Die Fähigkeit der kontinuierlichen Identifizierung, Beurteilung und Reduzierung der IKT-bezogenen Risiken innerhalb der festgelegten Toleranzwerte sowie die damit zusammen-hängende Fähigkeit Identitäten und Zugriffe zu managen. Die Risikostrategie legt die Prioritäten, Einschränkungen und maximal tragbaren Risiken der Organisation fest, sorgt für die Beurteilung der operativen Risiken auf dieser Grundlage und entwickelt geeignete Gegenmassnahmen und Risikominderungs-strategien. Damit einher geht, dass die Risikobereitschaft und Risikotoleranz verstanden, formuliert und kommuniziert werden sowie, dass das Risiko in Verbindung mit der IKT-Nutzung identifiziert und gemanagt wird. Das IKT-Risiko Management gliedert sich in die Teile Risikoanalyse, Risikobewertung sowie die Risikobewältigung durch Umsetzung definierter Massnahmen. Um deren Wirksamkeit zu überprüfen, werden Risiken fortlaufend neu beurteilt und allfällige Veränderungen ausgewiesen. Darüber hinaus gehört die Einrichtung eines Kontrollsystems zur Identifikation und Priorisierung von Risiken inkl. der Bewertung von Bedrohungen, Schwachstellen und Sicherheitslücken und deren Eintrittswahrscheinlichkeit. Im Rahmen der Fähigkeit Identitäten und Zugriffe managen zu können wird sichergestellt, dass physische und logische Zugriffe auf IKT-Betriebsmittel und – Anlagen nur für autorisierte Personen, Prozesse und Geräte möglich sind. Das bedeutet, dass alle Benutzer entsprechend ihrer Anforderungen Zugriffsrechte auf Informationen besitzen. Dazu ist es notwendig sich mit Stakeholder abzustimmen die ihre eigenen Zugriffsrechte innerhalb von Prozessen verwalten. Dazu gehört z.B. auch die Authentifizierung, Autorisierung und Verwaltung der Identitäten von Maschinen oder Produktions-faktoren für die Zugriffsverwaltung (auf technische Systeme).