(3) Vyhodnocení rizik se provádí

a) identifikací druhů a zjištěním množství utajovaných skutečností, které se v objektu vyskytují nebo budou vyskytovat, zejména z hlediska následku neoprávněného nakládání s těmito skutečnostmi,

b) popisem a vyhodnocením hrozeb, kterým jsou tyto utajované skutečnosti vystaveny,

c) popisem a vyhodnocením zranitelnosti utajovaných skutečností vůči těmto hrozbám,

d) stanovením míry rizika, jako „malé“, „střední“ nebo „velké“, na základě vyhodnocení hrozeb a zranitelnosti utajovaných skutečností.