Määrittele ja dokumentoi taustatarkastusmenettely, jossa määritellään virallisesti käynnistävät tekijät ja soveltamisala.

Menettelyssä on määriteltävä:

1. Taustatarkastuksen käynnistämiseen vaadittavat erityiset edellytykset ja perusteluprosessi sen varmistamiseksi, että jokainen tapaus on perusteltu ja liittyy jäsenvaltion viralliseen riskinarviointiin.
2. Selkeä määritelmä henkilöstöstä, joka kuuluu tämän soveltamisalan piiriin, mukaan lukien:
   • Henkilöt, jotka toimivat arkaluonteisissa tehtävissä, jotka ovat olennainen osa yksikön häiriönsietokykyä.
   • Kuka tahansa, jolla on lupa päästä suoraan tai etänä tiloihin, tietoihin tai valvontajärjestelmiin.
3. Vahvistus siitä, että menettelyä sovelletaan nimenomaisesti hakijoihin, joita harkitaan rekrytoitaviksi edellä määriteltyihin tehtäviin.

Organisaatio on asettanut prioriteetit sen toiminnalle ja tavoitteille. Näiden prioriteettien pohjalta täytyy pystyä määrittämään tietoturvaroolit, -vastuut ja -tavoitteet.

Vähintään digiturvan kannalta tärkeisiin rooleihin hakeutuvien työnhakijoiden tausta olisi tarkastettava, huomioiden asianmukaiset lait ja määräykset.

Tarkastus voi sisältää mm.:

• suositusten tarkistuksen
• CV:n oikeellisuuden tarkistuksen
• koulutuksellisen pätevyyden varmistamisen
• henkilöllisyyden tarkistamisen riippumattomasta lähteestä
• muut yksityiskohtaisemmat tarkistukset (esim. luottotietojen, aiempien korvausvaatimusten tai rikosrekisterin tarkistus)

Taustatarkistus voi olla syytä ulottaa myös esimerkiksi täysin etänä työskenteleviin, urakoitsijoihin tai muihin kolmansiin osapuoliin. Taustatarkistuksen syvyyttä voidaan suhteuttaa tehtävän oikeuttavaan tietoluokkaan.

Ylimmän johdon on katselmoitava organisaation tietoturvallisuuden hallintajärjestelmä suunnitelluin aikavälein varmistaakseen, että se on edelleen soveltuva, asianmukainen ja vaikuttava.

Johdon katselmuksessa on käsiteltävä ja kommentoitava vähintään seuraavien asioiden tilaa:

• aiempien johdon katselmusten vuoksi käynnistettyjen parannusten (tai muiden toimenpiteiden) tilanne
• tietoturvallisuuden hallintajärjestelmän kannalta olennaisten tulevat muutokset
• tietoturvan hallintajärjestelmän suorituskyky (häiriöt, mittarointi, auditointien tulokset ja johdon määrittelemien tietoturvatavoitteiden täyttyminen)
• sidosryhmien antama palaute tietoturvasta
• riskien arviointi- ja käsittelyprosessin toiminta

Katselmusten suorittamisesta ja tuloksista on ylläpidettävä dokumentoitua tietoa.