Organisaation on käytettävä, ylläpidettävä ja jatkuvasti kehitettävä tietoturvallisuuden hallintajärjestelmää.

Hallintajärjestelmään liittyvät rajaukset ja soveltamisala, sisällöt, roolitus, kertyvä toteutustieto sekä muu tarpeellinen kuvaustieto on oltava selkeästi dokumentoitu.

Organisaation olisi tarkistettava olemassa olevat teollisuusautomaatio- ja ohjausjärjestelmiä (IACS) koskevat kyberturvallisuuskäytännöt ja -menettelyt varmistaakseen, että ne ovat linjassa laajempien organisaation riskienhallintapolitiikkojen kanssa tai että ne ulottuvat niistä asianmukaisesti eteenpäin. Tarkistuksen tulisi:

• Tunnistettava IACS-kohtaisten toimintatapojen ja yritystason riskienhallintakehysten (esim. turvallisuus, laatu, ympäristö, tietoturva) väliset päällekkäisyydet ja puutteet.
• varmistaa, että yhdennetyn hallinto- ja valvontajärjestelmän riskejä käsitellään johdonmukaisesti organisaation riskinsietokyvyn ja hallintokäytäntöjen kanssa.
• ehdottaa tarvittavia päivityksiä tai laajennuksia yhdennetyn hallinto- ja valvontajärjestelmän kyberturvallisuusmenettelyihin, jotta voidaan säilyttää yhdenmukaisuus yrityksen standardien kanssa ja ottaa samalla huomioon yhdennetyn hallinto- ja valvontajärjestelmän erityiset vaatimukset.

Organisaation johto vastaa, että:

• organisaatiolla on ylimmän johdon hyväksymät turvallisuusperiaatteet, jotka kuvaavat organisaation tietoturvallisuustoimenpiteiden kytkeytymistä organisaation toimintaan
• turvallisuusperiaatteet ovat turvallisuusluokiteltujen tietojen suojaamisen kannalta kattavat ja tarkoituksenmukaiset
• turvallisuusperiaatteet ohjaavat tietoturvallisuustoimenpiteitä
• organisaatiossa on järjestetty riittävä valvonta turvallisuusluokiteltujen tietojen tiedonhallintaan liittyvien velvoitteiden ja ohjeiden noudattamisesta.

Johdon tuki, ohjaus ja vastuu ilmenevät sillä, että organisaatiolla on ylimmän johdon hyväksymät turvallisuusperiaatteet, jotka kuvaavat organisaation tietoturvallisuustoimenpiteiden kytkeytymistä organisaation toimintaan. Tällä osoitetaan, että johto on sitoutunut organisaation turvallisuusperiaatteisiin ja periaatteet edustavat johdon tahtotilaa sekä tukevat organisaation toimintaa. Periaatteet voidaan kuvata monin eri tavoin, esimerkiksi yksittäisenä dokumenttina, osana yleisiä toimintaperiaatteita, politiikkaa tai strategiaa.

Organisaation johdon on osoitettava sitoutumista tietoturvatyötä ja tietoturvallisuuden hallintajärjestelmää kohtaan. Johto sitoutuu:

• määrittämään työn perusteena toimivat vaatimukset (esim. asiakasvaatimukset, lait ja asetukset tai standardit)
• määrittämään tietoturvan hallintaan tarvittavat resurssit
• viestimäään tietoturvallisuuden tärkeydestä
• varmistamaan, että työllä saavutetaan halutut tulokset
• edistämään tietoturvan jatkuvaa parantamista

Johto päättää lisäksi tietoturvan hallintajärjestelmän soveltamisalan ja kirjaa päätöksen ylös hallintajärjestelmän kuvaukseen. Tämä tarkoittaa, rajataanko esimerkiksi joitain osia organisaation toiminnasta tai hallinnoimasta tiedosta pois hallintajärjestelmän piiristä, vai koskeeko se organisaation kaikkea tietoa / toimintaa.