Risk-Proofing (Risikofestigkeit)

Risk-Proofing — gelegentlich auch "risk proof" geschrieben — beschreibt die Praxis, eine Organisation so aufzustellen, dass sie den auf sie einwirkenden Risiken standhalten, auf sie reagieren und sich von ihnen erholen kann, statt deren Existenz lediglich zu dokumentieren. Es ist kein einmaliges Projekt, sondern ein kontinuierlicher Lebenszyklus. Während eine klassische Risikobewertung zu einem Zeitpunkt die Frage "Was könnte schiefgehen?" beantwortet, beantwortet Risk-Proofing die Frage "Sind wir heute noch geschützt, können wir es nachweisen, und können wir uns erholen, wenn eine Kontrolle versagt?".

Wichtig ist, was Risk-Proofing nicht ist: Keine Organisation lässt sich vollständig "risikofrei" machen — Aussagen, die eine vollständige Beseitigung von Risiken versprechen, sind mit Vorsicht zu betrachten. Ziel ist vielmehr eine verhältnismäßige, nachweisgestützte Resilienz: die Eintrittswahrscheinlichkeit und Auswirkung nachteiliger Ereignisse auf ein bewusst akzeptiertes Maß zu senken und diese Entscheidung gegenüber Aufsicht, Kunden und Geschäftsleitung belegen zu können.

Der Risk-Proofing-Lebenszyklus läuft als wiederkehrende Schleife, eng angelehnt an den PDCA-Zyklus der ISO 27001, das NIST Cybersecurity Framework (Identify, Protect, Detect, Respond, Recover) und die Testpflichten von DORA: Identifizieren und Bewerten von Assets, Diensten, Lieferanten und Bedrohungen (DORA Art. 6, NIS2 Art. 21); Steuern und Mitigieren durch verhältnismäßige technische und organisatorische Kontrollen; Erkennen und Überwachen durch kontinuierliches Monitoring statt jährlicher Prüfungen; Testen der Resilienz durch Penetrationstests, Red-Team-Übungen und — für kritische Finanzunternehmen — bedrohungsgeleitete Penetrationstests (TLPT) nach DORA Art. 26-27 in Anlehnung an TIBER-EU; Reagieren und Wiederherstellen durch erprobte Incident-Response-, Business-Continuity- und Backup-Prozesse; sowie Überprüfen und Verbessern über KPIs und Management-Reviews.

Unter DORA und NIS2 ist dieser Ansatz keine Kür mehr: Beide Regelwerke verlagern den Fokus von periodischer Checklisten-Compliance hin zu nachweisbarer operativer Resilienz. Die Aufsicht erwartet keinen Policy-Ordner im Regal, sondern den Nachweis, dass Kontrollen vorhanden, getestet und wirksam sind. Risk-Proofing ist das praktische Betriebsmodell, das diesen Nachweis fortlaufend erzeugt.