Ausnahmen beantragen und genehmigen

Eine Ausnahme ist eine bewusst genehmigte, befristete Abweichung von einer Vorgabe, etwa von einer Anforderung des Sicherheitsverfahrens, einer Richtlinie oder einer Anforderung aus einem Katalog. Jede Ausnahme hängt an einem Risiko, das akzeptiert sein muss. Dieser Artikel richtet sich an alle, die Ausnahmen beantragen, genehmigen oder verwalten.

Bevor Sie beginnen

• Ausnahmen finden Sie unter Assets › Ausnahmen. Anlegen und bearbeiten dürfen Personen mit den entsprechenden Rechten, standardmässig die ISMS-Verantwortlichen für alle Assets und die Schutzobjektverantwortlichen für ihre eigenen. Ohne das Recht, alle Ausnahmen zu sehen, heisst die Seite Meine Ausnahmen und zeigt nur die, für die Sie verantwortlich sind.
• Wer eine Ausnahme genehmigt, legen die ISMS-Verantwortlichen unter ISMS-Einstellungen › Assets › Genehmigung von Ausnahmen fest. Standard ist die Fachrolle ISMS-Verantwortliche/r.
• Ausnahmen sind in allen Paketen enthalten.
• Nicht verwechseln: Abweichungen von Aufgabentrennung und Vier-Augen-Prinzip halten Sie unter ISMS-Einstellungen › Organisation & Rollen fest, nicht hier.

1. VerantwortlicheErfassen und einreichen

   Begründung, Risiko, Verantwortliche und „Gültig bis“.

2. FreigabewegGenehmigen

   Nie, wer erfasst oder eingereicht hat.

3. RisikoeigentümerRisiko akzeptieren

   Nach den Risikoakzeptanzkriterien.

4. AktivBis zum Datum „Gültig bis“.

↩ Zurückgewiesen

Die Ausnahme geht mit Begründung zurück in den Entwurf.

Die Ausnahme wird als Entwurf erfasst und mit Risiko, Verantwortlichen und Gültigkeitsdatum zur Genehmigung eingereicht. Die Stellen im Freigabeweg genehmigen sie, und der Risikoeigentümer akzeptiert das verknüpfte Risiko nach den Risikoakzeptanzkriterien. Erst wenn beides erledigt ist, ist die Ausnahme aktiv – bis zum Datum Gültig bis. Bei einer Zurückweisung geht sie mit Begründung zurück in den Entwurf.

So beantragen Sie eine Ausnahme

1. Öffnen Sie Assets › Ausnahmen und klicken Sie auf Neue Ausnahme.
2. Geben Sie einen Titel ein und beschreiben Sie unter Begründung und Ersatzmassnahmen, warum sich die Vorgabe nicht erfüllen lässt und was das Risiko stattdessen mindert.
3. Wählen Sie das Betroffene Asset, falls es eines gibt.
4. Wählen Sie unter Risiko das Risiko, das die Abweichung beschreibt. Gibt es noch keines, melden bzw. erfassen Sie es direkt aus dem Formular.
5. Legen Sie unter Verantwortlichkeit eine oder mehrere Personen fest und markieren Sie genau eine als primär (Stern).
6. Setzen Sie Gültig bis. Ausnahmen sind immer befristet; zum Einreichen ist das Datum Pflicht.
7. Hängen Sie bei Bedarf ein PDF an und speichern Sie. Die Ausnahme ist jetzt ein Entwurf.
8. Öffnen Sie die Ausnahme und klicken Sie auf Zur Genehmigung einreichen.

Ausnahmen entstehen auch im Sicherheitsverfahren: Ist eine Anforderung teilweise oder nicht erfüllt und soll das so bleiben, legen Sie dort eine Ausnahme an.

So genehmigen Sie eine Ausnahme

Die Stellen der aktuellen Stufe erhalten die Pendenz Ausnahme genehmigen. Prüfen Sie Begründung, Befristung und das verknüpfte Risiko und klicken Sie auf Genehmigen oder auf Zurückweisen mit Begründung. Stellen derselben Stufe unterschreiben in beliebiger Reihenfolge, die nächste Stufe erst danach. Wer die Ausnahme erfasst oder eingereicht hat, unterschreibt nie selbst (Vier-Augen-Prinzip).

Was danach passiert

• Aktiv wird die Ausnahme erst, wenn alle Stellen unterschrieben haben und das verknüpfte Risiko akzeptiert ist. Wird das Risiko stattdessen behandelt, bleibt die Ausnahme genehmigt, aber nicht aktiv.
• Ist kein Freigabeweg festgelegt, genügt die Akzeptanz des Risikos. Bei tiefen Risikostufen genehmigt dann der Risikoeigentümer allein, der die Ausnahme oft selbst beantragt hat.
• 30 Tage vor Ablauf erhalten die Verantwortlichen die Pendenz Ausnahme läuft ab, nach Ablauf Ausnahme abgelaufen. Die Ausnahme zeigt dann den Status Abgelaufen.
• Ausnahmen fliessen als Eingabe in die Managementbewertung ein.

Häufige Fragen

Wie verlängere ich eine Ausnahme?

Klicken Sie auf Ändern oder verlängern. Die Ausnahme wird wieder zum Entwurf, Sie passen „Gültig bis“ oder andere Angaben an und reichen sie erneut ein. Die bisherige Genehmigung gilt bis zu ihrem Ende weiter; der Status lautet so lange Aktiv · Änderung läuft.

Die Abweichung ist behoben. Was nun?

Klicken Sie auf Ausnahme beenden und geben Sie eine Begründung an. Die Ausnahme gilt danach nicht mehr und lässt sich nicht wieder öffnen. Nie genehmigte Entwürfe löschen Sie stattdessen.

Warum kann ich nicht einreichen?

Zum Einreichen braucht es ein verknüpftes Risiko, mindestens eine verantwortliche Person und „Gültig bis“ ab heute. Könnte ausser Ihnen niemand freigeben, ist Einreichen gesperrt, siehe Freigaben regeln mit dem Vier-Augen-Prinzip.

Wer legt fest, wer das Risiko akzeptieren muss?

Die Risikoakzeptanzkriterien je Risikostufe, siehe Risikomethodik und Akzeptanzkriterien festlegen.