Organisaation olisi määriteltävä ja dokumentoitava kyberturvallisuuden hallintaan liittyvät roolit ja vastuut. Näissä asiakirjoissa olisi ilmoitettava selkeästi, kuka vastaa turvatoimien hyväksymisestä, valvonnasta, tarkastuksesta ja auditoinnista. Siinä olisi myös määriteltävä vastuu siitä, että kyberturvallisuuden hallintaan ja työntekijöiden koulutukseen osoitetaan riittävät resurssit.

Ylimmän johdon on varmistettava selkeät vastuualueet/valtuudet ainakin seuraavissa asioissa:

• kuka on ensisijaisesti vastuussa siitä, että tietoturvallisuuden hallintajärjestelmä on tietoturvavaatimusten mukainen.
• ketkä toimivat ISMS:n teemojen omistajina, jotka vastaavat tietoturvallisuuden hallintajärjestelmän pääteemoista.
• kenellä on vastuu ja valtuudet raportoida ylimmälle johdolle tietoturvallisuuden hallintajärjestelmän toimivuudesta.
• kenellä on valtuudet suorittaa sisäisiä tarkastuksia

ISMS-teemojen omistajat esitellään johtamisjärjestelmän työpöydällä ja tietoturvapoliitiikan raportissa.

Lisäksi ylimmän johdon on varmistettava, että kaikki tietoturvan kannalta merkitykselliset roolit sekä niihin liittyvät vastuut ja valtuudet määritellään ja niistä tiedotetaan. On myös tärkeää tunnistaa ulkoisten kumppaneiden ja palveluntarjoajien roolit ja vastuut.