(1) Entitățile critice efectuează o evaluare a riscurilor proprie în termen de 9 luni de la primirea notificării menționate la art. 6 alin. (3) ultima teză și, ulterior, ori de câte ori este necesar, dar cel puțin o dată la fiecare 4 ani, pe baza evaluării riscurilor efectuate de CNCPIC conform art. 5 și a altor surse relevante de informații, în vederea evaluării tuturor riscurilor care ar putea perturba furnizarea serviciilor lor esențiale.
(2) Evaluarea riscurilor efectuată de entitatea critică conform alin. (1) ține seama de toate riscurile naturale și de cele provocate de om care ar putea provoca producerea unui incident, inclusiv cele intersectoriale sau transfrontaliere, accidentele, dezastrele naturale, situațiile de urgență din domeniul sănătății publice și amenințările hibride, precum și alte amenințări, inclusiv infracțiunile de terorism prevăzute de Legea nr. 535/2004 , cu modificările și completările ulterioare.
(3) Evaluarea riscurilor efectuată de entitatea critică, potrivit prezentei legi, ține seama de gradul de dependență al altor sectoare prevăzute în anexă față de serviciul esențial furnizat și de gradul de dependență al entității critice față de serviciile esențiale furnizate de alte entități în sectoarele respective, inclusiv în statele membre și țările terțe învecinate.
(4) Entitatea critică poate utiliza evaluări ale riscurilor și documente relevante pentru acestea, specifice responsabilităților sectorului de activitate, pentru a îndeplini cerințele prevăzute la prezentul articol.
(5) În exercitarea atribuțiilor conform prevederilor prezentei legi, CNCPIC și ACS examinează și constată, în baza unor proceduri de verificare a conformității elaborate în cadrul grupului de lucru înființat conform prevederilor menționate la art. 9 alin. (4) , că o evaluare existentă a riscurilor efectuată de o entitate critică care abordează riscurile și gradul de dependență menționate la alin. (2) și (3) este conformă, integral sau parțial, cu respectarea obligațiilor prevăzute în prezentul articol.