Restrisiko

Das Restrisiko ist das Risiko, das übrig bleibt, nachdem alle geplanten Schutzmaßnahmen umgesetzt sind. Kein Betrieb kann jedes Risiko vollständig ausschließen.

Genauer erklärt

Nach BSI-Standard 200-3 werden Risikoeinstufung und Risikobehandlung so lange wiederholt, bis die Risikoakzeptanzkriterien der Institution erfüllt sind. Das verbleibende Risiko wird anschließend der Leitungsebene zur Zustimmung vorgelegt, damit nachvollziehbar dokumentiert ist, dass die Institution sich des Restrisikos bewusst ist. Idealerweise werden nur geringe Risiken akzeptiert. Gründe, auch höhere Risiken zu tragen, können etwa unverhältnismäßige Kosten von Gegenmaßnahmen sein. Im Baustein ISMS.1 ist vorgesehen, dass Management-Entscheidungen über den Umgang mit Restrisiken dokumentiert und archiviert werden.

Artikel zum Begriff

• BSI-Standards 200-1 bis 200-4BSI-Standard 200-2 und die Standards 200-1, 200-3 und 200-4 verständlich erklärt: ISMS, Methodik, Risikoanalyse und Notfallmanagement im Überblick.
• Informationssicherheit einfach erklärtInformationssicherheit einfach erklärt: was sie umfasst, wie sie sich von IT-Sicherheit unterscheidet und wie kleine Betriebe strukturiert einsteigen.
• Risikoanalyse nach BSI-Standard 200-3Risikoanalyse nach BSI-Standard 200-3: wann sie nötig ist, die vier Schritte von der Gefährdungsübersicht bis zur Konsolidierung und der Umgang mit Restrisiken.