ISO/IEC 27001 erwartet, dass das Risikomanagement der Informationssicherheit als ein disziplinierter Entscheidungsprozess funktioniert, nicht als einmalige Compliance-Übung. Die Risikobewertung muss Ergebnisse liefern, die konsistent, dokumentiert und nachvollziehbar sind, und die auf das zurückzuführen sind, was die Organisation umsetzt, akzeptiert und überprüft. In der Praxis kämpfen viele ISMS mit unklaren Risikokriterien, schwach formulierten Risikoerklärungen, fragmentiertem Eigentum und Behandlungsplänen, die die Auswahl der Kontrollen oder Annahmeentscheidungen nicht klar rechtfertigen.

Dieses Modul konzentriert sich darauf, wie ISO/IEC 27001 erwartet, dass Informationssicherheitsrisiken innerhalb eines ISMS definiert, bewertet, behandelt und nachgewiesen werden. Es konzentriert sich auf die erforderlichen Interpretationen, dokumentierten Elemente und Nachvollziehbarkeitsbeziehungen zwischen Risiken, Behandlungsentscheidungen, Kontrollen und Annahme. Der Schwerpunkt liegt auf der Erstellung von Risikoartefakten, die Governance, Management-Review und Assurance unterstützen und die weiterhin verwendbar bleiben, während sich das ISMS im Laufe der Zeit entwickelt.