Restrisiko

Das Restrisiko (englisch: residual risk) bezeichnet das Risiko, das nach der Behandlung eines identifizierten Informationssicherheitsrisikos übrig bleibt. Es entsteht, weil Sicherheitsmaßnahmen ein Risiko in aller Regel nur mindern, nicht aber vollständig beseitigen können: Technische Kontrollen haben Grenzen, organisatorische Regelungen hängen vom Verhalten der Beschäftigten ab, und ein vollständiger Ausschluss wäre häufig unverhältnismäßig teuer. Fachlich unterscheidet man das Bruttorisiko oder inhärente Risiko – die Risikohöhe ohne wirksame Maßnahmen – vom Nettorisiko beziehungsweise Restrisiko, das die Wirksamkeit der bereits umgesetzten und der neu beschlossenen Maßnahmen berücksichtigt. Ein Restrisiko ist damit kein Versäumnis, sondern das normale und erwartete Ergebnis eines rationalen Risikomanagements.

Entscheidend ist der formale Umgang mit dem Restrisiko. ISO/IEC 27001:2022 verlangt in Abschnitt 6.1.3, dass die Organisation die Genehmigung des Risikobehandlungsplans durch die Risikoeigentümer einholt und dass die verbleibenden Informationssicherheitsrisiken von diesen ausdrücklich akzeptiert werden. Maßstab dafür sind die zuvor festgelegten Risikoakzeptanzkriterien: Liegt das Restrisiko unterhalb der definierten Schwelle, kann es akzeptiert werden; liegt es darüber, ist eine weitere Behandlungsrunde erforderlich oder es bedarf einer bewussten, begründeten Ausnahmeentscheidung auf der zuständigen Führungsebene. Die Akzeptanz muss nachweisbar dokumentiert sein – mit Datum, benanntem Entscheider, Begründung, Gültigkeitsdauer und Bezug auf das jeweilige Risiko. Der BSI-Standard 200-3 spricht in diesem Zusammenhang von der Risikoakzeptanz durch die Leitungsebene und betont, dass Restrisiken der Leitung transparent vorgelegt werden müssen, weil sie die Verantwortung dafür trägt.

Die Akzeptanz eines Restrisikos ist keine dauerhafte Erledigung. Restrisiken sind zeitlich zu befristen, regelmäßig zu überprüfen und in der Managementbewertung nach Abschnitt 9.3 der ISO/IEC 27001 zu berichten, da sich Bedrohungslage, Geschäftsprozesse und Maßnahmenwirksamkeit verändern. Zusätzliche Bedeutung erhält das Thema durch die NIS2-Richtlinie (EU) 2022/2555 und die deutsche Umsetzung im NIS2-Umsetzungsgesetz: Nach Art. 20 und 21 müssen die Leitungsorgane besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und können für Verstöße persönlich verantwortlich gemacht werden. Eine unreflektiert oder gar nicht dokumentierte Restrisikoakzeptanz ist damit nicht nur ein Auditfund im ISMS, sondern kann auch aufsichtsrechtlich relevant werden. Zu beachten ist, dass die deutsche Umsetzung der NIS2-Richtlinie erst deutlich nach der EU-Umsetzungsfrist vom 17. Oktober 2024 erfolgt ist und einzelne Detailregelungen sowie Übergangsfristen weiterhin durch Rechtsverordnungen und behördliche Auslegung konkretisiert werden.