Tag udgangspunkt i de tjenester, data og brugere, som løsningen skal understøtte. Undersøg, hvad der kan gå galt, hvilke konsekvenser det kan få, og hvilke kontroller der allerede findes. Vurderingen skal være konkret nok til at påvirke krav og beslutninger.

Involvér forretning, drift, sikkerhed og relevante dataansvarlige. Prioritér scenarier som utilgængelighed, uautoriseret adgang og tab af integritet. Beslut behandling, ejer og accepteret restrisiko. Opdatér vurderingen, når løsningsvalg eller leverandørforhold ændres; en indledende workshop er et udgangspunkt, ikke en permanent godkendelse af alle senere løsninger.

Kilder og faglig baggrund: NIST: Cybersecurity Framework 2.0