c) Identifikování a hodnocení rizik

1. posouzení možných dopadů na aktiva,

2. hodnocení existujících hrozeb,

3. hodnocení existujících zranitelností, hodnocení existujících opatření,

4. stanovení úrovně rizika, porovnání této úrovně s kritérii pro přijatelnost rizik,

5. určení a schválení přijatelných rizik.