Vorlage für ein Risikoregister: kostenlose Vorlage für ISO 14971, ISO 27001 und NIS2
Ein Risikoregister wird zweimal gelesen: einmal, wenn Sie ein Risiko bewerten, und noch einmal, wenn ein Auditor fragt, wie Sie entschieden haben, dass es akzeptabel ist. Diese kostenlose Vorlage für ein Risikoregister hält beides an einem Ort: eine 5 × 5-Bewertung vor und nach der Behandlung, vorab festgelegte Akzeptanzkriterien, die Behandlungsmaßnahmen und das Datum der nächsten Überprüfung.
Risikoregister: [Produkt, Projekt oder Geltungsbereich]
Rahmenwerk: [ISO 14971 / ISO/IEC 27001 / NIS2 Artikel 21 / anderes] · Methode: [Risikomanagementplan oder Verfahren, Version] · Verantwortlich für das Register: [Name] · Freigegeben von: [Name, Datum]
1. Bewertungsskalen (5 × 5)
| Wert | Wahrscheinlichkeit (W) | Schweregrad (S) |
|---|---|---|
| 1 | Selten: [Ihre Definition, z. B. seltener als einmal in 10 Jahren] | Vernachlässigbar: [Ihre Definition] |
| 2 | Unwahrscheinlich: [Definition] | Gering: [Definition] |
| 3 | Möglich: [Definition] | Mittel: [Definition] |
| 4 | Wahrscheinlich: [Definition] | Schwer: [Definition] |
| 5 | Fast sicher: [Definition] | Kritisch: [Definition] |
2. Akzeptanzkriterien
Stufe = Wahrscheinlichkeit × Schweregrad. Vor jeder Bewertung festgelegt, in [Ihrem Plan oder Verfahren], zum Beispiel: [1–4 niedrig: akzeptabel] · [5–9 mittel: akzeptabel, wenn so weit wie möglich reduziert] · [10–16 hoch: vor der Akzeptanz reduzieren] · [20–25 kritisch: nicht akzeptabel]. Ein Restrisiko oberhalb der Kriterien akzeptiert nur [Rolle], mit schriftlicher Begründung.
3. Register
| Nr. | Risiko | Verantwortlich | Vor der Behandlung | Entscheidung | Behandlungsmaßnahmen | Nach der Behandlung | Akzeptiert von | Nächste Überprüfung |
|---|---|---|---|---|---|---|---|---|
| R-01 | [Ursache] → [Ereignis] → [Folge] | [Name] | [W] × [S] = [Stufe] | [reduzieren / akzeptieren / vermeiden / übertragen] | [Maßnahme, verantwortliche Person, Fälligkeit] | [W] × [S] = [Stufe] | [Name, Datum, Begründung bei Überschreitung der Kriterien] | [Datum] |
| R-02 | [Ursache] → [Ereignis] → [Folge] | [Name] | [W] × [S] = [Stufe] | [reduzieren / akzeptieren / vermeiden / übertragen] | [Maßnahme, verantwortliche Person, Fälligkeit] | [W] × [S] = [Stufe] | [Name, Datum, Begründung bei Überschreitung der Kriterien] | [Datum] |
4. Überprüfung
Überprüft alle [n] Monate sowie nach [einem Vorfall, einer Beschwerde, einer Änderung oder einer neuen Schwachstelle]. Letzte Überprüfung: [Datum, Name]. Änderungen seitdem: [neue Risiken, neue Bewertungen, geschlossene Risiken]. Nächste Überprüfung: [Datum].
So nutzen Sie sie in Confluence
- Klicken Sie auf Vorlage kopieren, öffnen Sie eine neue Confluence-Seite und fügen Sie ein: Überschriften, Listen und Tabellen bleiben erhalten.
- Ersetzen Sie die Teile in [Klammern] und löschen Sie, was für Sie nicht gilt.
- Zur Wiederverwendung speichern Sie sie als Bereichsvorlage: Bereichseinstellungen › Vorlagen › Vorlage erstellen, dann einfügen.
Die Vorlage für ein Risikoregister an Ihr Rahmenwerk anpassen
- ISO 14971 (Medizinprodukte). Beschreiben Sie jedes Risiko als Gefährdung → Gefährdungssituation → Schaden und bewerten Sie die Wahrscheinlichkeit des Auftretens des Schadens und seinen Schweregrad. Ihre Kriterien für die Risikoakzeptanz stammen aus Ihrem Risikomanagementplan; bewerten Sie nach den Maßnahmen zur Risikobeherrschung jedes Restrisiko und am Ende das Gesamt-Restrisiko. Ist ein Restrisiko nach Ihren Kriterien nicht akzeptabel und ist keine weitere Risikobeherrschung praktikabel, kann es nur akzeptiert werden, wenn eine Nutzen-Risiko-Analyse zeigt, dass der Nutzen überwiegt (Abschnitt 7.4). Für ISO 14971 ist „übertragen“ keine Maßnahme zur Risikobeherrschung.
- ISO/IEC 27001 (Abschnitte 6.1.2 und 6.1.3). Bewerten Sie die Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, jeweils mit einem Risikoeigentümer. Die Risikoeigentümer genehmigen den Risikobehandlungsplan und akzeptieren die Restrisiken, und die Beurteilung wird in geplanten Abständen wiederholt (Abschnitt 8.2).
- NIS2 Artikel 21. Notieren Sie, auf welche der zehn Maßnahmen aus Artikel 21 Absatz 2 sich jedes Risiko bezieht, von Konzepten für die Risikoanalyse bis zur Multi-Faktor-Authentifizierung. Artikel 20 verlangt, dass die Leitungsorgane diese Maßnahmen billigen und ihre Umsetzung überwachen.
Drei Fehler, die Auditoren oft sehen
- Nur eine Bewertung. Ohne Bewertung nach der Behandlung zeigt nichts, dass die Maßnahmen das Risiko verändert haben.
- Kriterien nach den Bewertungen festgelegt. Legen Sie fest, was akzeptabel ist, bevor Sie bewerten, sonst ist am Ende jedes Risiko „akzeptabel“.
- Ein Register, das niemand überprüft. ISO/IEC 27001 erwartet Beurteilungen in geplanten Abständen, und ISO 14971 erwartet, dass Informationen aus der Herstellung und den der Herstellung nachgelagerten Phasen in das Risikomanagement zurückfließen.
Diese Seite hilft Ihnen beim Planen und Dokumentieren; sie ist keine Rechtsberatung. Prüfen Sie den offiziellen Text und die Hinweise Ihrer Behörde. Siehe auch: CAPA in Jira umsetzen, für die Maßnahmen, die aus einem Risiko entstehen.