Eine Liste der Kategorien wird angezeigt, zusammen mit ihrer Reihenfolge und den Filtern, die definieren, unter welchen Bedingungen die Fragen gestellt werden (z. B. nur, wenn die Kategorie des Security Incidents Kriminelle Aktivitätlautet). Jede Kategorie ist ein Abschnitt im Fragebogen zur Überprüfung nach Incident, und die Fragen in jeder Kategorie sind nur enthalten, wenn der Security Incident dem Bedingungsfilter entspricht. Beispielsweise würden Sie für eine Kategorie von Fragen, die nur Linux-Server betreffen, einen Filter einrichten, der Security Incidents auswählt, bei denen der betroffene Ressourcentyp Linux-Server ist. In dieser Kategorie würden Sie dann alle Fragen erstellen, die erforderlich sind, wenn sich ein Security Incident auf einem Linux-Server befindet. Sie verwenden eine der im Basissystem bereitgestellten Kategorien oder erstellen eine neue Kategorie. Dieses Verfahren geht davon aus, dass Sie eine neue Kategorie erstellen möchten, bevor Sie Fragen definieren.