2.1.2. За целите на точка 2.1.1 съответните субекти създават процедури за установяване, анализ …

а)

следват методология за управление на риска;

б)

определят нивото на допустимия риск в съответствие с рисковия апетит на съответните субекти;

в)

установяват и поддържат съответните критерии за риска;

г)

в съответствие с подхода, обхващащ всички опасности, определят и документират рисковете, свързани със сигурността на мрежовите и информационните системи, по-специално по отношение на трети страни, както и рисковете, които биха могли да доведат до нарушаване на наличността, целостта, автентичността и поверителността на мрежовите и информационните системи, включително определят точки, повредата в които може да доведе до общ срив;

д)

анализират рисковете, свързани със сигурността на мрежовите и информационните системи, включително заплахата, вероятността, въздействието и нивото на риска, като вземат предвид разузнавателните сведения за заплахи и уязвимостите;

е)

оценяват установените рискове въз основа на критериите за риска;

ж)

определят и отдават приоритет на подходящи варианти и мерки за въздействие върху риска;

з)

осъществяват постоянен мониторинг на изпълнението на мерките за въздействие върху риска;

и)

определят кой е отговорен за прилагането на мерките за въздействие върху риска и кога следва да бъдат прилагани;

й)

документират по разбираем начин избраните мерки за въздействие върху риска в план за въздействие върху риска и причините, обосноваващи приемането на остатъчните рискове.