2.1.2. Pro účely bodu 2.1.1 příslušné subjekty stanoví postupy pro identifikaci, analýzu, posouzení …

a)

dodržují metodiku řízení rizik;

b)

stanoví úroveň tolerance rizika v souladu s ochotou příslušných subjektů riskovat;

c)

stanoví a spravují příslušná kritéria rizik;

d)

v souladu s přístupem zohledňujícím všechny druhy rizik identifikují a dokumentují rizika pro bezpečnost sítí a informačních systémů, zejména ve vztahu ke třetím stranám, a rizika, která by mohla vést k narušení dostupnosti, integrity, autenticity a důvěrnosti sítí a informačních systémů, včetně identifikace kritického místa (tzv. single point of failures);

e)

analyzují rizika pro bezpečnost sítí a informačních systémů, včetně hrozby, pravděpodobnosti, dopadu a úrovně rizika, s přihlédnutím k informacím o kybernetických hrozbách a zranitelnostech;

f)

vyhodnotí identifikovaná rizika na základě kritérií rizik;

g)

identifikují vhodné možnosti a opatření k ošetření rizik a stanoví pořadí jejich důležitosti;

h)

průběžně sledují provádění opatření k ošetření rizik;

i)

určí, kdo je odpovědný za provádění opatření k ošetření rizik a kdy by tato opatření měla být provedena;

j)

komplexně zdokumentují zvolená opatření k ošetření rizik v plánu ošetření rizik a důvody, které vedly k akceptaci zbytkových rizik.