Vervangt CVSS 4.0 beleid of risico-afhandeling?

Nee. Beleid bepaalt onder meer de risicobereidheid, systeemklassen, termijnen, uitzonderingen, verantwoordelijken en voorwaarden voor risicoacceptatie. CVSS kan technische ernst, actuele dreiging en omgevingsfactoren consistent vastleggen, maar neemt geen bestuurlijk besluit.

In de risico-afhandeling combineert de organisatie die informatie met toepasselijkheid, bedrijfsimpact, veiligheid, privacy, wettelijke verplichtingen en beschikbare maatregelen. Zij besluit vervolgens bijvoorbeeld tot herstellen, beperken, vermijden, overdragen of gemotiveerd accepteren. De score en vector vormen bewijs bij dat besluit; ze vervangen het beleid, het besluit en de vastgelegde motivering niet.