Stanowi również obowiązek zgodnie z Art. 8 i Art. 17 cyberustawy. Systematyczne szacowanie ryzyka i zarządzanie nim powinno być podłożem systemu zarządzania bezpieczeństwem. 

O zarządzaniu ryzykiem standardy i prawodawstwo wielu krajów mówią już od dziesiątek lat. 

Najbardziej powszechną normą dotykającą tego tematu jest ISO 31000 lub dedykowana dla bezpieczeństwa informacji norma ISO/IEC 27005. 

Zarządzanie ryzykiem można bardzo praktycznie wykorzystać do wypracowania kompromisu pomiędzy bezpieczeństwem idealnym - które często chcielibyśmy, aby istniało w naszej organizacji a ograniczeniami, które często napotykamy w praktyce. 

Mechanizm nazwany w standardach zarządzaniem ryzykiem, czyli jego akceptacja lub ograniczenie występowania, jeżeli tylko będzie praktycznie wdrożony pozwoli zaoszczędzić wiele czasu i pieniędzy. Ale przede wszystkim pozwoli spełnić wymagania prawne narzucane przez Ustawę.

Wdrożenie modelu zarządzania ryzykiem w oderwaniu od organizacji i faktycznej odpowiedzialności staje się zagrożeniem dla sytemu bezpieczeństwa, a tym samym dla organizacji. Stwarzając pozory profesjonalizmu i rzetelności narażamy się na wdrozenie mechanizmów pseudo bezpieczeństwa. Mechanizmów, ktore będą generowały koszty, bez podniesienia faktycznego poziomu bezpieczeństwa.