(و) تقييم الأخطار: ينبغي لجميع المشتركين أن يقوموا بتقييمات دورية للأخطار تحدد مواطن الخطر والضعف؛ وتكون مبنية على قاعدة عريضة بدرجة كافية للإحاطة بالعوامل الرئيسية، الداخلية والخارجية، مثل التكنولوجيا، والعوامل المادية والبشرية، والسياسات، والخدمات التي تقدمها أطراف ثالثة وتنطوي على آثار أمنية؛ وتسمح بتحديد مستوى المجازفة المقبول؛ وتساعد في اختيار الضوابط المناسبة لإدارة الأخطار التي تنطوي على ضرر محتمل بنظم وشبكات المعلومات في ضوء طبيعة وأهمية المعلومات الواجب حمايتها؛
f) Risikobewertung. Alle Teilnehmer sollten regelmäßig Risikobewertungen zur Ermittlung von Bedrohungen und Schwachstellen durchführen, die so breit angelegt sind, dass sie wichtige interne und externe Faktoren umfassen, darunter Technologie, physische und menschliche Faktoren, Politiken und Dienstleistungen Dritter, die sich auf die Sicherheit auswirken, die die Festlegung einer annehmbaren Risikoschwelle ermöglichen und die bei der Auswahl geeigneter Kontrollmaßnahmen helfen, um das Risiko einer potenziellen Schädigung der Informationssysteme und -netze gegen die Art und Wichtigkeit der zu schützenden Informationen abzuwägen;