Jos organisaatio käyttää toisen organisaation tarjoamaa keskusjärjestelmää, sen olisi luotava prosessi vastuidensa hallitsemiseksi. Prosessin avulla olisi varmistettava, että

• keskusjärjestelmän käytöstä ilmoitetaan kansalliselle kyberturvallisuusviranomaiselle.
• Järjestelmän tarjoajan turvallisuusvaatimukset sisällytetään organisaation omaan tietoturvapolitiikkaan.
• Määritellään menettely keskusjärjestelmään vaikuttavista kyberturvallisuuden vaaratilanteista ilmoittamista varten sekä toimivaltaiselle vaaratilanteiden hallintakeskukselle että järjestelmän tarjoajalle.

Kun organisaatio toimii keskusjärjestelmän tarjoajana, sen olisi määriteltävä tietoturvavaatimukset, jotka käyttäjäorganisaatioiden on täytettävä käyttöehtona. Nämä vaatimukset olisi sisällytettävä sopimuksiin tai julkaistava organisaation verkkosivustolla.

Vaatimuksilla olisi pyrittävä suojaamaan keskusjärjestelmä, ja ne voivat kattaa esimerkiksi pääsynvalvonnan, vaaratilanteiden raportoinnin ja käyttäjäorganisaatioiden järjestelmän konfiguroinnin.

Jotta organisaatio voisi varmistaa, että sen keskusjärjestelmää käyttävät organisaatiot noudattavat määriteltyjä turvallisuusvaatimuksia, sen olisi otettava käyttöön tarkistusprosessi. Tässä prosessissa olisi määriteltävä, miten käyttäjäorganisaatioiden tarkastukset suoritetaan ja miten puutteet käsitellään. Jos käyttäjäorganisaatio ei korjaa havaitsemiaan puutteita tietyn määräajan kuluessa, organisaation on ilmoitettava laiminlyönnistä kansalliselle kyberturvallisuusviranomaiselle.

Organisaatio listaa relevantit viranomaistoimijat, joihin on tärkeää pitää aktiivisesti yhteyttä sekä tarvittaessa saada yhteys nopeasti. Näitä viranomaisia ovat mm. kansallisia lakeja toimeenpanevat sekä valvontaa toteuttavat viranomaiset.

Relevantteihin viranomaisiin olisi määriteltävä selkeä yhteyshenkilö, joka toimii yhteyspisteenä organisaatioon.