No se había llevado a cabo anteriormente una evaluación explícita de las amenazas y de los riesgos a que estaban sujetos los servicios y las operaciones informáticos, lo que los hacía vulnerables, con la posibilidad de que se produjeran pérdidas de datos e interrupciones en servicios informáticos de importancia crítica.
ففيما قبل، لم يكن أداء وعمليات خدمات تكنولوجيا المعلومات والاتصالات تُقيَّم بمراعاة التعرض لتهديدات ومخاطر بشكل محدد، وكان ذلك يؤدي إلى تعرضها لنقاط ضعف ممكنة، مما يُفضي إلى تلف أو فقدان البيانات وتعطل في توفير خدمات تكنولوجيا المعلومات والاتصالات البالغة الأهمية.