Una valutazione del rischio e della resilienza è una revisione strutturata delle minacce, delle vulnerabilità e delle misure di protezione che influenzano un sistema critico. Nella sicurezza informatica, esamina cosa potrebbe andare storto, quanto sia probabile e quanto efficacemente i controlli esistenti limiterebbero i danni. Per i servizi essenziali e altre utility, questo include sia gli ambienti IT sia quelli di tecnologia operativa, perché una debolezza nell'accesso remoto, nella gestione delle identità o nella progettazione della rete può influire sulle operazioni fisiche.
Questo tipo di valutazione è importante perché le infrastrutture critiche devono continuare a funzionare anche sotto pressione. I difensori la usano per identificare credenziali deboli, inventari degli asset mancanti, reti piatte e altre lacune che gli aggressori spesso sfruttano per passare da una piccola intrusione a un impatto operativo più ampio. Supporta inoltre la pianificazione di rilevamento, contenimento, ripristino e continuità. In pratica, la valutazione non è solo un esercizio burocratico: aiuta a decidere dove segmentare le reti, rafforzare gli accessi e dare priorità al monitoraggio, così la resilienza migliora prima che un incidente metta alla prova il sistema.