Gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e dei soggetti importanti:
a) sono tenuti a seguire una formazione in materia di sicurezza informatica;
b) promuovono l'offerta periodica di una formazione coerente a quella di cui alla lettera a) ai loro dipendenti, per favorire l'acquisizione di conoscenze e competenze sufficienti al fine di individuare i rischi e valutare le pratiche di gestione dei rischi per la sicurezza informatica e il loro impatto sulle attivita' del soggetto e sui servizi offerti.