Aber woher weiß der Errichter, welche Verfügbarkeitsklasse er benötigt? Die EN 50600-1 fordert eine Analyse des Geschäftsrisikos, in der die Kosten eines Ausfalls des Rechenzentrums und die bestehenden Risiken in einer Matrix bewertet werden. Die Norm definiert dabei kein Verfahren zur Risikoanalyse, sondern verweist hierzu wiederum auf eine andere Norm (EN 31010). Dies kann als grundsätzlicher Ansatz in der Erstellung von Normen angesehen werden: wenn möglich werden bereits existierende Normen zitiert, um zu vermeiden, dass in zwei Normen divergierende Aussagen zu einem Sachverhalt getroffen werden.
Aus der Risikoanalyse kann der Planer dann ein Sicherheitskonzept erstellen, das den Umgang mit den Risiken festlegt:
Eine weitere wichtige Leitplanke ist die Definition von Schutzklassen, die von allen Rechenzentren eingehalten werden müssen, um der Norm zu entsprechen. Bei den Schutzklassen wird ein "Zwiebelprinzip" verfolgt, das einen sensibleren Bereich immer innerhalb der nächstniedrigeren Schutzklasse ansiedelt. Es darf also in der Schachtelung der Räume eines Rechenzentrums keine Sprünge innerhalb der Schutzklassen geben, sodass beispielsweise der in Schutzklasse 4 gelegene Serverraum, der die IT-Komponenten enthält, nicht an einer Außenwand des Gebäudes liegen darf. Zudem wird der Zutritt zu den Räumen mit hoher Schutzklasse immer weiter eingeschränkt, damit jederzeit sicher nachverfolgt werden kann, wer sich wann im Rechenzentrum aufgehalten hat. Regelungen zum Einbruchschutz und zum Brandschutz ergänzen diese Maßnahmen und werden im - noch nicht in der endgültigen Form vorliegenden - Teil EN 50600-2-5 beschrieben.