Kritiske enheder skal foretage en risikovurdering med henblik på at vurdere alle relevante risici, der kan forstyrre leveringen af deres væsentlige tjenester.
Stk. 2 Risikovurderingen skal foretages på grundlag af den nationale risikovurdering og andre relevante informationskilder, og den skal tage højde for alle relevante naturlige og menneskeskabte risici, der kan føre til en hændelse. Risikovurderingen skal tage hensyn til, i hvilket omfang andre sektorer nævnt i lovens bilag afhænger af den kritiske enheds væsentlige tjeneste. Risikovurderingen skal endvidere tage hensyn til, i hvilket omfang den kritiske enhed afhænger af væsentlige tjenester, der leveres af enheder i andre sektorer omfattet af lovens bilag, herunder i andre lande.
Stk. 3 Risikovurderingen nævnt i stk. 1 skal være foretaget, 9 måneder efter at den kritiske enhed har modtaget en orientering i medfør af § 3, stk. 5, 1. pkt. Risikovurderingen skal opdateres, når det er nødvendigt, og mindst hvert fjerde år.
Stk. 4 Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om kritiske enheders risikovurdering.