The organization must designate a person responsible for the security of electronic information systems. This person's responsibilities should include:

• operating the risk management framework,
• reporting cybersecurity incidents and
• maintaining contact with the national cybersecurity incident response center.

The agreement should clearly define these responsibilities if an external person or entity is contracted to perform these tasks. The designated person, whether internal or external, should possess the necessary qualifications and experience for the role. Any legally required background checks, such as verifying full legal capacity and absence of a criminal record, should be conducted.

The organisation should ensure that the person responsible for the security of electronic information systems is provided with the necessary conditions to perform their duties. This involves ensuring that the person:

• participates in the preparation of all decisions affecting the protection of electronic information systems.
• has the necessary authorisations, information, and resources to ensure the protection of the information system.
• has access to all systems, data, and information necessary for the performance of their tasks.

Ylimmän johdon on varmistettava selkeät vastuualueet/valtuudet ainakin seuraavissa asioissa:

• kuka on ensisijaisesti vastuussa siitä, että tietoturvallisuuden hallintajärjestelmä on tietoturvavaatimusten mukainen.
• ketkä toimivat ISMS:n teemojen omistajina, jotka vastaavat tietoturvallisuuden hallintajärjestelmän pääteemoista.
• kenellä on vastuu ja valtuudet raportoida ylimmälle johdolle tietoturvallisuuden hallintajärjestelmän toimivuudesta.
• kenellä on valtuudet suorittaa sisäisiä tarkastuksia

ISMS-teemojen omistajat esitellään johtamisjärjestelmän työpöydällä ja tietoturvapoliitiikan raportissa.

Lisäksi ylimmän johdon on varmistettava, että kaikki tietoturvan kannalta merkitykselliset roolit sekä niihin liittyvät vastuut ja valtuudet määritellään ja niistä tiedotetaan. On myös tärkeää tunnistaa ulkoisten kumppaneiden ja palveluntarjoajien roolit ja vastuut.

Organisaatiossa on tarpeeksi koulutettua, valvottua ja tarvittaessa asianmukaisesti turvallisuusselvitettyä henkilöstöä, jotka toimivat tietoturvan avainrooleissa suorittaen tietoturvallisuuden hallintajärjestelmään liittyviä hallintatehtäviä.

Organisaatio on määritellyt:

• millainen pätevyys tällä henkilöstöllä tulee olla
• kuinka pätevyys hankitaan ja varmistetaan (esim. soveltuvan koulutuksen ja koulutuksen seurannan avulla)
• kuinka pätevyys voidaan osoittaa dokumentaation avulla

Tehtävän omistaja katselmoi turvallisuushenkilöstön määrää ja osaamistasoa säännöllisesti.