(3) Vyhodnocení rizik se provádí

a) identifikací stupňů utajovaných informací a zjištěním množství utajovaných informací, které se v objektu vyskytují nebo budou vyskytovat, zejména z hlediska následku jejich vyzrazení nebo zneužití,

b) popisem a vyhodnocením hrozeb, kterým jsou tyto utajované informace vystaveny,

c) popisem a vyhodnocením zranitelnosti utajovaných informací vůči těmto hrozbám,

d) stanovením míry rizika, jako „malé“, „střední“ nebo „velké“, na základě vyhodnocení hrozeb a zranitelnosti utajovaných informací.