Im ersten Schritt werden die Risikokriterien festgelegt. Hier handelt es sich vor allem um die Akzeptanz aber auch um die Bewertungskriterien (Risiko-Klassifzierungskriterien). Der zweiten Schritt definiert den Risiko Management Prozess bzw. das Risk Management Verfahren, um eine Wiederholbarkeit sicherzustellen. Vgl. hier auch Risikomanagement Prozess gem. ISO 27005.
Im dritten Schritt werden die Risiken analysiert. Dafür gilt es 1. die Risiken zu identifizieren, ihnen 2. einen Risikoverantwortlichen (Risk Owner) zuzuordnen und dann mit Hilfe von Eintrittswahrscheinlichkeit und Auswirkung abzuschätzen.
Im letzten und vierten Schritt werden die Risiken bewertet (vgl. ISO 27001:2013, Kap. 6). Mehr dazu in unserer Schulung IT Risk Management in der Praxis.