(1) Analiza de risc la securitate fizică se realizează numai de către evaluatorul de risc la securitate fizică înscris în Registrul național al evaluatorilor de risc la securitatea fizică, denumit în continuare R.N.E.R.S.F., care se organizează la nivelul Inspectoratului General al Poliției Române.
(2) Etapele obligatorii necesare efectuării analizei de risc la securitate fizică, aspectele referitoare la documentația privind analiza de risc la securitate fizică, evidența acestei documentații și a analizelor de risc la securitate fizică, termenul de implementare a măsurilor de securitate stabilite, precum și situațiile excepționale în care poate fi prelungit acest termen se stabilesc prin normele metodologice de aplicare a prezentei legi.
(3) Analiza de risc la securitate fizică se efectuează după semnarea contractului de prestări servicii, încheiat între unitatea beneficiară și societatea sau altă formă de organizare la care evaluatorul de risc la securitate fizică este angajat ori conducător, cu excepția cazurilor de efectuare în regim intern prin structuri de specialitate, când activitățile specifice încep în baza deciziei scrise a conducătorului unității beneficiare.
(4) Evaluatorul de risc la securitate fizică are obligația de a efectua personal analiza de risc la securitate fizică, exclusiv pe baza datelor identificate la unitatea ce face obiectul analizei.
(5) Conducătorul unității beneficiare are obligația de a pune la dispoziția evaluatorului de risc la securitate fizică date și informații reale, precum și de a nu influența obiectivitatea și corectitudinea efectuării analizei de risc la securitate fizică.
(6) Analiza de risc la securitate fizică se efectuează înaintea instituirii sau modificării măsurilor de securitate, cu excepția cazurilor de suplimentare a acestora, și se revizuiește în următoarele situații:
a) în cel mult 90 de zile calendaristice de la modificarea parametrilor interni și externi care generează și/sau modifică riscurile la securitatea fizică a unității;
b) în cel mult 60 de zile calendaristice de la producerea unui incident relevant de securitate fizică la unitatea beneficiară, cu excepția situațiilor în care sistemul de alarmare împotriva efracției implementat a furnizat informații și date concrete pentru identificarea autorilor sau a condus la întreruperea producerii incidentului;
c) în cel mult 30 de zile calendaristice de la modificarea caracteristicilor arhitecturale, funcționale sau a obiectului de activitate al unității, precum și în situația neimplementării în termen a măsurilor de securitate stabilite prin analiza de risc la securitate fizică.