Dies hängt vom Geschäftsrisiko ab. Eine Bewertung sollte anhand eines objektiven Rahmens, wie dem NIST Cybersecurity Framework oder IEC 62443 vorgenommen werden. Diese geben einen sehr guten Überblick über Fragen zum Geschäftsrisiko sowie über fehlende oder unzureichende Cybersecurity-Kontrollen. Jede Investition in Cybersecurity-Maßnahmen muss im Verhältnis zum Risiko stehen. Es sollte ein Programm erstellt werden, das sich zuerst mit den Schlüsselfragen und im Anschluss mit den verbleibenden Fragen befasst. Es ist unwahrscheinlich, dass dies in einem einzigen Schritt möglich ist. Abhängig vom individuellen Geschäft und den bestehenden Cybersecurity-Stufen, kann ein effektives Programm 2 bis 3 Jahre dauern. Risikobewertungen sollten regelmäßig durchgeführt werden, um somit die sich ständig ändernde Art und Weise von Cybersecurity-Bedrohungen erkennen und meistern zu können.