Als Minimum: Risiko-ID, Szenariobeschreibung, betroffenes Asset, Bedrohung und Schwachstelle, Eintrittswahrscheinlichkeit, Schadenshöhe, Bruttorisikowert, Behandlungsoption, konkrete Maßnahme, zugeordnete Annex-A-Controls, Risikoeigentümer, Frist, Status, Restrisiko und Datum der letzten Bewertung.

Es gibt keine Vorgabe. Für kleine und mittlere Unternehmen sind 15 bis 30 sorgfältig bewertete Risiken entlang der tatsächlich kritischen Prozesse deutlich tragfähiger als 200 oberflächliche Einträge, die anschließend niemand pflegt.

ISO/IEC 27001 verlangt Bewertungen in geplanten Abständen und zusätzlich bei wesentlichen Änderungen - neue Systeme, neue Dienstleister, Sicherheitsvorfälle. Bewährt hat sich eine quartalsweise Durchsicht der offenen Maßnahmen und eine vollständige Neubewertung jährlich im Management-Review.

Das Bruttorisiko ist die Bewertung vor Umsetzung der Maßnahmen, das Restrisiko die Bewertung danach. Restrisiken oberhalb der Akzeptanzschwelle müssen durch die verantwortliche Leitung ausdrücklich und datiert freigegeben werden.