Im zweiten Schritt muss eine Risikoanalyse für jedes schützenwerte Asset erfolgen, in welcher die Risiken innerhalb des Anwendungsbereiches identifiziert und bewertet werden. Die Einschätzung erfolgt mittels gesetzlicher Anforderungen oder Compliance-Richtlinien. Dabei werden auch die Eintrittswahrscheinlichkeiten, Vertraulichkeit, Integrität und Verfügbarkeit sowie die Schadensszenarien bei Eintritt betrachtet. Erfassen und dokumentieren Sie ihm Rahmen der Risikoanalyse, welche Prozesse, Gefährdungen und Risiken für Ihre Organisation relevant sind. Am Ende der Risikoanalyse haben Sie einen Überblick darüber,  welche Risiken vertretbar sind und bei welchen Risiken die Eintrittswahrscheinlichkeit durch geeignete Maßnahmen reduziert werden muss.