(1) Оценка на риска за установените критични инфраструктури и обектите им се извършва от собствениците/операторите на критични инфраструктури.
(2) При необходимост за оценка на риска собственикът/операторът на критична инфраструктура може да привлича външни специалисти.