(1) Субектът извършва анализ и оценка на риска за мрежовата и информационната сигурност регулярно, но не по-рядко от веднъж годишно, или когато се налагат съществени изменения в целите, вътрешните и външните условия на работа, информационната и комуникационната инфраструктура, дейностите или процесите, влизащи в обхвата на тази наредба.
(2) Анализът и оценката на риска са документиран процес по смисъла на чл. 5, ал. 1, т. 6, в който са регламентирани нивата на неприемливия риск и отговорностите на лицата, участващи в отделните етапи на процеса.
(3) Анализът и оценката на риска се извършват по методика, гарантираща съизмерими, относително обективни и повтарящи се резултати. Методиката се одобрява от административния орган, съответно от ръководителя на субекта по чл. 1, ал. 1, т. 2 - 5, и е достъпна за лицата, на които е възложено да участват в процеса. Може да се прилага препоръчителна методика съгласно приложение № 3.
(4) На основание на анализа и оценката на риска Субектът изготвя план за намаляване на неприемливите рискове, който да включва минимум:
- 1. подходящи и пропорционални мерки за смекчаване на неприемливите рискове;
- 2. необходими ресурси за изпълнение на тези мерки;
- 3. срок за прилагане на мерките;
- 4. отговорни лица.