Nicht jeder Befund braucht eine Behebung. Manche sind Fehlalarme; manche sind ein bewusst eingegangener Kompromiss, bei dem eine andere Maßnahme das Risiko abdeckt. Wenn Sie einen solchen Befund akzeptieren, wird er aus der Punktzahl herausgenommen, und die Entscheidung wird im Risikoregister festgehalten, mit der Begründung, nach der ein Prüfer fragen wird. Das entspricht der Risikoakzeptanz als Option der Risikobehandlung im BSI-Standard 200-3 („Risikoanalyse auf der Basis von IT-Grundschutz“).

In jedem Tarif zählt ein akzeptierter Befund nicht mehr für die Punktzahl. Überprüfungs- und Ablaufdaten, Erinnerungen und das Register mit seinem Export sind ab dem Solo-Tarif enthalten.

Einen Befund akzeptieren

Klicken Sie auf der Seite der Domain oder in einem Bericht unter dem Befund auf Diesen Befund akzeptieren.
Wählen Sie, warum das Risiko akzeptiert wird: Falsch positiv, Ausgleichende Maßnahme, Geschäftliche Notwendigkeit, Behebung geplant oder Sonstiges.
Schreiben Sie die Begründung: warum dieses Risiko vertretbar ist, in Worten, die ein Prüfer lesen kann (mindestens 10 Zeichen).
Beschreiben Sie gegebenenfalls die ausgleichenden Maßnahmen: was das Risiko in der Zwischenzeit verringert (Überwachung, eine andere Maßnahme, eine begrenzte Exposition …).
Wählen Sie den Geltungsbereich: nur dieses Ziel auf dieser Domain oder alle Domains des Arbeitsbereichs.
Legen Sie ein Datum für die nächste Überprüfung fest (optional; Sie werden 14 Tage vorher erinnert) und ein Ablaufdatum (optional; danach zählt der Befund wieder).
Klicken Sie auf Akzeptieren und ins Register aufnehmen.

Nur Inhaber und Administratoren können Befunde akzeptieren. Info-Befunde, die kein Gewicht haben, können nicht akzeptiert werden.

Was sich ändert

Ab dem nächsten Audit bleibt der Befund bei der Punktzahl und den offenen Befunden unberücksichtigt. Er bleibt im Bericht sichtbar, unter Akzeptierte Befunde, mit seinem Grund und seinem Ablaufdatum.
Er wird nicht mehr als neues Ticket gesendet und in der Compliance-Ansicht gesondert aufgeführt.
Die Person, die ihn akzeptiert hat, wird im Register seine verantwortliche Person; Verantwortliche, Daten und Begründung lassen sich dort später ändern.
Das öffentliche Badge, falls Sie eines zeigen, gibt an, wie viele Befunde akzeptiert sind.

Wenn eine Akzeptanz endet

Eine Akzeptanz wird nie gelöscht. Sie endet, wenn sie abläuft (der Befund zählt ab dem nächsten Audit wieder) oder wenn jemand sie im Register mit einem Grund schließt, etwa sobald das Problem behoben ist. Geschlossene Risiken bleiben mit ihrem Verlauf im Register und können wieder geöffnet werden. Siehe Das Risikoregister.