§ 7. Risikovurdering

En tilbyder av en samfunnsviktig tjeneste skal utarbeide, vedlikeholde og dokumentere risikovurderinger. Risikovurderingene skal være av et slikt omfang at tilbyderen kan identifisere organisatoriske, teknologiske, fysiske og personellmessige sikkerhetstiltak som ivaretar formålene i § 8 andre ledd. Ved endringer i virksomheten som kan påvirke sikkerheten, skal tilbyderen vurdere hvilken risiko endringene medfører. Risikovurderingene skal minst beskrive a) virksomhetens nettverk og informasjonssystemer og hvilken betydning disse har for leveransen av den samfunnsviktige tjenesten b) hvilke hendelser virksomhetens nettverk og informasjonssystemer kan bli utsatt for c) hvilke sårbarheter som er knyttet til virksomhetens nettverk og informasjonssystemer d) konsekvensen av hendelser e) i hvilken grad virksomheten er avhengig av andre virksomheter for å fungere som den skal.