(1) Jeder Mitgliedstaat nimmt binnen eines Jahres nach der Ausweisung einer in seinem Hoheitsgebiet befindlichen kritischen Infrastruktur als EKI in Teilsektoren eine Bedrohungsanalyse für die betreffenden Teilsektoren der EKI vor.

(2) Jeder Mitgliedstaat übermittelt der Kommission alle zwei Jahre allgemeine Daten in einem zusammenfassenden Bericht über die verschiedenen Arten von Risiken, Bedrohungen und Schwachstellen für jeden Sektor mit einer nach Artikel 4 ausgewiesenen EKI, die sich in seinem Hoheitsgebiet befindet.

Die Kommission kann in Zusammenarbeit mit den Mitgliedstaaten ein allgemeines Muster für diese Berichte ausarbeiten.

Jeder Mitgliedstaat stuft seinen Bericht in die von ihm als notwendig erachtete Geheimhaltungsstufe ein.

(3) Die Kommission und die Mitgliedstaaten prüfen anhand der in Absatz 2 genannten Berichte für jeden einzelnen Sektor, ob in diesem weitere Gemeinschaftsmaßnahmen zum Schutz von EKI zu erwägen sind. Dies erfolgt in Verbindung mit der Überprüfung der Richtlinie nach Artikel 11.

(4) Die Kommission kann in Zusammenarbeit mit den Mitgliedstaaten gemeinsame methodische Leitlinien für die Durchführung von Risikoanalysen zu EKI entwickeln. Die Verwendung solcher Leitlinien ist den Mitgliedstaaten freigestellt.