäftsleitungen oder interne Kontrollsysteme können eine formalisierte Risikoberichterstattung verlangen. Das ist sinnvoll, wenn Risiken mehrere Abteilungen betreffen, Investitionen auslösen oder die Geschäftstätigkeit gefährden können. Ein Register sorgt dafür, dass Risiken nicht nur technisch beurteilt, sondern auch auf Managementebene entschieden werden.

Nicht jede Risikoliste erfüllt ihren Zweck

Ein Risikoregister ist mehr als eine Liste möglicher Gefahren. Damit es bei Audits, Kontrollen und im operativen Alltag funktioniert, braucht jeder Eintrag eine klare Struktur. Dazu gehören eine verständliche Risikobeschreibung, Ursache und mögliche Auswirkung, Eintrittswahrscheinlichkeit, Schadenshöhe, bestehende Kontrollen, die geplante Behandlung sowie eine verantwortliche Person.

Ebenso wichtig ist die Entscheidung über den Umgang mit dem Risiko. Soll es reduziert, vermieden, übertragen oder bewusst akzeptiert werden? Bei einer Risikoakzeptanz sollte ersichtlich sein, wer diese Entscheidung mit welchem Restrisiko freigegeben hat. Gerade diese Managemententscheide werden in dezentralen Listen oft nicht dokumentiert. Die Folge: Das operative Team arbeitet an Massnahmen, während der Geschäftsleitung eine konsolidierte Sicht auf kritische Risiken fehlt.

Ein weiterer Schwachpunkt ist die Aktualität. Ein Register wird nicht dadurch revisionssicher, dass es einmal sorgfältig erstellt wurde. Neue Systeme, Lieferanten, Bedrohungen, Datenschutzanforderungen oder Erkenntnisse aus Vorfällen verändern die Risikolage. Deshalb braucht es feste Auslöser für Überprüfungen, etwa nach wesentlichen Änderungen, mindestens periodisch oder nach einem Security Incident.

Vom Assessment zum steuerbaren Risiko

Der effizienteste Weg führt nicht über die manuelle Übertragung von Befunden zwischen verschiedenen Dokumenten. Ausgangspunkt ist eine strukturierte Bewertung des Sicherheitsstatus. Dabei werden Anforderungen aus dem für die Organisation relevanten Framework geprüft und fehlende oder ungenügend umgesetzte Kontrollen sichtbar gemacht.

Nicht jede Lücke ist automatisch ein kritisches Risiko. Fehlt etwa eine technische Massnahme, hängt die Risikobewertung davon ab, welche Systeme betroffen sind, welche Daten verarbeitet werden, welche Schutzmassnahmen bereits bestehen und welche Folgen ein Angriff hätte. Diese Einordnung verhindert zwei typische Fehler: eine überfüllte Risikoliste ohne Priorisierung und unterschätzte Risiken in geschäftskritischen Bereichen.

Aus bewerteten Lücken sollten konkrete Massnahmen entstehen. Eine Massnahme braucht einen Eigentümer, einen Termin, einen Status und eine nachvollziehbare Verbindung zum zugrunde liegenden Risiko. So wird aus der Sicherheitsanalyse ein umsetzbarer Steuerungsprozess. Managementberichte können dann nicht nur die Anzahl offener Risiken zeigen, sondern auch Fortschritt, Fristüberschreitungen und den erwarteten Rückgang des Restrisikos.

Eine Plattform wie SCMC unterstützt diesen Ablauf, indem sie Assessments, Auswertungen, Massnahmen und Risiken in einem durchgängigen Prozess verbindet. Das reduziert Medienbrüche und erleichtert die revisionssichere Dokumentation, ohne dass ein Team seine Risikosteuerung in komplexen GRC-Systemen abbilden muss.

Was bei kleineren Organisationen angemessen ist

Für ein kleines Unternehmen mit überschaubarer IT-Landschaft muss ein Risikoregister nicht umfangreich sein. Entscheidend ist die Angemessenheit. Zehn präzise bewertete und aktiv gesteuerte Risiken sind wertvoller als hundert allgemeine Einträge ohne Verantwortlichkeit. Die Dokumentation soll die tatsächliche Risikosituation abbilden und nicht nur eine formale Anforderung erfüllen.

Gleichzeitig ist „klein“ kein Freipass. Ein KMU kann von E-Mail, Cloud-Diensten, digitalen Kundendaten und wenigen zentralen Anwendungen stark abhängig sein. Ein erfolgreicher Phishing-Angriff, ein Ausfall des ERP oder ein kompromittiertes Administratorkonto kann den Betrieb erheblich beeinträchtigen. Gerade dort hilft ein schlankes Register, Prioritäten sichtbar zu machen und begrenzte Ressourcen auf die wirksamsten Massnahmen zu konzentrieren.

Risikoregister als Nachweis und Führungsinstrument

Ob ein Risikoregister verpflichtend ist, lässt sich nur anhand der geltenden Vorgaben, Verträge und des eigenen Risikoprofils beantworten. Bei Unsicherheit zu konkreten gesetzlichen Pflichten ist eine rechtliche oder regulatorische Einordnung sinnvoll. Operativ gilt jedoch: Sobald Risiken dokumentiert, Verantwortlichkeiten zugewiesen und Massnahmen nachverfolgt werden müssen, ist ein zentral geführtes Register die verlässlichste Grundlage.

Der grösste Nutzen entsteht, wenn das Register nicht erst für den nächsten Auditor aktualisiert wird. Wer Risiken laufend aus Assessments ableitet, Entscheidungen dokumentiert und Massnahmen konsequent verfolgt, schafft Transparenz für das Management und verbessert die Informationssicherheit dort, wo sie im Alltag zählt.