A Y implementa o gerenciamento de risco cibernético de maneira irregular e por iniciativas pontuais de colaboradores.
B W gerencia os riscos cibernéticos em um nível organizacional, mas ainda sem a percepção de que esse gerenciamento é parte da cultura organizacional, como ocorre na organização Y.
C W está mais protegida contra ataques cibernéticos do que a organização Y.
D W e Y, embora estejam em níveis distintos, cuidam da segurança sem estabelecimento formal das práticas e procedimentos.
E Y se encontra no nível mais alto de maturidade, não sendo mais necessário se atualizar a novos riscos cibernéticos.