7.2. Politika a postupy uvedené v bodě 7.1. zohledňují výsledky posouzení rizik podle bodu 2.1. a …

a)

jaká opatření pro řízení kybernetických bezpečnostních rizik mají být sledována a měřena, včetně procesů a kontrol;

b)

případně metody monitorování, měření, analyzování a hodnocení, s cílem zajistit platné výsledky;

c)

kdy se má provádět monitorování a měření;

d)

kdo je odpovědný za monitorování a měření účinnosti opatření k řízení kybernetických bezpečnostních rizik;

e)

kdy se mají výsledky monitorování a měření analyzovat a vyhodnocovat;

f)

kdo musí tyto výsledky analyzovat a vyhodnotit.