7.1.1.1
For ”use cases” kortlagt i kriterie 1.2.3.2 skal virksomheden foretage en indledende risikovurdering.

For virksomhedsgruppe III og IV:
Risikovurderingen skal udføres med udgangspunkt i risikovurderingsprocessen, som er defineret i 1.3.1.2.

De krav, som er defineret i 7.1.2.1 om interessentinddragelse, skal indgå som en del af den indledende og løbende risikovurdering.

Resultatet af risikovurderingen skal udmøntes i at virksomhedens ”use cases” fra 1.2.3.2 kategoriseres i én af følgende fire kategorier:

Meget lav
Lav
Høj
Meget høj

Virksomheden skal derefter løbende og minimum årligt lave risikovurderinger ved væsentlige ændringer i databehandlingsaktiviteterne og de it-systemer og anden teknologi, der anvendes.