Organisaatio pyrkii ennakoivasti listaamaan ja arvioimaan erilaisten tietoturvariskien todennäköisyyttä ja vakavuutta. Dokumentaatio sisältää seuraavat asiat:

• Riskin kuvaus
• Riskin vakavuus ja todennäköisyys
• Riskiä hallitsevat ohjeet ja hallintatehtävät
• Riskin hyväksyttävyys

Organisaatio on määritellyt menettelyt tietoturvariskien arvioimiseksi ja käsittelemiseksi. Menettelyihin sisältyy ainakin:

• Riskien tunnistamismenetelmät
• Riskianalyysimenetelmät
• Riskien arviointiperusteet (vaikutus ja todennäköisyys).
• Riskien priorisointi, käsittelyvaihtoehdot ja valvontatehtävien määrittely.
• riskien hyväksymiskriteerit
• Prosessin toteuttamissykli, resursointi ja vastuut
• Tulokset olisi sisällytettävä organisaation riskinhallintaprosessiin.

Tehtävän omistaja tarkistaa säännöllisesti, että menettely on selkeä ja tuottaa johdonmukaisia tuloksia.

Organisaation olisi luotava virallinen prosessi, jonka avulla kyberturvallisuustietoja, kuten järjestelmävikoja, tietokoneviruksia tai verkkohyökkäyksiä, voidaan julkaista yleisölle. Prosessin avulla on varmistettava, että kaikki tällaiset julkistamiset tehdään asiaankuuluvien valtion säännösten mukaisesti. Prosessissa olisi määriteltävä julkistamisen kriteerit, vaadittavat sisäiset hyväksynnät ja viralliset viestintäkanavat.

Jos se on tarkoituksenmukaista organisaation tarjoaman palvelun kannalta ja jos tällaisten tietojen paljastaminen ei aiheuta uutta merkittävää tietoturvahäiriön riskiä tai ole muuten ristiriidassa kansallisten turvallisuusetujen kanssa, organisaation olisi ilmoitettava käyttäjilleen viipymättä kaikista merkittävistä häiriöistä, jotka todennäköisesti vaikuttavat kielteisesti kyseisten palvelujen tarjoamiseen.

Häiriö on merkittävä, kun vähintään yksi seuraavista tapahtuu:

• Häiriö voi aiheuttaa vakavan häiriön palvelujen toiminnassa tai vakavia taloudellisia tappioita palveluntarjoajalle.
• Häiriö voi aiheuttaa merkittävää aineellista tai aineetonta vahinkoa siihen liittyville henkilöille tai muille organisaatioille.

Organisaatio arvioi tietoturvaan liittyvien riskejä reagoimalla tilanteisiin, joissa tietoturva on lievästi tai vakavasti pettänyt. Dokumentaatio sisältää vähintään seuraavat asiat:

• Häiriön kuvaus
• Häiriöön liittyneet riskit
• Häiriön johdosta käyttöön otetut uudet hallintatehtävät
• Häiriön johdosta toteutetut muut toimenpiteet

Riskikäsittelyn toteuttamisen jälkeen organisaatio arvioi jäljelle jäävän jäännösriskin tason riskikohtaisesti.

Jäännösriskin suhteen tehdään selkeä päätökset riskin omistajan toimesta joko riskin sulkemiseksi tai riskin palauttamiseksi käsittelyjonoon.

Organisaatiolla on toimintamalli riskienhallintaprosessin toimivuuden ja tehokkuuden jatkuvaan parantamiseen.

Parantamisessa voidaan hyödyntää mm. yleisiä standardeja (mm. ISO 27005) tai riskienhallintaan osallistuneiden henkilöiden palautteita.