2.1.2. Med henblik på punkt 2.1.1 fastlægger de relevante enheder procedurer for afdækning …

(a)

følge en risikostyringsmetode

(b)

fastsætte risikotolerancetærsklen i overensstemmelse med de relevante enheders risikovillighed

(c)

fastlægge og opretholde relevante risikokriterier

(d)

i overensstemmelse med en tilgang, der omfatter alle farer, afdække og dokumentere risici, der påvirker sikkerheden i net- og informationssystemer, navnlig i forbindelse med tredjeparter, og risici, der kan føre til forstyrrelser i net- og informationssystemernes tilgængelighed, integritet, autenticitet og fortrolighed, herunder afdækning af enkelte fejlpunkter

(e)

analysere de risici, der påvirker sikkerheden i net- og informationssystemer, herunder trussels-, sandsynligheds-, indvirknings- og risikoniveauet, under hensyntagen til efterretninger om cybertrusler og sårbarheder

(f)

evaluere de afdækkede risici på grundlag af risikokriterierne

(g)

udpege og prioritere egnede risikobehandlingsmuligheder og -foranstaltninger

(h)

løbende overvåge gennemførelsen af risikobehandlingsforanstaltningerne

(i)

identificere, hvem der er ansvarlig for at gennemføre risikobehandlingsforanstaltningerne, og hvornår de bør gennemføres

(j)

dokumentere de valgte risikobehandlingsforanstaltninger i en risikobehandlingsplan og begrunde accepten af de resterende risici på en forståelig måde.