Organisaatio on ottanut käyttöön menettelyt sisäisten tarkastusten suorittamiseksi. Menettelyissä on kuvattava ainakin seuraavat seikat:

• kuinka usein auditointeja tehdään
• kuka voi suorittaa auditointeja (mukaan lukien auditointikriteerit).
• miten varsinainen auditointi suoritetaan
• miten auditoinnin tulokset dokumentoidaan ja kenelle niistä raportoidaan.
• tuloksista on ilmoitettava toimivaltaiselle viranomaiselle, jos sitä säännellään lainsäädännöllä.

Organisaatio toteuttaa sisäisiä auditointeja oman menettelykuvauksensa mukaisesti. Tavoitteena on tarkistaa:

• onko tietoturvallisuuden hallintajärjestelmä organisaation omien tietoturvallisuuden hallintajärjestelmää koskevien vaatimusten mukainen
• onko tietoturvallisuuden hallintajärjestelmä muiden toimintaa koskevien tietoturvavaatimusten tai noudatettujen standardien mukainen
• onko hallintajärjestelmää toteutettu ja ylläpidetty vaikuttavasti

Auditointien järjestämisestä ja tuloksista on säilytettävä dokumentoitua tietoa.

Organisaation on nimettävä pätevä auditoija, joka tarkastaa sen kyberturvallisuusriskien hallintatoimenpiteet. Tarkastajan on täytettävä asiaankuuluvissa säännöksissä määritellyt pätevyysvaatimukset.

Pätevyyden edellytyksenä on, että auditoija esittää dokumentoidun näytön yhdestä tai useammasta seuraavista seikoista:

Keskeisten toimijoiden osalta auditoijan on täytettävä kaikki kolme vaatimusta.

Organisaation on varmistettava, että CIP-osasto tai tarvittaessa nimetty toimivaltainen viranomainen hyväksyy auditoijan nimityksen. Nimitys voidaan tehdä vasta sen jälkeen, kun auditoija on toimittanut perustellun pyynnön ja sitä tukevat asiakirjat hyväksyvälle viranomaiselle ja virallinen hyväksyntä on myönnetty.

Tarkastuksessa on vahvistettava, että organisaation kyberturvallisuusriskien hallintatoimenpiteet ovat sovellettavien oikeudellisten, sääntelyyn liittyvien ja teknisten standardien mukaisia.