Was steht in einem Risk Treatment Plan?

Ein RTP listet je Risiko mindestens; das identifizierte Risiko, die gewählte Behandlungsoption (mindern, übertragen, vermeiden, akzeptieren), die konkreten Maßnahmen oder Controls, die verantwortliche Person, eine Frist zur Umsetzung, die benötigten Ressourcen und das verbleibende Restrisiko nach Umsetzung. Oft wird auch der Bezug zu den ausgewählten Controls aus dem Statement of Applicability hergestellt.

Was ist der Unterschied zwischen Risk Treatment Plan und Statement of Applicability?

Beide entstehen im Risikomanagement nach ISO 27001, haben aber unterschiedliche Funktionen. Das Statement of Applicability (SoA) listet alle Annex-A-Controls und begründet, welche anwendbar sind und welche nicht. Der Risk Treatment Plan beschreibt dagegen die konkrete Umsetzung; welche Maßnahme bis wann von wem umgesetzt wird, um ein bestimmtes Risiko zu behandeln. Das SoA ist die Auswahl, der RTP ist der Umsetzungsfahrplan.

Ist ein RTP nach ISO 27001 verpflichtend?

Ja. ISO 27001 verlangt in Kapitel 6.1.3 ausdrücklich, dass ein Risikobehandlungsprozess definiert wird und ein Risk Treatment Plan als dokumentierte Information vorliegt. Im Zertifizierungsaudit ist der RTP eines der zentralen Nachweisdokumente, weil er zeigt, dass das Unternehmen seine Risiken nicht nur bewertet, sondern auch tatsächlich behandelt.

Wer ist für den Risk Treatment Plan verantwortlich?

Die fachliche Erstellung verantwortet meist die für Informationssicherheit zuständige Rolle (CISO, ISB oder Informationssicherheitsbeauftragter). Die Freigabe und die Akzeptanz von Restrisiken liegt aber bei der Leitung beziehungsweise den jeweiligen Risikoeignern, weil nur sie befugt sind, Risiken im Namen des Unternehmens zu akzeptieren. Diese Trennung von Erstellung und Freigabe ist ein wichtiges Governance-Prinzip.

GlossarDefinition

Was ist ein Risk Treatment Plan (RTP)?

Zuletzt aktualisiert: 20. Juli 2026

Kurz erklärt: Ein Risk Treatment Plan (RTP), auf Deutsch Risikobehandlungsplan, ist das Dokument, das für jedes bewertete Informationssicherheits-Risiko festhält, wie damit umgegangen wird; welche Behandlungsoption gewählt wurde (mindern, übertragen, vermeiden, akzeptieren), welche konkreten Maßnahmen umzusetzen sind, wer verantwortlich ist, bis wann und welches Restrisiko bleibt. Der RTP ist nach ISO 27001 ein verpflichtendes Ergebnis des Risikomanagement-Prozesses und macht Sicherheitsentscheidungen nachvollziehbar und überprüfbar.

Ein Risk Treatment Plan (RTP) — auf Deutsch Risikobehandlungsplan — ist das Dokument, das für jedes bewertete Risiko festhält, wie das Unternehmen damit umgeht: welche Behandlungsoption gewählt wurde, welche Maßnahmen umzusetzen sind, wer verantwortlich ist und bis wann. Der RTP ist das zentrale Umsetzungs-Artefakt des Information Security Risk Management und nach ISO 27001 verpflichtend.

Foundational Facts

Bedeutung: Risk Treatment Plan (Risikobehandlungsplan)
Norm-Verankerung: ISO/IEC 27001, Kapitel 6.1.3 und 8.3
Charakter: dokumentierte Information (pflicht-nachweispflichtig im Audit)
Entsteht aus: dem Risikomanagement-Prozess (ISRM)
Eng verbunden mit: Risikoregister und Statement of Applicability

Wozu dient ein RTP?

Das Risikomanagement liefert eine bewertete Liste von Risiken. Aber eine Bewertung allein ändert nichts — entscheidend ist, was mit jedem Risiko geschieht. Genau das hält der RTP fest. Er übersetzt abstrakte Risikobewertungen in konkrete, nachverfolgbare Handlungen und macht Sicherheitsentscheidungen damit:

nachvollziehbar — jede Entscheidung ist dokumentiert und begründet,
überprüfbar — Auditoren und Management können den Fortschritt prüfen,
verbindlich — durch Verantwortliche und Fristen entsteht Verbindlichkeit.

Inhalt eines Risk Treatment Plans

Ein praxistauglicher RTP enthält je Risiko typischerweise folgende Spalten:

Feld	Inhalt
Risiko-ID / Beschreibung	Verweis auf das Risiko im Risikoregister
Behandlungsoption	mindern / übertragen / vermeiden / akzeptieren
Maßnahme(n) / Control(s)	konkrete Umsetzung, oft mit Bezug zum SoA
Verantwortliche(r)	wer die Umsetzung verantwortet
Frist	bis wann umgesetzt sein muss
Ressourcen	Budget, Personal, Tools
Restrisiko	verbleibendes Risiko nach Umsetzung
Freigabe	Akzeptanz durch Risikoeigner/Leitung

Die vier Behandlungsoptionen im RTP

Der RTP dokumentiert für jedes Risiko eine der vier Optionen aus dem ISRM:

Mindern — Maßnahmen senken Wahrscheinlichkeit oder Auswirkung (der häufigste Fall).
Übertragen — das Risiko wird auf Dritte verlagert, etwa per Versicherung oder Auslagerung.
Vermeiden — die risikobehaftete Tätigkeit wird eingestellt.
Akzeptieren — das Risiko wird bewusst getragen, sofern es innerhalb der Risk Tolerance Criteria liegt.

Wichtig: Auch eine bewusste Akzeptanz ist eine dokumentationspflichtige Entscheidung — sie braucht eine formale Freigabe durch den Risikoeigner.

RTP, SoA und Risikoregister — wer macht was?

Im ISO-27001-Kontext arbeiten drei Dokumente zusammen:

Das Risikoregister enthält die bewerteten Risiken.
Das Statement of Applicability (SoA) begründet, welche Annex-A-Controls anwendbar sind.
Der RTP beschreibt die konkrete Umsetzung: welche Maßnahme bis wann von wem.

Vereinfacht: Das SoA ist die Auswahl, der RTP ist der Fahrplan.

Bedeutung im Zertifizierungs-Audit

Im ISO-27001-Zertifizierungsaudit gehört der RTP zu den meistgeprüften Dokumenten. Auditoren wollen sehen, dass:

jedes wesentliche Risiko eine dokumentierte Behandlungsentscheidung hat,
Maßnahmen Verantwortliche und Fristen besitzen,
Restrisiken formal akzeptiert wurden,
der Plan gelebt wird (Fortschritt nachvollziehbar, nicht nur Papier).

Weiterführende Links

Häufige Fragen

Was steht in einem Risk Treatment Plan?: Ein RTP listet je Risiko mindestens; das identifizierte Risiko, die gewählte Behandlungsoption (mindern, übertragen, vermeiden, akzeptieren), die konkreten Maßnahmen oder Controls, die verantwortliche Person, eine Frist zur Umsetzung, die benötigten Ressourcen und das verbleibende Restrisiko nach Umsetzung. Oft wird auch der Bezug zu den ausgewählten Controls aus dem Statement of Applicability hergestellt.
Was ist der Unterschied zwischen Risk Treatment Plan und Statement of Applicability?: Beide entstehen im Risikomanagement nach ISO 27001, haben aber unterschiedliche Funktionen. Das Statement of Applicability (SoA) listet alle Annex-A-Controls und begründet, welche anwendbar sind und welche nicht. Der Risk Treatment Plan beschreibt dagegen die konkrete Umsetzung; welche Maßnahme bis wann von wem umgesetzt wird, um ein bestimmtes Risiko zu behandeln. Das SoA ist die Auswahl, der RTP ist der Umsetzungsfahrplan.
Ist ein RTP nach ISO 27001 verpflichtend?: Ja. ISO 27001 verlangt in Kapitel 6.1.3 ausdrücklich, dass ein Risikobehandlungsprozess definiert wird und ein Risk Treatment Plan als dokumentierte Information vorliegt. Im Zertifizierungsaudit ist der RTP eines der zentralen Nachweisdokumente, weil er zeigt, dass das Unternehmen seine Risiken nicht nur bewertet, sondern auch tatsächlich behandelt.
Wer ist für den Risk Treatment Plan verantwortlich?: Die fachliche Erstellung verantwortet meist die für Informationssicherheit zuständige Rolle (CISO, ISB oder Informationssicherheitsbeauftragter). Die Freigabe und die Akzeptanz von Restrisiken liegt aber bei der Leitung beziehungsweise den jeweiligen Risikoeignern, weil nur sie befugt sind, Risiken im Namen des Unternehmens zu akzeptieren. Diese Trennung von Erstellung und Freigabe ist ein wichtiges Governance-Prinzip.