ISO 27005 und NIS2: Kein Gesetz nennt die Norm — Anhang 2.1.2 Kapitel für Kapitel gemappt

Drei Volltexte, ein Ergebnis: Das BSIG nennt ISO 27005 kein einziges Mal. Die NIS-2-Richtlinie nennt sie nicht. Die Durchführungsverordnung (EU) 2024/2690 nennt sie ebenfalls nicht. Die einzige EU-Stelle, die die Norm überhaupt beim Namen nennt, ist ENISA — zweimal, beide Male in einer Fußnote.

Trotzdem ist ISO/IEC 27005:2022 die naheliegendste Antwort auf die Frage, die § 30 Absatz 2 Nummer 1 BSIG offenlässt: Wie genau sieht ein „Konzept in Bezug auf die Risikoanalyse“ aus? Das Gesetz gibt Ihnen ein Wort. Die Durchführungsverordnung gibt Ihnen zehn Anforderungen. Die Norm hält für jede dieser zehn Anforderungen ein Kapitel bereit.

Dieser Beitrag legt beides nebeneinander — und klärt vorher, für wen der Anhang überhaupt gilt. Die übergeordnete Systematik steht im Leitfaden NIS2-Risikobewertung für KMU; hier geht es um die Methodenfrage darunter.

Was das Recht zur Methode sagt — und was es bewusst offenlässt

In Kurzform: Keine Rechtsnorm schreibt Ihnen eine Risikomethodik vor. Verbindlich ist das dokumentierte Ergebnis, nicht der Weg dorthin.

Rechtsakt	Nennt ISO 27005?	Was er zur Methode sagt	Verbindlich für
§ 30 BSIG	Nein — „ISO“ hat im gesamten BSIG-Volltext null Treffer	Absatz 2 Satz 1: Maßnahmen „sollen … die einschlägigen europäischen und internationalen Normen berücksichtigen“ und „müssen auf einem gefahrenübergreifenden Ansatz beruhen“ [1]	alle besonders wichtigen und wichtigen Einrichtungen in Deutschland
NIS-2-Richtlinie, Artikel 21 Absatz 2 Buchstabe a und Artikel 25	Nein — die Reihe ISO/IEC 27000 wird genau einmal genannt, in Erwägungsgrund 79	Artikel 25 Absatz 1: die Mitgliedstaaten „fördern … die Anwendung europäischer und internationaler Normen“ — eine Förderpflicht des Staates, keine Anwendungspflicht der Einrichtung [2]	die Mitgliedstaaten; für Einrichtungen wirkt sie über das BSIG
Durchführungsverordnung (EU) 2024/2690, Anhang Nummer 2.1	Nein	zehn Verfahrenselemente in Nummer 2.1.2 Buchstaben a bis j — ohne einen einzigen Normnamen [3]	elf Einrichtungsarten, abschließend in Artikel 1 aufgezählt
ENISA, Technical Implementation Guidance v1.0 (Juni 2025)	Ja, zweimal — beide Treffer stehen in Fußnoten	Fußnote 13: „For example, ISO/IEC 27005:2022″; Fußnote 15 verweist für Risikokriterien auf Kapitel 6.4 der Norm [4]	niemanden — Leitlinie ohne Rechtsverbindlichkeit

Der entscheidende Satz ist § 30 Absatz 2 Satz 1 BSIG, und er entscheidet über seine Verben. Normen zu berücksichtigen ist ein Soll. Auf einem gefahrenübergreifenden Ansatz zu beruhen ist ein Muss. Sie müssen ISO 27005 also nie wählen — und den All-Gefahren-Ansatz nie weglassen, egal welche Methodik Sie wählen [1].

Die Richtlinie stützt das von der EU-Seite. Artikel 25 Absatz 1 adressiert nicht Sie, sondern die Mitgliedstaaten: Sie fördern die Anwendung europäischer und internationaler Normen [2]. Eine Anwendungspflicht für Einrichtungen entsteht daraus nicht — und der deutsche Gesetzgeber hat sie folgerichtig als Soll-Vorschrift umgesetzt. Die einzige Erwähnung der ISO/IEC-27000-Reihe in der gesamten Richtlinie steht in Erwägungsgrund 79 — Erwägungsgründe erklären die Absicht des Gesetzgebers, ohne Pflichten zu begründen.

Gilt Anhang Nummer 2.1.2 für Ihre Einrichtung?

Für die meisten deutschen Einrichtungen: nein — und trotzdem ist der Anhang der beste verfügbare Auslegungstext. Drei Fälle:

1. Sie sind DNS-Diensteanbieter, TLD-Namenregister, Cloud-Anbieter, Rechenzentrumsdienstleister, CDN-Betreiber, Managed Service Provider, Managed Security Service Provider, Online-Marktplatz, Online-Suchmaschine, Plattform für soziale Netzwerke oder Vertrauensdiensteanbieter. Dann gilt der Anhang unmittelbar. § 30 Absatz 3 BSIG stellt für genau diese Aufzählung klar, dass der Durchführungsrechtsakt Vorrang vor Absatz 2 hat [1] [3]. Details zum Regelwerk selbst stehen im Leitfaden zur NIS2-Durchführungsverordnung.
2. Sie sind besonders wichtige oder wichtige Einrichtung, aber keine der elf Arten. Der Anhang bindet Sie nicht. Für Sie gilt der Katalog aus § 30 Absatz 2 BSIG — nachgezeichnet in unserer Übersicht der zehn Risikomanagementmaßnahmen. Der Anhang bleibt aber der einzige Text, in dem die Kommission ausbuchstabiert, was Artikel 21 Absatz 2 Buchstabe a verfahrenstechnisch bedeutet — und das ist dieselbe Rechtsgrundlage, die § 30 umsetzt.
3. Sie beliefern eine Einrichtung aus Gruppe 1. Rechtlich trifft Sie der Anhang nicht; vertraglich landet er in der Praxis trotzdem in Ihrem Lastenheft.

Für Fall 2 heißt das: Nehmen Sie den Anhang als Prüfraster — nicht weil er gilt, sondern weil er zeigt, wie die Kommission dieselbe Rechtsgrundlage liest, an der das BSI Sie misst.

Was ISO/IEC 27005:2022 ist — und was sie nicht ist

Die Norm erschien im Oktober 2022 in vierter Ausgabe, umfasst 62 Seiten und stammt vom gemeinsamen Komitee ISO/IEC JTC 1/SC 27 [6]. Ihr Anwendungsbereich in Kapitel 1 ist bemerkenswert schmal formuliert: Sie liefert Anleitung, um „die Anforderungen der ISO/IEC 27001 zu Maßnahmen gegen Informationssicherheitsrisiken zu erfüllen“ und um Risikobeurteilung und Risikobehandlung durchzuführen — „anwendbar auf alle Organisationen, unabhängig von Art, Größe oder Branche“ [5].

Daraus folgt die wichtigste Abgrenzung: Nach ISO 27005 kann man sich nicht zertifizieren lassen. Zertifizierbar sind nur Normen, die Anforderungen formulieren; 27005 formuliert Leitlinien. Zertifiziert wird deshalb gegen die ISO/IEC 27001 — und 27005 produziert genau die Risikoentscheidungen, die deren Kapitel 6.1 und Klausel 8 voraussetzen [5]. Wie sich die beiden Normen zu NIS2 verhalten, vertieft der Vergleich NIS2 vs. ISO 27001.

Die vierte Ausgabe hat gegenüber 2018 sechs Änderungen, die ISO im Vorwort auflistet. Eine davon ist für NIS2 der eigentliche Gewinn: „the event-based approach is contrasted with the asset-based approach to risk identification“ — die Norm stellt seither die ereignisbasierte und die assetbasierte Risikoidentifikation nebeneinander, statt eine zu unterstellen. Hinzu kamen Risikoszenarien als eigenes Konzept sowie die Angleichung an ISO/IEC 27001:2022 und ISO 31000:2018 [5].

Warum das zählt: Anhang Nummer 2.1.2 Buchstabe d verlangt, Risiken „im Einklang mit einem gefahrenübergreifenden Ansatz“ zu ermitteln, ausdrücklich auch in Bezug auf Dritte, und dabei „auch punktuelle Ausfälle“ zu identifizieren [3]. Eine reine Asset-Liste findet Single Points of Failure schlecht, weil der Ausfall zwischen den Assets liegt. Ein Ereignisszenario findet ihn leicht. Dass ausgerechnet Erwägungsgrund 79 — die Fundstelle, an der die Richtlinie den gefahrenübergreifenden Ansatz begründet — auch die einzige Stelle ist, die die ISO/IEC-27000-Reihe nennt, passt dazu [2]. Das ist eine Lesart, keine Aussage der Kommission, aber sie erklärt, warum die 2022er Fassung für diese Anforderung besser trägt als jede ältere.

Anhang Nummer 2.1.2 Buchstabe a bis j, auf die Kapitel der Norm gemappt

Zehn Anforderungen, zehn Anlaufstellen in der Norm. Die Aufwandsspalte ist eine Erfahrungseinschätzung, keine Quellenangabe.

Buchst.	Anforderung aus Anhang Nummer 2.1.2 [3]	ISO/IEC 27005:2022 [5]	Nachweis, den Sie am Ende halten	Aufwand
a	„eine Risikomanagementmethodik befolgen“	6.5 Auswahl einer geeigneten Methode; 5.1 Risikomanagementprozess	schriftliche Methodikbeschreibung mit Skalen und Zuständigkeiten	mittel
b	„eine Risikotoleranzschwelle im Einklang mit der Risikobereitschaft … festlegen“	6.4.2 Risikoakzeptanzkriterien	Schwellenwerte, von der Leitung gezeichnet	hoch — Leitungsentscheidung, nicht delegierbar
c	„einschlägige Risikokriterien einführen und pflegen“	6.4 Festlegung und Pflege der Risikokriterien (6.4.1, 6.4.3)	Kriterienkatalog samt Bewertungsskalen	mittel
d	Risiken gefahrenübergreifend ermitteln und dokumentieren, „insbesondere in Bezug auf Dritte“, einschließlich punktueller Ausfälle	7.2 Identifizierung (7.2.1 Beschreibung, 7.2.2 Risikoeigentümer)	Risikoregister mit Szenarien, Dritten und Single Points of Failure	hoch
e	Risiken analysieren: „Niveau der Bedrohung, der Wahrscheinlichkeit, der Auswirkung und des Risikos“ unter Berücksichtigung von Cyberbedrohungslage und Schwachstellen	7.3 Analyse (7.3.2 Auswirkungen, 7.3.3 Eintrittswahrscheinlichkeit, 7.3.4 Risikoniveau)	Bewertung je Risiko mit benannter Bedrohungsquelle	hoch
f	„die ermittelten Risiken auf der Grundlage der Risikokriterien bewerten“	7.4.1 Abgleich der Analyseergebnisse mit den Kriterien	je Risiko eine dokumentierte Entscheidung gegen die Schwelle aus b	gering, wenn b und c stehen
g	„geeignete Optionen und Maßnahmen für die Behandlung von Risiken bestimmen“	8.2 Behandlungsoptionen; 8.3 erforderliche Maßnahmen; 7.4.2 Priorisierung	Maßnahmenliste mit Behandlungsoption je Risiko	mittel
h	„die Umsetzung der Maßnahmen … fortlaufend überwachen“	10.5 Überwachung und Überprüfung	Statusverfolgung mit Datum und Verantwortlichem	mittel — dauerhaft, nicht einmalig
i	„ermitteln, wer für die Umsetzung … verantwortlich ist und wann diese erfolgen sollte“	8.6.1 Formulierung des Risikobehandlungsplans; 7.2.2 Risikoeigentümer	Plan mit Name und Termin je Maßnahme	gering
j	Maßnahmen im Risikobehandlungsplan dokumentieren und „die Gründe für das Eingehen der Restrisiken umfassend erläutern“	8.6.1 Plan; 8.6.2 Genehmigung durch Risikoeigentümer; 8.6.3 Akzeptanz der Restrisiken	unterzeichneter Plan plus dokumentierte Restrisikoakzeptanz	hoch — hier scheitern die meisten Prüfungen

Buchstabe a und Buchstabe c werden dabei oft verwechselt. Für die Auswahl der Methodik selbst verweist ENISA gerade nicht auf 27005, sondern auf das eigene Compendium of Risk Management Frameworks, das eine ganze Reihe von Verfahren nebeneinanderstellt [8]. Buchstabe c dagegen ist der einzige Punkt im ganzen Regelwerk, an dem eine EU-Stelle eine Kapitelnummer der Norm ausspricht: ENISA schreibt in Fußnote 15 wörtlich, Informationen zu Risikokriterien fänden sich in „ISO/IEC 27005:2022, paragraph 6.4″ [4]. Dort heißt das Kapitel „Establishing and maintaining information security risk criteria“ — praktisch die Übersetzung des Verordnungswortlauts „einführen und pflegen“ [5].

Zwei Anforderungen stehen außerhalb der Buchstabenliste und werden regelmäßig übersehen: Nummer 2.1.1 verlangt, dass die Leitungsorgane Risikobewertungsergebnisse und Restrisiken akzeptieren (Norm: 8.6.2 und 8.6.3), Nummer 2.1.4 die Überprüfung „in geplanten Zeitabständen und mindestens jährlich“ sowie nach erheblichen Sicherheitsvorfällen (Norm: 9.1, 10.5, 10.6) [3] [5].

Wo die Norm mehr liefert als die Verordnung verlangt — und wo sie nichts liefert

Die Deckung ist gut, aber nicht deckungsgleich — in beide Richtungen.

Die Norm liefert mehr in den Kapiteln 8.4 und 8.5: Abgleich der Maßnahmen mit Anhang A der ISO/IEC 27001:2022 und Erstellung einer Erklärung zur Anwendbarkeit [5]. Die Verordnung verlangt keine solche Erklärung. Wer sie trotzdem führt, baut den Weg zum Zertifikat mit, ohne doppelt zu arbeiten.

Die Norm liefert nichts zu drei Punkten, die die Verordnung in Nummer 2.1.3 ausdrücklich in die Priorisierung hineinzieht: „die Umsetzungskosten im Verhältnis zum erwarteten Nutzen“, die Klassifizierung von Anlagen und Werten nach Nummer 12.1 und die Analyse der betrieblichen Auswirkungen nach Nummer 4.1.3 [3]. In der Kapitelstruktur der Norm gibt es für Anlagenklassifizierung und Business-Impact-Analyse keinen eigenen Abschnitt — diese Verknüpfung stellt die Verordnung selbst her, und Sie müssen sie in Ihrem Prozess ergänzen. Ebenso wenig sagt 27005 etwas zu Meldefristen: Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat später stehen in § 32 BSIG [1] und haben mit Risikomanagement methodisch nichts zu tun.

Eine Warnung zur Erwartungshaltung: ENISA bezeichnet die eigenen Nachweisbeispiele ausdrücklich als „indicative, non-exhaustive“ [4]. Keine Methodik garantiert, dass eine Aufsichtsbehörde Ihre Dokumentation akzeptiert. Sie leistet die Nachvollziehbarkeit, die § 30 Absatz 1 Satz 3 BSIG verlangt [1] — welche Unterlagen daraus entstehen, ordnet die Übersicht der NIS2-Dokumentationspflichten ein.

ISO 27005 oder BSI-Standard 200-3?

Beide Wege sind zulässig. Der Unterschied liegt weniger in der Qualität des Verfahrens als in der Anschlussfähigkeit — und in einem Datum, das kaum jemand nachschlägt.

Der BSI-Standard 200-3 ist in der Version 1.0 vom Oktober 2017 aktuell. Sein Literaturverzeichnis in Kapitel 9.5 führt „ISO/IEC 27005:2011″ und „ISO/IEC 31000:2009″ [7] — beide Fassungen sind ersetzt: 27005 liegt seit Oktober 2022 in vierter Ausgabe vor, ISO 31000 seit 2018 [5] [6]. Das entwertet das Verfahren nicht; Gefährdungsübersicht, Risikoeinschätzung und Matrix-Ansatz funktionieren unabhängig von der Referenzfassung. Es bedeutet aber, dass ENISA 2025 und das BSI 2017 auf zwei verschiedene Ausgaben derselben Norm zeigen.

Dazu kommt eine Begriffsfalle, die das BSI selbst benennt. § 30 Absatz 2 Nummer 1 BSIG verlangt „Konzepte in Bezug auf die Risikoanalyse“ [1]. Im BSI-Standard 200-3 bezeichnet „Risikoanalyse“ den kompletten Prozess — identifizieren, einschätzen, bewerten und behandeln. Nach ISO 31000 und ISO 27005 ist die Risikoanalyse dagegen nur ein Schritt der Risikobeurteilung, eingerahmt von Identifikation und Bewertung. Das steht wörtlich in Kapitel 1.3 des BSI-Standards [7]. Wer ein Dokument „Risikoanalyse“ nennt und darin nur den ISO-Teilschritt abbildet, liefert der Aufsicht weniger, als die Überschrift verspricht.

Kriterium	ISO/IEC 27005:2022	BSI-Standard 200-3
Aktuelle Fassung	4. Ausgabe, Oktober 2022, 62 Seiten [6]	Version 1.0, Oktober 2017 [7]
Referenzierte Normfassungen	ISO/IEC 27001:2022, ISO 31000:2018 [5]	ISO/IEC 27005:2011, ISO/IEC 31000:2009 [7]
Ausgangspunkt der Identifikation	wahlweise ereignisbasiert oder assetbasiert [5]	Gefährdungsübersicht aus den elementaren Gefährdungen des IT-Grundschutz-Kompendiums [7]
Bedeutung von „Risikoanalyse“	ein Schritt der Risikobeurteilung	der gesamte Prozess [7]
Risikokriterien als eigenes Kapitel	ja — Kapitel 6.4, genau die Stelle, auf die ENISA zeigt [4] [5]	nein — der Begriff kommt im Standard nicht vor; die Kriterienlogik steckt im Risikoappetit, Anhang 9.1 [7]
Anschluss an	ISO/IEC 27001-ISMS und dessen Zertifizierung	IT-Grundschutz-Vorgehensweise und BSI-Zertifizierung
Zugang	kostenpflichtig über ISO	kostenfrei beim BSI

Die Faustregel: Wer IT-Grundschutz fährt oder ein BSI-Zertifikat anstrebt, bleibt bei 200-3 — der Vergleich NIS2 vs. IT-Grundschutz zeigt, wie weit die Bausteine tragen. Wer ein ISO-27001-ISMS betreibt oder plant, nimmt 27005, weil die Ergebnisse direkt an Kapitel 6.1 und Klausel 8 der ISO/IEC 27001:2022 andocken [5]. Wer noch frei wählt und unter die Durchführungsverordnung fällt, nimmt 27005 — weil ENISA in beiden Fußnoten dorthin zeigt [4].

Was das je nach Rolle bedeutet

Rolle	Ihre Aufgabe im Risikoprozess	Woran Sie erkennen, dass es trägt
Geschäftsleitung	Risikobewertungsergebnisse und Restrisiken akzeptieren (Anhang Nummer 2.1.1) und die Toleranzschwelle setzen (Buchstabe b)	eine datierte, namentlich gezeichnete Freigabe, mindestens jährlich erneuert — siehe auch die Geschäftsleiterhaftung nach § 38 BSIG
ISB oder CISO	Methodik, Kriterien und Analyse (Buchstaben a, c, d bis f) aufsetzen und betreiben	zwei Personen stufen dasselbe Risiko mit derselben Methodik gleich ein
Compliance und Recht	prüfen, ob die Dokumentation § 30 Absatz 1 Satz 3 genügt	die Verhältnismäßigkeitsbegründung nach § 30 Absatz 1 Satz 2 steht schriftlich, nicht nur im Kopf
Inhaberin oder Inhaber eines KMU ohne eigene IT-Abteilung	Umfang festlegen, statt Methodik erfinden	der Aufwand skaliert über die Zahl der Szenarien, nicht über die Methodik — Umsetzungskosten sind in § 30 Absatz 1 Satz 2 BSIG und in Anhang Nummer 2.1.3 ausdrücklich ein Abwägungsfaktor [1] [3]

Häufige Fragen

Ist ISO 27005 für NIS2 verpflichtend?
Nein. Die Norm kommt weder im BSIG noch in der Richtlinie noch in der Durchführungsverordnung vor, und Artikel 25 Absatz 1 der Richtlinie untersagt den Mitgliedstaaten die „Auferlegung“ einer bestimmten Lösung ausdrücklich [1] [2] [3]. Verpflichtend ist das dokumentierte Ergebnis.

Kann man sich nach ISO 27005 zertifizieren lassen?
Nein. Die Norm enthält Leitlinien, keine Anforderungen — zertifiziert wird gegen ISO/IEC 27001. 27005 liefert die Risikoentscheidungen, die ein solches Zertifikat voraussetzt [5] [6].

Reicht ein ISO-27001-Zertifikat als Nachweis für Anhang Nummer 2.1?
Als Baustein ja, als alleiniger Beleg selten. Ein Zertifikat weist die Konformität eines Managementsystems in einem bestimmten Geltungsbereich nach. Ob Ihr Risikoprozess alle zehn Elemente abdeckt — insbesondere Buchstabe b und j —, hängt davon ab, wie weit dieser Bereich reicht. Der Grundlagenbeitrag Was ist ein ISMS? ordnet das ein.

Und ISO 31000?
ISO 27005 überträgt nach ISO-eigener Beschreibung die allgemeinen Grundsätze der ISO 31000 auf die Informationssicherheit [6]. Für NIS2 spielt ISO 31000 keine Rolle: Sie kommt in keinem der drei Rechtstexte vor und in der 170-seitigen ENISA-Leitlinie kein einziges Mal [4].

Wie oft muss die Risikobewertung wiederholt werden?
Für die elf Einrichtungsarten der Verordnung: „in geplanten Zeitabständen und mindestens jährlich“ sowie bei wesentlichen Änderungen oder erheblichen Sicherheitsvorfällen (Anhang Nummer 2.1.4) [3]. Das BSIG nennt für alle übrigen keine Frequenz — der Jahresrhythmus ist die naheliegende Orientierung.

Fazit

ISO 27005 ist für NIS2 weder vorgeschrieben noch überflüssig. Sie ist der Text, der die Lücke füllt, die der Gesetzgeber bewusst gelassen hat — und zwar so passgenau, dass die einzige EU-Behörde, die überhaupt eine Methodik beim Namen nennt, in beiden Fußnoten dorthin zeigt. Der praktische Einstieg ist nicht der Kauf der Norm, sondern Buchstabe b: Setzen Sie die Risikotoleranzschwelle, lassen Sie sie von der Leitung zeichnen, und datieren Sie das Dokument. Alles andere — Kriterien, Register, Behandlungsplan — hängt daran und lässt sich ohne diese Schwelle gar nicht prüfen.

Dieser Beitrag bietet allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsform, Einrichtungsart und Bundesland abweichen. Für eine auf Ihre Situation zugeschnittene Beurteilung wenden Sie sich an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder an eine Compliance-Fachkraft.

Quellen

1. § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, gesetze-im-internet.de — insbesondere Absatz 1 Satz 2 und 3, Absatz 2 Satz 1, Absatz 2 Nummer 1 und Absatz 3. Wortzählung über den BSIG-Volltext (195.148 Zeichen): „ISO“ 0 Treffer, „Risikoanalyse“ 1 Treffer, „Risikokriterien“ 0 Treffer.
2. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), deutsche Amtsblattfassung, EUR-Lex — Artikel 21 Absatz 2 Buchstabe a, Artikel 25 Absatz 1, Erwägungsgrund 79.
3. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, deutsche Amtsblattfassung, EUR-Lex — Artikel 1 und Anhang Nummern 2.1.1 bis 2.1.4.
4. Technical Implementation Guidance on Cybersecurity Risk Management Measures, Version 1.0, ENISA, Juni 2025 (PDF, 170 Seiten) — Leitfadentext und Fußnoten 13, 14 und 15 zu Anhang Nummer 2.1. Wortzählung über den Volltext: „27005″ 2 Treffer, „31000″ 0 Treffer.
5. ISO/IEC 27005:2022 — offizielle Leseprobe mit Vorwort, Einleitung und vollständigem Inhaltsverzeichnis (PDF) — Kapitel 1 Anwendungsbereich, Änderungsliste der vierten Ausgabe, Kapitelstruktur 5 bis 10 und Anhang A.
6. ISO/IEC 27005:2022, Katalogeintrag der ISO — 4. Ausgabe, veröffentlicht Oktober 2022, 62 Seiten, Komitee ISO/IEC JTC 1/SC 27, ersetzt ISO/IEC 27005:2018. Ohne Link, da iso.org wechselhaft mit HTTP 403 antwortet.
7. BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz, Bundesamt für Sicherheit in der Informationstechnik — Version 1.0, Oktober 2017; Kapitel 1.3 zur Begriffsabgrenzung, Literaturverzeichnis Kapitel 9.5, Anhang 9.1 Risikoappetit.
8. Compendium of Risk Management Frameworks with Potential Interoperability, ENISA, Januar 2022 — die Sammlung, auf die ENISA in Fußnote 14 für die Methodenauswahl verweist.