Guide
Record the risk appetite in the ICT risk register
You record how much IT risk your management is willing to carry, with level, approving body and date. Every change becomes a new version.
4 min read · Oktober 2026
Bevor Sie einzelne IT-Risiken bewerten, braucht es einen Maßstab: Wie viel Risiko will Ihr Unternehmen insgesamt tragen? Diese Entscheidung trifft die Geschäftsleitung, man nennt sie Risikoappetit. Viele Aufsichtsregeln verlangen, dass sie schriftlich festgehalten ist, etwa europäische Leitlinien zum Umgang mit IT-Risiken. In knooing halten Sie den Risikoappetit im IKT-Risikoregister fest. Jede spätere Änderung wird eine neue Version, die alte bleibt erhalten.
Diese Anleitung ist Teil 1 von 2 zum IKT-Risikoregister. Julia Beispiel ist bei der Beispiel GmbH für die IT-Risiken zuständig. Die Geschäftsleitung hat beschlossen, IT-Risiken nur in mittlerem Umfang einzugehen. Julia hält diesen Beschluss fest. Wie Sie danach einzelne Risiken erfassen, steht in Teil 2.
Das brauchen Sie
- Zum Anlegen: die Stufe Bearbeiten in der Zeile Servicedesk-Konfiguration - Fristen, Eskalation, Regelkatalog Ihrer Rolle. Ohne sie fehlt der Knopf Neue Version.
- Zum Lesen: die Stufe Lesen in der Zeile Servicedesk - Vorgänge bearbeiten. Ohne sie fehlt der Menüpunkt Major Incidents / DORA.
- Einen Beschluss der Geschäftsleitung. knooing dokumentiert eine bereits getroffene Entscheidung. Eine Freigabe in der App gibt es dafür nicht.
Die wichtigsten Begriffe
- IKT-Risikoregister: die Liste aller IT-Risiken Ihres Unternehmens. IKT steht für Informations- und Kommunikationstechnik.
- Risikoappetit: wie viel Risiko die Geschäftsleitung insgesamt tragen will. Er ist der Maßstab, an dem Sie einzelne Risiken messen.
- Niveau: die Stufe des Risikoappetits: gering, mittel oder hoch.
- Genehmigende Stelle: das Gremium, das entschieden hat, etwa die Geschäftsleitung.
- Version: eine feste Fassung des Risikoappetits. Eine neue Version schließt die bisherige ab; die bisherige wird nicht überschrieben.
In den Bildern markieren Zahlen, wo Sie klicken. (i) markiert, wo Sie etwas ablesen.
Schritt 1: Das Risikoregister öffnen
Klicken Sie in der Seitenleiste unter Servicedesk auf Major Incidents / DORA. Öffnen Sie oben den Reiter Register (1) und darunter Risikoregister (2).
Danach sehen Sie das IKT-Risikoregister mit zwei Abschnitten: oben Risikoappetit, darunter Einzelrisiken. Ohne Risikoappetit steht dort „Noch keine Risikoappetit-Aussage hinterlegt. Ohne sie fehlt die Grundlage, gegen die Einzelrisiken eingeordnet werden.“
Warum zuerst der Risikoappetit? Erst mit einem Maßstab können Sie sagen, ob ein einzelnes Risiko tragbar ist oder gemindert werden muss.
Beispiel: Bei der Beispiel GmbH ist das Register noch leer.
Schritt 2: Eine neue Version anlegen
Klicken Sie im Abschnitt Risikoappetit auf Neue Version (3). Es öffnet sich das Fenster Neue Risikoappetit-Version. Füllen Sie aus:
- Aussage (1): in eigenen Worten, welches Risiko Ihr Unternehmen eingehen will und welches nicht.
- Niveau (2): gering, mittel oder hoch.
- Genehmigende Stelle (3): wer entschieden hat.
- Genehmigende Person: steht auf „- ich selbst -“. Wählen Sie eine andere Person, wenn nicht Sie den Beschluss vertreten.
- Anmerkung: freiwillig, etwa das Datum des Beschlusses.
Klicken Sie auf Version anlegen (4). Der Knopf ist erst aktiv, wenn Aussage und Genehmigende Stelle ausgefüllt sind.
Danach schließt sich das Fenster und der Abschnitt Risikoappetit zeigt die neue Version.
Warum Versionen? Eine Prüferin will sehen, welcher Maßstab zu welchem Zeitpunkt galt. Deshalb wird nichts überschrieben.
Beispiel: Julia trägt ein: „Die Beispiel GmbH geht IT-Risiken nur in mittlerem Umfang ein. Ein Ausfall kritischer Services über vier Stunden ist nicht tragbar.“, Niveau mittel, Genehmigende Stelle „Geschäftsleitung“, Anmerkung „Beschluss der Geschäftsleitung vom 1.10.2026“.
Schritt 3: Die gültige Version prüfen
Lesen Sie im Abschnitt Risikoappetit die Zeichen (i).
Danach sehen Sie gültig seit mit dem Datum, Niveau, Version und nächste Überprüfung. Die nächste Überprüfung setzt knooing auf ein Jahr nach der Genehmigung; ist sie überschritten, wird das Zeichen gelb. Darunter stehen die Aussage und „genehmigt durch … am …“. Ändert die Geschäftsleitung ihren Beschluss, legen Sie wieder mit Neue Version eine Version an. Ab der zweiten Version steht unter dem Abschnitt, wie viele Versionen es insgesamt gibt.
Warum prüfen? So sehen Sie, dass der Beschluss wirklich gilt und wann er wieder auf den Tisch muss.
Beispiel: Bei der Beispiel GmbH steht „gültig seit 17.10.2026“, „Niveau: mittel“, „Version 1“ und „nächste Überprüfung 17.10.2027“.
Nächster Schritt
Wie Sie einzelne Risiken erfassen, bewerten und mindern, zeigt Teil 2: Ein IT-Risiko erfassen, bewerten und die Meldepflicht prüfen.
Wenn etwas nicht klappt
- Der Knopf Neue Version fehlt. Ihrer Rolle fehlt die Stufe Bearbeiten in der Zeile Servicedesk-Konfiguration - Fristen, Eskalation, Regelkatalog.
- Version anlegen lässt sich nicht klicken. Aussage oder Genehmigende Stelle ist leer.
- „Eine gleichzeitige Änderung des Risikoappetits ist dazwischengekommen. Bitte erneut versuchen.“ Eine andere Person hat gerade ebenfalls eine Version angelegt. Laden Sie die Seite neu und prüfen Sie, ob Ihre Version noch nötig ist.
- „Der Risikoappetit konnte nicht gespeichert werden.“ Versuchen Sie es erneut. Bleibt die Meldung, wenden Sie sich an Ihre Administration.