ISMS‑Dokument D16 – Risikoakzeptanzrichtlinie und Nachweise gemäß ISO/IEC 27001:2022

Das Dokument ISMS_D16_Risikoakzeptanzrichtlinie und Nachweise definiert die verbindlichen Kriterien, Voraussetzungen, Verantwortlichkeiten und Nachweisprozesse für die Akzeptanz von Informationssicherheitsrisiken im ISMS. 

Es stellt sicher, dass Risikoakzeptanzen ausschließlich unter klaren, normkonformen und auditfähigen Bedingungen erfolgen und die Leitungsebene ihrer Verantwortung gemäß ISO/IEC 27001:2022 nachkommt.

Das Dokument enthält eine vollständig ausgearbeitete Risikoakzeptanz‑Governance inklusive:

• Zweck, Geltungsbereich und normative Grundlagen (ISO/IEC 27001:2022, ISO/IEC 27005, DSGVO, NIS2, IT-SiG 2.0)
• Grundprinzipien der Risikoakzeptanz (Ausnahmecharakter, Begründungspflicht, zeitliche Begrenzung, Leitungshoheit)
• Zulässige Risikoklassen für Akzeptanz (niedrig, mittel, hoch nur in Ausnahmefällen)
• Kriterien für Akzeptanz (wirtschaftliche Verhältnismäßigkeit, keine Gesetzesverstöße, keine Gefährdung kritischer Prozesse oder Personen)
• Rollenmodell (Leitung, ISB, Risikomanager, IT, DSB, Fachbereiche)
• Vollständiger Risikoakzeptanz‑Prozess mit 6 Schritten (Identifikation, Begründung, ISB‑Prüfung, DSB‑Prüfung, Freigabe, Monitoring)
• Master‑Template für Risikoakzeptanz‑Nachweise
• Ausgearbeitete Beispiel‑Akzeptanzen (mittlere Risiken, hohe Risiken mit Auflagen, abgelehnte Akzeptanzen)
• Monitoring‑ und Review‑Struktur (monatlich, quartalsweise, jährlich, anlassbezogen)
• Vorgaben zur revisionssicheren Archivierung und Nachweisführung

Die Risikoakzeptanzrichtlinie ist so strukturiert, dass Auditoren, Kunden und interne Prüfinstanzen die Risikoakzeptanz ohne Interpretationsspielräume nachvollziehen können. 

Sie ist direkt in die ISMS‑Prozesslandschaft integrierbar und bildet die Grundlage für Governance, Compliance, Auditfähigkeit und Risikosteuerung.

Zielgruppe:  
Unternehmen, Beratungen, interne ISMS‑Teams, ISO‑27001‑Projektverantwortliche, NIS2‑Umsetzungsprojekte.