Alle Teilnehmer sollten regelmäßig Risikobewertungen zur Ermittlung von Bedrohungen und Schwachstellen durchführen, die so breit angelegt sind, dass sie wichtige interne und externe Faktoren umfassen, darunter Technologie, physische und menschliche Faktoren, Politiken und Dienstleistungen Dritter, die sich auf die Sicherheit auswirken, die die Festlegung einer annehmbaren Risikoschwelle ermöglichen und die bei der Auswahl geeigneter Kontrollmaßnahmen helfen, um das Risiko einer potenziellen Schädigung der Informationssysteme und -netze gegen die Art und Wichtigkeit der zu schützenden Informationen abzuwägen;
Все участники должны выполнять периодическую оценку риска, которая: позволяет выявлять угрозы и факторы уязвимости; имеет достаточно широкую базу, чтобы охватить такие ключевые внутренние и внешние факторы, как технология, физические и человеческие факторы, применяемая методика и услуги третьих лиц, сказывающиеся на безопасности; дает возможность определить допустимую степень риска; и помогает выбрать надлежащие инструменты контроля, позволяющие регулировать риск потенциального ущерба информационным системам и сетям с учетом характера и значимости защищаемой информации;