A no nível 1 (Parcial), as práticas de gerenciamento de risco já estão consolidadas.
B no nível 2 (Risco Informado), a organização ainda não possui processos estabelecidos para gerenciamento de risco.
C no nível 3 (Reproduzível), as políticas de gerenciamento de risco estão aprovadas e publicadas como Política.
D no nível 4 (Adaptável), a empresa ignora os relatos de novas ameaças, construindo sua própria base de ameaças mais completa.
E no nível 5 (Consolidada), a empresa já se antecipa aos novos riscos, tendo inclusive capacidade de resistir aos Zero Day Attacks.