De volgende stap in het opstellen van een managementsysteem voor informatiebeveiliging, is de risk assessment. U gaat in deze stap een methode vaststellen om risico’s op basis van criteria te wegen en beoordelen. Wanneer u dit doet, krijgt u een realistisch beeld van hoe groot de kans is dat risico’s zich zullen voordoen.
Ook krijgt u hierdoor een beeld wat de potentiële gevolgen van die risico’s mogelijk zijn. Door het toepassen van deze methode kunt u risiconiveaus vaststellen en deze ten opzichte van elkaar prioriteren. Het resultaat is een overzicht van de realistische bedreigingen als vertrekpunt om vervolgens geschikte maatregelen te kunnen treffen.