1. Niezależnie od terminu określonego w art. 6 ust. 3 akapit drugi państwa członkowskie zapewniają przeprowadzenie oceny ryzyka przez podmioty krytyczne w terminie dziewięciu miesięcy po otrzymaniu powiadomienia, o którym mowa w art. 6 ust. 3, a następnie w razie potrzeby, co najmniej co cztery lata, na podstawie ocen ryzyka państw członkowskich i innych istotnych źródeł informacji, aby ocenić wszystkie istotne czynniki ryzyka, które mogłyby zakłócać świadczenie ich usług kluczowych (zwanej dalej „oceną ryzyka podmiotu krytycznego”).