Risikoakzeptanz und Risikoappetit

Risikoappetit (englisch: risk appetite) bezeichnet nach ISO 31000 das Ausmaß und die Art von Risiken, die eine Organisation zur Erreichung ihrer Ziele einzugehen bereit ist. Er ist eine Vorgabe der obersten Leitung und damit eine strategische Steuerungsgröße, keine Rechengröße der IT. Aus dem Risikoappetit werden die operativen Risikoakzeptanzkriterien abgeleitet: konkrete Schwellenwerte, ab denen ein Risiko ohne weitere Maßnahmen getragen werden darf, behandelt werden muss oder eine Eskalation auslöst. Risikoakzeptanz ist der Einzelfall dieser Regel — die begründete Entscheidung, ein bewertetes Risiko in seiner verbleibenden Höhe hinzunehmen. Sie ist ausdrücklich etwas anderes als Untätigkeit oder Unkenntnis: Akzeptiert werden kann nur, was zuvor identifiziert, analysiert und bewertet wurde.

ISO/IEC 27001:2022 verankert beides verbindlich. Abschnitt 6.1.2 a) verlangt, dass die Organisation Kriterien für die Risikoakzeptanz sowie Kriterien für die Durchführung von Risikobewertungen festlegt und aufrechterhält; Abschnitt 6.1.3 verlangt die Zustimmung der Risikoeigentümer zum Risikobehandlungsplan und deren ausdrückliche Akzeptanz der Restrisiken. Damit ist die Akzeptanzentscheidung dokumentierte Information und im Zertifizierungsaudit prüfbar. Praktisch werden die Kriterien meist mehrdimensional gefasst: nach Risikoklasse aus der Risikomatrix, nach betroffenem Schutzziel (Vertraulichkeit, Integrität, Verfügbarkeit), nach Schadenshöhe und nach Genehmigungsstufe. Ein niedriges Risiko akzeptiert die Fachbereichsleitung, ein hohes nur die Geschäftsführung — und häufig nur befristet und mit Wiedervorlage.

Als Steuerungsgröße wirkt der Risikoappetit in beide Richtungen: Ein zu eng gefasster Appetit erzeugt eine Flut von Behandlungsmaßnahmen, bindet Budget an unwesentliche Risiken und führt dazu, dass Ausnahmen faktisch am Prozess vorbei gelebt werden. Ein zu weiter Appetit macht das Risikoregister zur Ablage unbehandelter Befunde. Unter der NIS2-Richtlinie gewinnt die Frage zusätzlich an Gewicht, weil Art. 20 die Leitungsorgane besonders wichtiger und wichtiger Einrichtungen persönlich in die Pflicht nimmt, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen; die Umsetzung in deutsches Recht durch das NIS2-Umsetzungsgesetz hat sich gegenüber der EU-Frist vom 17. Oktober 2024 deutlich verzögert. Eine pauschale Akzeptanz hoher Risiken ohne Begründung, Frist und Verantwortlichen ist daher weder normkonform noch haftungsrechtlich klug. Der Risikoappetit gehört in die Managementbewertung und ist bei wesentlichen Änderungen von Kontext, Bedrohungslage oder Geschäftsmodell erneut zu bestätigen.