Risikobehandlung

Die Risikobehandlung (englisch: risk treatment) ist der dem Risikobewertungsprozess nachgelagerte Schritt im Informationssicherheits-Risikomanagement. Nachdem Risiken identifiziert, analysiert und gegen die Risikoakzeptanzkriterien der Organisation bewertet wurden, entscheidet die Organisation, wie mit jedem Risiko umgegangen wird. ISO/IEC 27005 und ISO 31000 unterscheiden hierbei klassisch vier Strategien: Risikovermeidung (Verzicht auf die risikobehaftete Aktivität), Risikominderung (Reduktion von Eintrittswahrscheinlichkeit oder Schadenshöhe durch Sicherheitsmaßnahmen), Risikoteilung beziehungsweise -transfer (etwa durch Versicherungen oder Auslagerung an Dienstleister) und Risikoakzeptanz (bewusste Inkaufnahme des verbleibenden Risikos).

Im Kontext eines Informationssicherheits-Managementsystems (ISMS) nach ISO/IEC 27001 ist die Risikobehandlung verbindlich geregelt: Die Organisation muss einen Risikobehandlungsplan erstellen, die für die Behandlung erforderlichen Maßnahmen (Controls) bestimmen und diese mit dem normativen Anhang A abgleichen. Das Ergebnis dieses Abgleichs wird in der Anwendbarkeitserklärung (Statement of Applicability) dokumentiert, die für jede Maßnahme begründet, ob und warum sie angewendet oder ausgeschlossen wird. Sowohl der Risikobehandlungsplan als auch die Akzeptanz der verbleibenden Restrisiken bedürfen der Zustimmung der Risikoeigentümer.

Die Risikobehandlung ist kein einmaliger Vorgang, sondern iterativ: Nach Umsetzung der gewählten Maßnahmen wird das verbleibende Restrisiko erneut bewertet, und sofern es die Akzeptanzkriterien noch nicht erfüllt, folgt eine weitere Behandlungsrunde. Mit der NIS2-Richtlinie und ihrer deutschen Umsetzung gewinnt die nachweisbare, risikobasierte Maßnahmenauswahl zusätzlich an Bedeutung, da besonders wichtige und wichtige Einrichtungen geeignete und verhältnismäßige technische sowie organisatorische Maßnahmen ergreifen und gegenüber Aufsichtsbehörden belegen müssen. Eine saubere Dokumentation der Behandlungsentscheidungen ist damit zugleich Steuerungsinstrument und Compliance-Nachweis.