Organisaatio pyrkii ennakoivasti listaamaan ja arvioimaan erilaisten tietoturvariskien todennäköisyyttä ja vakavuutta. Dokumentaatio sisältää seuraavat asiat:

• Riskin kuvaus
• Riskin vakavuus ja todennäköisyys
• Riskiä hallitsevat ohjeet ja hallintatehtävät
• Riskin hyväksyttävyys

Organisaatio on määritellyt menettelyt tietoturvariskien arvioimiseksi ja käsittelemiseksi. Menettelyihin sisältyy ainakin:

• Riskien tunnistamismenetelmät
• Riskianalyysimenetelmät
• Riskien arviointiperusteet (vaikutus ja todennäköisyys).
• Riskien priorisointi, käsittelyvaihtoehdot ja valvontatehtävien määrittely.
• riskien hyväksymiskriteerit
• Prosessin toteuttamissykli, resursointi ja vastuut
• Tulokset olisi sisällytettävä organisaation riskinhallintaprosessiin.

Tehtävän omistaja tarkistaa säännöllisesti, että menettely on selkeä ja tuottaa johdonmukaisia tuloksia.

Elintärkeän tietoinfrastruktuurin toimijoiden on varmistettava, että kattavat kyberturvallisuusarvioinnit tehdään vähintään kerran vuodessa haavoittuvuuksien tunnistamiseksi ja nykyisten turvavalvontakeinojen arvioimiseksi.

Nämä arvioinnit voidaan suorittaa sisäisesti tai valtuutettujen kyberturvallisuuspalvelujen tarjoajien toimesta. Arviointiprosessiin on sisällyttävä

• Arvioidaan kyberturvallisuuden tila, tunnistetaan haavoittuvuudet ja arvioidaan järjestelmiin ja tietoihin kohdistuvat mahdolliset riskit.
• Kehitetään ja toteutetaan korjaus- ja parannustoimenpiteitä havaittujen ongelmien ratkaisemiseksi.
• dokumentoida arviointitulokset, parannustoimet ja seurantatoimet vastuuvelvollisuuden varmistamiseksi.
• Toimittaa havaintotulokset, arviointiraportit ja korjaavat toimenpiteet asianomaisille valvontaviranomaisille tarpeen mukaan.