Betroffene Einrichtungen müssen alle vier Risikokategorien in ihrem Risikomanagement abdecken, bzw. es müssen diese vier fundamentalen Kategorien im Risikomanagement der Einrichtung inhaltlich mitberücksichtigt sein. Wie eine Einrichtung ihren Risikomanagementrahmen (insbesondere Einrichtungsinterne Kategorien und Benennungen) gestaltet bleibt der Einrichtung überlassen und muss aufgrund der vier genannten Risikokategorien nicht per se verändert werden, solange eine Berücksichtigung der vier genannten Kategorien ableitbar ist.