Risikominderungsmaßnahmen identifizieren und festlegen

Für alle in der Sicherheitsanalyse als nicht akzeptierbar bewerteten Risiken sind Maßnahmen zur Risikominderung zu ermitteln. Diese Maßnahmen beeinflussen einerseits - in Form konstruktiver Maßnahmen wie Redundanz, Identifikation, Authentifizierung, Access Control - den Erstellungsprozess und andererseits den Prüfprozess im Falle analytischer QS-Maßnahmen. Die risikomindernden Maßnahmen sind aus den Vorgaben des Projekthandbuches zur Systemsicherheit auszuwählen.

Die identifizierten Maßnahmen sind hinsichtlich ihrer Auswirkung bei der Durchführung zu analysieren und zu bewerten. Dabei ist beispielsweise der Grad der Risikominderung festzustellen oder der Aufwand der Umsetzung zu ermitteln. Darüber hinaus lassen sich die Auswirkungen auf die Inbetriebnahme, den Betrieb, die Stilllegung und das Bedienpersonal ermitteln. Die Ergebnisse dieser Analyse und Bewertung sind zu dokumentieren. Darauf aufbauend sind geeignete Maßnahmen zur Durchführung der Risikominderung festzulegen. Die Entscheidungsfindung ist wiederum zu dokumentieren.

Sollten keine geeigneten Risikominderungsmaßnahmen gefunden werden oder sollten zusätzlich Erfolg versprechende Maßnahmen zur Risikominderung existieren beziehungsweise vorstellbar sein, so muss mit dem Auftraggeber verhandelt werden und die so gefundene Lösung im Rahmen einer Problemmeldung/einem Änderungsantrag beantragt und dokumentiert werden.