f) Risikobewertung. Alle Teilnehmer sollten regelmäßig Risikobewertungen zur Ermittlung von Bedrohungen und Schwachstellen durchführen, die so breit angelegt sind, dass sie wichtige interne und externe Faktoren umfassen, darunter Technologie, physische und menschliche Faktoren, Politiken und Dienstleistungen Dritter, die sich auf die Sicherheit auswirken, die die Festlegung einer annehmbaren Risikoschwelle ermöglichen und die bei der Auswahl geeigneter Kontrollmaßnahmen helfen, um das Risiko einer potenziellen Schädigung der Informationssysteme und -netze gegen die Art und Wichtigkeit der zu schützenden Informationen abzuwägen;
f) Évaluation des risques. Toutes les parties prenantes doivent, pour déceler les dangers qui menacent et les points vulnérables, procéder périodiquement à des évaluations des risques qui soient suffisamment larges pour couvrir l'ensemble des principaux facteurs internes et externes, tels que la technologie, les facteurs physiques et humains, les politiques et les services de tierces parties ayant des conséquences pour la sécurité, qui permettent de déterminer le niveau acceptable de risque et qui facilitent la sélection des mesures de contrôle appropriées pour gérer le risque de préjudices susceptibles d'être causés aux systèmes et réseaux d'information, selon la nature et l'importance de l'information à protéger ;