Moet ik elk jaar mijn risicoanalyse en beleid herzien?

Herzien hoeft alleen als er iets veranderd is; beoordelen moet wél elk jaar. De vaste vraag in de directiebeoordeling is: is er iets gewijzigd in markt, wetgeving, technologie of organisatie dat impact heeft? Zo nee, dan stel je dat vast en dat is genoeg. Zo ja, een overname, een nieuwe dienst, nieuwe wetgeving zoals NIS2, dan werk je gericht bij.