Ein Risiko entsteht aus einem möglichen Ereignis und seinen Folgen. Ein technischer Befund allein sagt noch nicht, wie stark ein Betrieb betroffen ist.
Ordne zuerst kritische Prozesse und Verantwortlichkeiten zu.
Ein Handwerksbetrieb kann Aufträge nicht ausführen, wenn seine Terminplanung ausfällt. Eine Sicherheitslücke in einer ungenutzten Software betrifft ihn dagegen nicht unmittelbar.
Risiken werden allein durch die Zahl technischer Warnungen bestimmt. Falsch. Geschäftliche Folgen, Exposition und Schutzmassnahmen gehören zur Beurteilung.
Notiere einen wichtigen Geschäftsprozess, seine Daten und die Auswirkung eines eintägigen Ausfalls. Besprich, wer dieses Risiko verantwortet.
Keine Bewertung kann Eintritt und Schaden exakt vorhersagen.