Was ist Risikobehandlung in ISO 27001?

Risikobehandlung ist der Prozess der Auswahl und Umsetzung von Optionen zur Behandlung von Informationssicherheitsrisiken, die während der Risikobewertung identifiziert wurden. Es ist eine…

Übersicht

Risikobehandlung ist der Prozess der Auswahl und Umsetzung von Optionen zur Behandlung von Informationssicherheitsrisiken, die während der Risikobewertung identifiziert wurden. Es handelt sich um eine verbindliche Anforderung in ISO 27001:2022 (Klausel 6.1.3 und Klausel 8.3), die die Risikobewertung mit der praktischen Umsetzung von Sicherheitsmaßnahmen verbindet.

Die Risikobehandlung wandelt die Ergebnisse Ihrer Risikobewertung in umsetzbare Entscheidungen um, wie mit jedem identifizierten Risiko durch vier standardisierte Ansätze verfahren werden soll.

Risikobehandlung in der Praxis

Nach Abschluss einer Risikobewertung müssen Sie entscheiden, wie mit jedem Risiko auf der Grundlage der Risikobereitschaft und der Ressourcen Ihrer Organisation umgegangen werden soll. ISO 27001:2022 verlangt von Ihnen, dass Sie:

Geeignete Optionen zur Risikobehandlung für jedes identifizierte Risiko auswählen
Notwendige Maßnahmen zur Umsetzung der gewählten Optionen festlegen (in der Regel aus Anhang A)
Die ausgewählten Maßnahmen mit Anhang A vergleichen und etwaige Ausschlüsse begründen
Entscheidungen in einem Risikobehandlungsplan dokumentieren
Die Genehmigung der Risikoeigentümer einholen

Die Risikobehandlung muss in Ihrer Erklärung zur Anwendbarkeit (SoA) dokumentiert werden, in der dargestellt wird, welche Anhang-A-Maßnahmen Sie ausgewählt haben und warum.

Die vier Optionen zur Risikobehandlung

ISO 27001:2022 bietet vier standardisierte Ansätze zur Behandlung von Risiken:

1. Risikomodifikation (Minderung)

Sicherheitsmaßnahmen anwenden, um das Risiko auf ein akzeptables Niveau zu reduzieren. Dies ist der häufigste Ansatz und umfasst die Umsetzung von Anhang-A-Maßnahmen.

Beispiel: Zugriffskontrollen (A.5.15) und Verschlüsselung (A.8.24) implementieren, um das Risiko eines unbefugten Datenzugriffs zu verringern.

2. Risikovermeidung

Das Risiko beseitigen, indem die Aktivität, die es verursacht, eingestellt wird.

Beispiel: Ein anfälliges Altsystem nicht mehr nutzen, indem auf eine sichere Cloud-Plattform migriert wird.

3. Risikoteilung (Transfer)

Das Risiko mit einer anderen Partei teilen, typischerweise durch Versicherungen oder Outsourcing-Verträge.

Beispiel: Eine Cyber-Versicherung abschließen oder einen Managed-Security-Service-Provider für die Bedrohungsüberwachung nutzen.

4. Risikoakzeptanz (Annahme)

Das Risiko akzeptieren, wenn es innerhalb Ihrer Risikoakzeptanzkriterien liegt und die Kosten der Behandlung den potenziellen Schaden übersteigen.

Beispiel: Das geringe Risiko eines physischen Diebstahls in einem gesicherten Bürogebäude mit bestehenden Maßnahmen akzeptieren.

Die Risikoakzeptanz erfordert eine dokumentierte Genehmigung durch die Risikoeigentümer und muss mit den in Klausel 6.1.2 definierten Risikoakzeptanzkriterien Ihrer Organisation übereinstimmen.

Risikobehandlungsplan

Ihr Risikobehandlungsplan ist ein erforderliches Dokument (Klausel 6.1.3), das Folgendes spezifiziert:

Die gewählten Optionen zur Risikobehandlung für jedes Risiko
Welche Maßnahmen umgesetzt werden und warum
Verantwortlichkeiten und Zeitpläne für die Umsetzung
Ressourcenanforderungen
Wie die Wirksamkeit gemessen wird

Verbindung zu Anhang-A-Maßnahmen

Die Risikobehandlung bestimmt direkt, welche der 93 Anhang-A-Maßnahmen Sie umsetzen. Ihre SoA muss Folgendes aufzeigen:

Maßnahmen, die auf Grundlage von Entscheidungen zur Risikobehandlung ausgewählt wurden
Bereits umgesetzte Maßnahmen
Begründung für den Ausschluss von Anhang-A-Maßnahmen

Nutzen Sie ISMS Copilot, um Risikobehandlungsoptionen für spezifische Szenarien zu generieren oder einen maßgeschneiderten Risikobehandlungsplan basierend auf Ihren Bewertungsergebnissen zu erstellen.