🔍 Was beobachte ich?

Fast jede Organisation führt eine Liste genehmigter Ausnahmen. Ich finde dort Einträge ohne Ablaufdatum, begründet mit einer Migration, die vor zwei Jahren beginnen sollte. Eine im Mai 2026 veröffentlichte Befragung von 200 Sicherheitsverantwortlichen in den USA ergab: Alle Organisationen hatten in den vergangenen zwölf Monaten Ausnahmen erteilt, gut jede dritte auf informellem Weg.

🎯 Was soll eigentlich erreicht werden?

Eine Organisation muss handlungsfähig bleiben. Wenn eine Regel ein Vorhaben blockiert und der Aufwand den Nutzen übersteigt, ist die dokumentierte Ausnahme das richtige Instrument.

⚠️ Warum funktioniert das nicht?

Weil die Ausnahme die falsche Frage beantwortet. Das FAIR Institute trennt beides sauber: Eine Ausnahme hält fest, dass wir von unserer eigenen Regel abweichen. Eine Risikoakzeptanz ist die Entscheidung einer verantwortlichen Person, mit den Folgen zu leben. ISO 27001 verlangt in 6.1.3 genau diese zweite Unterschrift. Fehlt sie und fehlt die Frist, entsteht ein dritter Zustand, für den es kein Formular gibt: weder behandelt noch akzeptiert, nur geduldet. Im Audit fällt das nicht auf, denn formal ist nichts offen.

💡 Was funktioniert besser?

Ich halte drei Dinge für wirksam: Jede Ausnahme braucht ein Ablaufdatum, ohne Datum kein Antrag. Eine Verlängerung braucht eine neue Entscheidung, kein Schweigen. Und die beiden Unterschriften gehören getrennt, denn wer die Abweichung genehmigt, trägt selten das Restrisiko.

Eine Ausnahme ohne Ablaufdatum ist keine Ausnahme. Sie ist die neue Regel.

📚🔍