Informationen über technische Schwachstellen verwendeter Informationssysteme müssen rechtzeitig eingeholt, die Gefährdung der Organisation durch derartige Schwachstellen  bewertet und angemessene Maßnahmen ergriffen werden, um das dazugehörige Risiko zu behandeln.