Organisaation on elintärkeän infrastruktuurin ylläpitäjänä laadittava ja ylläpidettävä kattava Toimijakohtainen turvallisuussuunnitelma (Operator Security Plan, O.S.P.). Suunnitelmassa olisi järjestelmällisesti käsiteltävä elintärkeän infrastruktuurin häiriö- tai tuhoutumisriskejä.

Toimintasuunnitelmassa on eriteltävä yksityiskohtaisesti sekä organisatoriset että aineelliset toimenpiteet, joiden tarkoituksena on ehkäistä, lieventää ja neutralisoida tunnistettuja riskejä. Suunnitelmaa olisi tarkistettava ja päivitettävä säännöllisesti, jotta se vastaisi riskitilanteessa, elintärkeässä infrastruktuurissa tai yleisessä turvallisuusympäristössä tapahtuneita muutoksia.

Organisaatiolla tulee olla prosessi, jonka avulla voidaan analysoida ja oppia digitaalisen häriönsietokyvyn testauksen tuloksista, todellisista kyberturvallisuushäiriöistä ja jatkuvuussuunnitelmien aktivointikokemuksista. Asiaankuuluvia tietoja ja kokemuksia tulisi vaihtaa kumppanien kanssa.

Opitut opetukset tulisi sisällyttää kyberriskien hallintaprosessiin.

Organisaation ylimmällä johdolla tulisi olla vuosittain raportti vanhempien ICT-henkilöstön opetuksista sekä parannussuositukset.

Organisaation tulisi säännöllisesti, vähintään kerran vuodessa, harjoitella siihen kohdistuvia mahdollisia häiriö- tai hyökkäystilanteita.

Harjoitus voi kohdistua joko häiriön havaitsemisen, reagoinnin tai johtamisen kehittämiseen tai kaikkiin näistä.

Harjoitusten toteuttamisesta ja havainnoista tulee ylläpitää dokumentaatiota.

Organisaatio arvioi tietoturvan tasoa ja tietoturvallisuuden hallintajärjestelmän tehokkuutta säännöllisesti.

Organisaatio on määrittänyt:

• seurattavat mittarit, joilla saadaan vertailtavissa olevia tuloksia tietoturvan kehittymisestä
• vastuuhenkilöt mittareiden seurannalle
• tavat, aikataulun ja henkilöt mittareiden katselmointiin ja arviointiin
• tavat mittareiden ja niihin liittyvien arviointien dokumentointiin

Tehokkaita mittareita tulisi pystyä käyttämään heikkouksien tunnistamiseen, resurssien parempaan kohdistamiseen sekä oman onnistumisen / epäonnistumisen arviointiin.

Ylimmän johdon on katselmoitava organisaation tietoturvallisuuden hallintajärjestelmä suunnitelluin aikavälein varmistaakseen, että se on edelleen soveltuva, asianmukainen ja vaikuttava.

Johdon katselmuksessa on käsiteltävä ja kommentoitava vähintään seuraavien asioiden tilaa:

• aiempien johdon katselmusten vuoksi käynnistettyjen parannusten (tai muiden toimenpiteiden) tilanne
• tietoturvallisuuden hallintajärjestelmän kannalta olennaisten tulevat muutokset
• tietoturvan hallintajärjestelmän suorituskyky (häiriöt, mittarointi, auditointien tulokset ja johdon määrittelemien tietoturvatavoitteiden täyttyminen)
• sidosryhmien antama palaute tietoturvasta
• riskien arviointi- ja käsittelyprosessin toiminta

Katselmusten suorittamisesta ja tuloksista on ylläpidettävä dokumentoitua tietoa.