Verbindlichkeitsregel: Eine Abweichung von einer Sicherheitsvorgabe ist nur zulässig, wenn sie vorab beantragt, risikobasiert bewertet, durch eine befugte Stelle genehmigt, befristet, überwacht und nachvollziehbar dokumentiert wurde. Eine Genehmigung ersetzt weder gesetzliche noch vertragliche Pflichten.
TISAX-Regel: Eine Ausnahme oder Risikoakzeptanz macht keine der 46 Informationssicherheitsfragen des ISA-Reiters „Informationssicherheit“ individuell „nicht anwendbar“. Eine bestehende Lücke wird mit ihrem tatsächlichen Reifegrad und den zugehörigen Risiken, Maßnahmen und Nachweisen bewertet.
Beispieldokument: Rollen, Schwellenwerte, Fristen und Akzeptanzbefugnisse sind Musterwerte für die fiktive „Muster GmbH“. Sie müssen vor der Freigabe an die tatsächliche Organisation, Risikotragfähigkeit sowie Rechts-, Vertrags- und Kundenanforderungen angepasst werden.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-MA-02-02 |
| Dokumentenart | Verfahren und Register für Ausnahmen und Risikoakzeptanzen |
| Wiki.js-Pfad | /ISMS/02-Risiken-und-Compliance/Ausnahmen-und-Risikoakzeptanzen |
| Verantwortlich | ISMS-Beauftragte/r |
| Fachlich geprüft durch | Risikoeigentümer/innen, Compliance, Datenschutz, IT-Leitung und betroffene Prozessverantwortliche |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Befugnisse und Workflow noch nicht operationalisiert |
| Version | 0.1 |
| Stand | 23.07.2026 |
| Gültig ab | Nach Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Vertraulich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 6.1.2, 6.1.3, 8.2, 8.3, 9.1 und 10 sowie betroffene Annex-A-Maßnahmen |
| VDA-ISA-Bezug | ISA 6.0.3, insbesondere Kapitel 1.4 sowie die jeweils betroffenen Kontrollfragen |
Dieses Verfahren regelt:
Ziel ist, notwendige Entscheidungen transparent zu treffen, ohne Sicherheitslücken, Pflichten oder Restrisiken zu verdecken.
Das Verfahren gilt für alle Organisationseinheiten, Informationen, Prozesse, Assets, Standorte, Projekte und Dienstleister innerhalb des festgelegten ISMS-Geltungsbereichs.
Es ist insbesondere anzuwenden bei:
| Begriff | Bedeutung | Ergebnis |
|---|---|---|
| Ausnahme | Befristete Genehmigung, von einer konkreten internen Vorgabe unter definierten Bedingungen abzuweichen | Ausnahmeentscheidung mit Ablaufdatum |
| Risikoakzeptanz | Dokumentierte Entscheidung einer befugten Stelle, ein bewertetes Restrisiko innerhalb festgelegter Grenzen zu tragen | Akzeptanzentscheidung mit Review |
| Kompensierende Maßnahme | Alternative Kontrolle, die Wahrscheinlichkeit oder Auswirkung während der Ausnahme begrenzt | Umsetzungs- und Wirksamkeitsnachweis |
| Abweichung | Festgestellte Nichterfüllung einer Vorgabe; noch keine Genehmigung | Bewertung, Korrektur oder Ausnahmeantrag |
| Korrekturmaßnahme | Maßnahme zur Beseitigung einer Ursache und zur Vermeidung des Wiederauftretens | Umsetzung und Wirksamkeitsprüfung |
| SoA-Nichtanwendbarkeit | Begründete Entscheidung, dass eine ISO-Annex-A-Maßnahme für den festgelegten Scope nicht erforderlich ist | SoA-Entscheidung, keine Ausnahme |
| Notentscheidung | Befristete Entscheidung in einer dringenden Situation, wenn der reguläre Ablauf nicht rechtzeitig möglich ist | Nachprüfung im festgelegten Kurzfristtermin |
Eine Ausnahme und eine Risikoakzeptanz können gemeinsam erforderlich sein: Die Ausnahme erlaubt die befristete Abweichung von einer Vorgabe; die Risikoakzeptanz betrifft das daraus verbleibende Restrisiko.
Eine Ausnahme oder Risikoakzeptanz darf nicht verwendet werden, um:
Ist die Zulässigkeit unklar, wird vor einer Entscheidung Compliance, Recht, Datenschutz oder die zuständige Kundenfunktion beteiligt.
| Rolle | Verantwortung |
|---|---|
| Antragsteller/in | Bedarf, Umfang, Dauer und Begründung vollständig beschreiben |
| Risikoeigentümer/in | Risiko bewerten, Behandlung vorschlagen, Bedingungen überwachen und Restrisiko verantworten |
| Maßnahmenverantwortliche/r | Kompensierende oder dauerhafte Maßnahmen umsetzen und nachweisen |
| Information-/Asset Owner | Schutzbedarf, fachliche Auswirkungen und zulässige Nutzung bewerten |
| ISMS-Beauftragte/r | Verfahren koordinieren, Vollständigkeit prüfen, Register führen, Fristen überwachen und berichten |
| IT-Leitung | Technische Auswirkungen, Machbarkeit, Abhängigkeiten und Überwachung bewerten |
| Compliance/Recht | Gesetzliche, regulatorische, vertragliche und Kundenanforderungen prüfen |
| Datenschutz | Auswirkungen auf personenbezogene Daten und Datenschutzpflichten prüfen |
| TISAX-Koordination | Auswirkungen auf Kontrollfragen, Reifegrad, Assessment Scope und Nachweise bewerten |
| Freigabestelle | Entscheidung innerhalb der festgelegten Befugnis treffen und Bedingungen festlegen |
| Interne Revision/Audit | Verfahren, Entscheidungen, Nachweise und Wirksamkeit unabhängig prüfen |
| Geschäftsführung | Kriterien und Befugnisse freigeben; hohe und kritische Fälle entscheiden und Gesamtrisiko überwachen |
Die folgende Matrix übernimmt die Musterwerte der Methodik der Risikobewertung. Sie wird nicht separat verändert. Abweichungen zwischen beiden Seiten sind vor einer Freigabe zu beseitigen.
| Restrisikoklasse | Akzeptanzbefugnis | Maximale Gültigkeit | Mindestanforderung |
|---|---|---|---|
| Niedrig | Risikoeigentümer/in | Bis zur nächsten Regelprüfung | Begründung im Risikoregister |
| Mittel | Bereichsleitung und Risikoeigentümer/in | Höchstens zwölf Monate | Begründung, vorhandene Maßnahmen und Prüftermin |
| Hoch | Geschäftsführung nach Stellungnahme des ISMS | Höchstens sechs Monate | Behandlungsplan, Ersatzmaßnahmen und engmaschige Überwachung |
| Kritisch | Keine reguläre Dauerakzeptanz | Nur befristete Notentscheidung durch Geschäftsführung | Soforteskalation, Notmaßnahmen, dokumentierte Entscheidung und kurzfristige Neubewertung |
Die tatsächlichen Befugnisse, Stellvertretungen und Wertgrenzen sind vor Inkraftsetzung durch die Geschäftsführung zu bestätigen.
| Feld | Inhalt |
|---|---|
| Ausnahme-/Akzeptanz-ID | Eindeutige Kennzeichnung, beispielsweise AUS-2026-001 |
| Antragsteller/in | Name oder Rolle und Organisationseinheit |
| Risikoeigentümer/in | Verantwortliche und entscheidungsfähige Rolle |
| Betroffene Vorgabe | Dokumenten-ID, Abschnitt, Control oder Anforderung |
| Anlass und Begründung | Warum die Vorgabe aktuell nicht oder nicht vollständig erfüllt wird |
| Geltungsbereich | Assets, Prozesse, Systeme, Standorte, Personen, Lieferanten und Informationen |
| Beginn und Ende | Gewünschter Zeitraum; keine offene Dauer |
| Risiko-ID | Verknüpfung zum Risikoregister |
| Restrisikobewertung | Wahrscheinlichkeit, Auswirkung, Wert, Klasse und Begründung |
| Bestehende Maßnahmen | Nachgewiesen wirksame Kontrollen |
| Kompensierende Maßnahmen | Zusätzliche Kontrollen, Owner, Termine und Nachweise |
| Dauerhafte Lösung | Zielzustand, Maßnahmen-ID, Ressourcen und Termin |
| Anforderungen | Rechts-, Vertrags-, Kunden-, Datenschutz-, SoA- und ISA-Bezüge |
| Überwachung | Kennzahlen, Kontrollen, Frequenz und Eskalationsschwellen |
| Rückfall-/Beendigungsplan | Vorgehen bei Verschlechterung, Vorfall, Ablauf oder Widerruf |
| Entscheidung | Genehmigt, abgelehnt oder zur Überarbeitung |
| Entscheidende Rolle | Name/Rolle, Datum, Bedingungen und Gültigkeit |
Bedarf oder Abweichung erkannt
↓
Antrag vollständig erfassen
↓
Risiko und Anforderungen bewerten
↓
Kompensierende und dauerhafte Maßnahmen festlegen
↓
Fach-, Compliance-, Datenschutz- und TISAX-Prüfung
↓
Befugte Entscheidung
↓
Register, Risikoregister, SoA und Maßnahmenplan aktualisieren
↓
Überwachen und vor Ablauf neu bewerten
↓
Beenden, widerrufen oder neu entscheiden
Das ISMS prüft vor der Weiterleitung:
Unvollständige Anträge erhalten den Status „Zur Überarbeitung“ und gelten nicht als genehmigt.
Die Bewertung erfolgt nach der Methodik der Risikobewertung. Mindestens zu bewerten sind:
Das Restrisiko wird nicht durch einen pauschalen Abschlag berechnet. Wahrscheinlichkeit und Auswirkung werden unter Berücksichtigung nachgewiesen wirksamer Maßnahmen neu begründet.
Vor der Genehmigung werden mindestens geprüft:
| Prüfbereich | Leitfrage | Ergebnis |
|---|---|---|
| Gesetz/Behörde | Ist die Abweichung rechtlich zulässig und bleiben Pflichten erfüllt? | dokumentierte Bewertung |
| Vertrag/Kunde | Ist Zustimmung erforderlich oder wird eine zugesagte Kontrolle verletzt? | Zustimmung oder Ablehnung |
| Datenschutz | Ändert sich ein Risiko für betroffene Personen oder eine Schutzmaßnahme? | Datenschutzbewertung |
| Arbeits-/Mitbestimmung | Sind Beschäftigte, Überwachung oder Beteiligungsrechte betroffen? | Beteiligungsnachweis |
| Versicherung | Werden Obliegenheiten oder Deckungsvoraussetzungen berührt? | Versicherungsbewertung |
| ISO/SoA | Welche Annex-A-Maßnahme und welcher SoA-Status sind betroffen? | aktualisierte Verknüpfung |
| TISAX/ISA | Welche Kontrollfrage, welcher Reifegrad und welche Nachweise sind betroffen? | aktualisierte Bewertung |
Fehlt eine erforderliche Zustimmung, darf die Ausnahme nicht genehmigt werden.
Kompensierende Maßnahmen müssen:
Mögliche Maßnahmen sind beispielsweise:
Eine geplante Maßnahme ohne Umsetzungs- und Wirksamkeitsnachweis senkt das Restrisiko nicht.
| Entscheidung | Bedeutung |
|---|---|
| Genehmigt | Ausnahme beziehungsweise Risikoakzeptanz gilt innerhalb des festgelegten Umfangs, Zeitraums und der Bedingungen |
| Genehmigt mit Auflagen | Gültigkeit setzt fristgerechte Umsetzung und laufende Einhaltung der Bedingungen voraus |
| Zur Überarbeitung | Angaben, Bewertung oder Maßnahmen reichen für eine Entscheidung nicht aus |
| Abgelehnt | Risiko, Pflichtverletzung oder fehlende Kontrolle ist nicht vertretbar |
| Widerrufen | Voraussetzungen oder Bedingungen sind entfallen beziehungsweise verletzt |
| Abgelaufen | Gültigkeitsende erreicht; keine automatische Fortgeltung |
| Geschlossen | Ausnahme beendet, Zielzustand hergestellt und Abschluss geprüft |
Die Entscheidung muss eindeutig mit der bewerteten Version des Antrags verknüpft sein. Nachträgliche Änderungen an Umfang, Risiko, Bedingungen oder Laufzeit erfordern eine erneute Entscheidung.
Eine Genehmigung wird erst wirksam, wenn:
Ein Wiki.js-Status, eine Checkbox oder die Veröffentlichung der Seite ersetzt keinen signierten oder systemseitig nachvollziehbaren Entscheidungsnachweis.
Ist eine vorherige Regelentscheidung wegen einer akuten Betriebs-, Sicherheits- oder Notfallsituation nicht möglich:
Notentscheidungen dürfen nicht zur Umgehung des regulären Verfahrens genutzt werden. Kritische Risiken dürfen nur nach der in Abschnitt 7 beschriebenen Notentscheidungslogik behandelt werden.
Für jede genehmigte Ausnahme werden festgelegt:
Hohe Risiken werden mindestens monatlich, kritische Notentscheidungen in einem ausdrücklich festgelegten kürzeren Intervall überwacht. Die tatsächliche Frequenz richtet sich nach Risiko und Veränderungsgeschwindigkeit.
Eine sofortige Neubewertung ist insbesondere erforderlich bei:
Bis zur Entscheidung können zusätzliche Sofortmaßnahmen oder eine Aussetzung der betroffenen Tätigkeit erforderlich sein.
Eine Verlängerung ist ein neuer Entscheid und muss vor Ablauf beantragt werden. Erforderlich sind:
Wiederholte Verlängerungen lösen eine Ursachenanalyse und Managementeskalation aus. Eine Serie kurzfristiger Verlängerungen darf keine faktisch unbefristete Ausnahme erzeugen.
Eine Ausnahme endet:
Nach Ende werden:
| Status | Bedeutung |
|---|---|
| Entwurf | Antrag wird erstellt; keine Genehmigung |
| In Prüfung | Fach- und Risikoprüfung läuft; keine Genehmigung |
| Zur Überarbeitung | Pflichtangaben oder Kontrollen reichen nicht aus |
| Genehmigt | Entscheidung ist gültig und Bedingungen sind erfüllt |
| Genehmigt mit Auflagen | Entscheidung gilt nur unter dokumentierten Bedingungen |
| Abgelehnt | Antrag wurde nicht genehmigt |
| Widerrufen | Genehmigung wurde vorzeitig aufgehoben |
| Abgelaufen | Gültigkeit endete ohne rechtzeitige neue Entscheidung |
| Geschlossen | Ausnahme wurde kontrolliert beendet und Abschluss geprüft |
„Beantragt“, „In Prüfung“ oder „Zur Überarbeitung“ berechtigt nicht zur Abweichung.
Der folgende Eintrag ist eine Ausfüllvorlage und keine genehmigte Ausnahme oder Risikoakzeptanz.
| ID | Typ | Vorgabe/Risiko-ID | Scope | Restrisiko | Owner | Entscheidung | Gültig bis | Auflagen/Maßnahmen | Nächster Review |
|---|---|---|---|---|---|---|---|---|---|
[AUS-JJJJ-NNN] |
[Ausnahme/Akzeptanz] |
[Dokument/Abschnitt und RIS-ID] |
[System/Prozess/Standort] |
[Wert und Klasse] |
[Rolle] |
Entwurf | [Datum] |
[Maßnahme und Nachweis] |
[Datum] |
| ID | Bewertete Version | Entscheidung durch | Rolle/Befugnis | Entscheidung am | Bedingungen | Nachweisreferenz |
|---|---|---|---|---|---|---|
[AUS-JJJJ-NNN] |
[Version] |
[Name] |
[Rolle] |
[Datum/Uhrzeit] |
[Bedingungen] |
[geschützter Pfad/Ticket] |
Die Vorlagenzeilen sind vor produktiver Nutzung zu ersetzen. Ein ausgefüllter Registereintrag ohne prüfbaren Entscheidungsnachweis ist keine gültige Genehmigung.
Jede Ausnahme beziehungsweise Akzeptanz wird mit mindestens einer Risiko-ID verknüpft. Im Risikoregister werden aktualisiert:
Der Status „Akzeptiert“ darf erst gesetzt werden, wenn eine gültige formale Entscheidung vorliegt.
Erforderliche kompensierende und dauerhafte Maßnahmen werden im Risikobehandlungsplan mit Owner, Ressourcen, Termin, Status und Wirksamkeitsnachweis geführt.
Eine Risikoakzeptanz:
Im Statement of Applicability wird die grundsätzliche Erforderlichkeit der 93 Annex-A-Maßnahmen für den festgelegten Scope bewertet.
Dabei gilt:
Für die VDA-ISA-Selbsteinschätzung gilt:
Zusätzliche Fragen zu Prototypenschutz und Datenschutz werden entsprechend den bestätigten Bewertungszielen behandelt.
Das ISMS prüft regelmäßig:
Einzeln vertretbare Ausnahmen können zusammen ein hohes oder kritisches Gesamtrisiko bilden. Dieses Gesamtrisiko wird separat bewertet und an die zuständige Stelle eskaliert.
Genehmigte Ausnahmen werden nur den Rollen zugänglich gemacht, die sie kennen oder umsetzen müssen. Dabei gelten Informationsklassifizierung, Need-to-know und Datenschutz.
Mindestens zu informieren sind:
Technische Schwachstellendetails, Angriffspfade, Zugangsdaten und personenbezogene Inhalte werden in einer geschützten Ablage geführt und im Wiki nur referenziert.
| Nachweis | Mindestinhalt |
|---|---|
| Antrag | Anlass, Vorgabe, Scope, Dauer, Owner und Risiko-ID |
| Risikobewertung | Annahmen, Quellen, Brutto-/Restrisiko und Unsicherheiten |
| Pflichtenprüfung | Recht, Vertrag, Kunde, Datenschutz, SoA und ISA |
| Maßnahmenbeleg | Umsetzung und Wirkung kompensierender Kontrollen |
| Entscheidung | bewertete Version, befugte Rolle, Datum, Laufzeit und Bedingungen |
| Kommunikation | Empfänger, Inhalt, Datum und erforderliche Bestätigungen |
| Monitoring | Kontrollergebnis, Abweichung, Eskalation und Folgemaßnahme |
| Verlängerung | neue Bewertung, Fortschritt, Begründung und Entscheidung |
| Abschluss | Rücknahme, Zielzustand, Restrisiko, Wirksamkeit und Abschlussfreigabe |
Planungen, Selbstauskünfte oder ausgefüllte Kontrollkästchen sind allein keine Wirksamkeitsnachweise.
| Kennzahl | Zweck |
|---|---|
| Anzahl offener und genehmigter Ausnahmen nach Risikoklasse | Risikobelastung erkennen |
| Anteil fristgerecht überprüfter Ausnahmen | Steuerungsdisziplin messen |
| Anzahl abgelaufener, aber nicht geschlossener Entscheidungen | unzulässige Fortgeltung erkennen |
| Anzahl und Dauer von Verlängerungen | strukturelle Verzögerungen erkennen |
| Anteil mit wirksamen kompensierenden Maßnahmen | Schutzwirkung bewerten |
| Anzahl gleichartiger Ausnahmen je Vorgabe/System | systemische Ursachen erkennen |
| Überfällige dauerhafte Maßnahmen | Behandlungsfortschritt steuern |
| Vorfälle mit Bezug zu einer Ausnahme | Angemessenheit der Entscheidung bewerten |
Zielwerte und Berichtsturnus werden nach Einführung des Verfahrens durch die Geschäftsführung freigegeben. Dieses Muster behauptet keine erreichten Kennzahlen.
Interne Audits prüfen stichprobenartig:
Feststellungen werden unter Abweichungen und Korrekturmaßnahmen bearbeitet.
| Thema | Dokument |
|---|---|
| Bewertungsmethodik | Methodik der Risikobewertung |
| Risiken | Risikoregister |
| Behandlung | Risikobehandlungsplan |
| ISO-Anwendbarkeit | Statement of Applicability |
| Pflichten | Rechts- und Vertragskataster |
| TISAX-Bewertung | VDA-ISA-Selbsteinschätzung |
| TISAX-Maßnahmen | Maßnahmenplan und Reifegrad |
| Dokumentenstatus | Lesehilfe und Dokumentenstatus |
| Dokumentenlenkung | Dokumentenlenkung |
| Auditabweichungen | Abweichungen und Korrekturmaßnahmen |
| Managemententscheidungen | Managementbewertung |
| Prüffrage | Status Entwurf |
|---|---|
| Sind Akzeptanzbefugnisse und Stellvertretungen freigegeben? | Nein |
| Sind Risikoklassen und Fristen mit der Risikomethodik konsistent? | Methodisch übernommen; Freigabe ausstehend |
| Ist ein geschütztes Register mit eindeutigen IDs eingerichtet? | Nein |
| Ist der Antrags-, Prüf-, Entscheidungs- und Eskalationsworkflow eingerichtet? | Nein |
| Sind formale Entscheidungsnachweise versionseindeutig geregelt? | Nein |
| Sind Rechts-, Vertrags-, Kunden- und Datenschutzprüfungen operationalisiert? | Nein |
| Sind TISAX- und SoA-Abgrenzung organisatorisch verstanden? | Nein |
| Sind Erinnerungen vor Ablauf und Kontrollen nach Ablauf eingerichtet? | Nein |
| Sind Notentscheidungen und kurzfristige Nachprüfung geregelt? | Nein |
| Sind Reporting, Stichproben und Auditprüfung eingerichtet? | Nein |
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 23.07.2026 | Musterverfahren für Ausnahmen und Risikoakzeptanzen erstellt | ISMS-Beauftragte/r | Ausstehend | – |
Für dieses Beispiel wird der dokumentierte Arbeitsstand ISA 6.0.3 verwendet. Vor der praktischen Einführung sind die tatsächlich anzuwendende ISA-Version, der Assessment Scope, die Akzeptanzbefugnisse sowie alle Rechts-, Vertrags- und Kundenanforderungen zu bestätigen.