Alle Teilnehmer sollten regelmäßig Risikobewertungen zur Ermittlung von Bedrohungen und Schwachstellen durchführen, die so breit angelegt sind, dass sie wichtige interne und externe Faktoren umfassen, darunter Technologie, physische und menschliche Faktoren, Politiken und Dienstleistungen Dritter, die sich auf die Sicherheit auswirken, die die Festlegung einer annehmbaren Risikoschwelle ermöglichen und die bei der Auswahl geeigneter Kontrollmaßnahmen helfen, um das Risiko einer potenziellen Schädigung der Informationssysteme und -netze gegen die Art und Wichtigkeit der zu schützenden Informationen abzuwägen;
All participants should conduct periodic risk assessments that identify threats and vulnerabilities; are sufficiently broad-based to encompass key internal and external factors, such as technology, physical and human factors, policies and third-party services with security implications; allow determination of the acceptable level of risk; and assist in the selection of appropriate controls to manage the risk of potential harm to information systems and networks in the light of the nature and importance of the information to be protected;