Các phát hiện được đánh giá theo mức độ Nghiêm trọng (C) dựa trên hai (2) yếu tố: Mức độ Nghiêm trọng (S) và Sự cố Xảy ra (O). Mức độ Nghiêm trọng đánh giá tác động đến hệ thống nếu phát hiện dẫn đến sự cố. Sự cố Xảy ra ước tính khoảng thời gian mà phát hiện sẽ dẫn đến sự cố. Cả hai yếu tố đều được đánh giá theo thang điểm từ 1 đến 4, với 1 là mức độ quan trọng/đáng lo ngại nhất. Mức độ Nghiêm trọng (C) của mỗi phát hiện là tích của Mức độ Nghiêm trọng và Sự cố Xảy ra.