As empresas devem rever a metodologia de gestão dos riscos e as ferramentas adotadas, pelo menos uma vez em cada dois anos, tendo em consideração, nomeadamente:
- a)As violações de segurança ou perdas de integridade com impacto significativo ou quaisquer outras situações extraordinárias referidas na alínea b) do n.º 1 do artigo 2.º ocorridas nos dois anos anteriores;
- b)A informação sobre ameaças, vulnerabilidades e riscos, incluindo os riscos resultantes da evolução das condições climáticas da região e os riscos de desastre natural ou de outros fenómenos extremos, emitida pelas entidades competentes nacionais, europeias ou internacionais, incluindo a ANPC, o IPMA, o ICNF e a ENISA, bem como a informação publicada anualmente ou comunicada às empresas pela ANACOM.