Planen bör bygga på en risk- och sårbarhetsanalys .