Risikobehandlung.

Entscheidung und Maßnahmen zur Veränderung eines Risikos, typischerweise durch Akzeptieren, Mindern, Übertragen oder Vermeiden, auf Basis der Risikokriterien der Organisation. Es gehört zur Kategorie Compliance und Frameworks der Cybersicherheit.

Entscheidung und Maßnahmen zur Veränderung eines Risikos, typischerweise durch Akzeptieren, Mindern, Übertragen oder Vermeiden, auf Basis der Risikokriterien der Organisation.

Die Risikobehandlung ist der Schritt im Risikomanagement, in dem bewertete Risiken einer Reaktion zugeordnet werden. Klassische Optionen sind: Akzeptieren (Restrisiko tragen), Mindern (Kontrollen zur Reduktion von Eintrittswahrscheinlichkeit oder Auswirkung), Übertragen (Versicherungen, Vertragsklauseln, Outsourcing) und Vermeiden (Aktivität stoppen oder neu gestalten). Behandlungspläne legen Verantwortliche, Kosten, Zeitpläne, Ziel-Restrisiko und Kontrollen fest, häufig aus ISO/IEC 27001 Anhang A oder NIST SP 800-53. Der Plan wird im Risikoregister verfolgt und überprüft, wenn Kontrollen versagen, Bedrohungen sich ändern oder Geschäftsziele neu definiert werden. Wirksame Behandlung ist verhältnismäßig und im Einklang mit Appetit und Toleranz.

Schutzmaßnahmen gegen Risikobehandlung kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Risikoreaktion, Mitigationsplan.