Risikoakzeptanz

Entscheidung, ein bestimmtes Risiko in Kauf zu nehmen, da die Eintrittswahrscheinlichkeit und/oder das Schadensausmaß gering ist.

Die ISO/IEC 27001 verlangt, dass die Organisation Kriterien für die Risikoakzeptanz festlegt (Abschnitt 6.1.2) und dass die Risikoeigentümer den Risikobehandlungsplan und die verbleibenden Restrisiken genehmigen (6.1.3). Akzeptierte Risiken werden dokumentiert und bei der nächsten Risikobewertung erneut geprüft – die Entscheidung ist bewusst, nachvollziehbar und befristet. Diese Entscheidungswege richten wir beim Aufbau eines ISMS nach ISO 27001 ein.