(4) Zpráva o hodnocení aktiv a rizik^**
[§ 28 odst. 1 písm. e), § 28 odst. 2 písm. c)]

a) Přehled primárních aktiv

1. identifikace a popis primárních aktiv,

2. určení garantů primárních aktiv,

3. hodnocení primárních aktiv z hlediska důvěrnosti, integrity a dostupnosti.

b) Přehled podpůrných aktiv (neplatí pro orgány a osoby uvedené v § 3 písm. e) zákona)

1. identifikace a popis podpůrných aktiv,

2. určení garantů podpůrných aktiv,

3. určení vazeb mezi primárními a podpůrnými aktivy,

c) Identifikování a hodnocení rizik

1. posouzení možných dopadů na aktiva,

2. hodnocení existujících hrozeb,

3. hodnocení existujících zranitelností, hodnocení existujících opatření,

4. stanovení úrovně rizika, porovnání této úrovně s kritérii pro přijatelnost rizik,

5. určení a schválení přijatelných rizik.

d) Zvládání rizik

1. návrh způsobu zvládání rizik,

2. návrh opatření a jejich realizace.