Ordne zuerst kritische Prozesse und Verantwortlichkeiten zu.
Ein Risiko entsteht aus einem möglichen Ereignis und seinen Folgen. Ein technischer Befund allein sagt noch nicht, wie stark ein Betrieb betroffen ist.
Ein Handwerksbetrieb kann Aufträge nicht ausführen, wenn seine Terminplanung ausfällt. Eine Sicherheitslücke in einer ungenutzten Software betrifft ihn dagegen nicht unmittelbar.
Notiere einen wichtigen Geschäftsprozess, seine Daten und die Auswirkung eines eintägigen Ausfalls. Besprich, wer dieses Risiko verantwortet.
Keine Bewertung kann Eintritt und Schaden exakt vorhersagen.