2.1.2. A los efectos del punto 2.1.1, las entidades pertinentes establecerán procedimientos para …

a)

seguirán una metodología de gestión de riesgos;

b)

establecerán un nivel de tolerancia al riesgo conforme con la propensión al riesgo de la entidad;

c)

establecerán y mantendrán criterios de riesgo pertinentes;

d)

de conformidad con un enfoque que abarque todos los riesgos, determinarán y registrarán todos los riesgos existentes para la seguridad de los sistemas de redes y de información, en especial con relación a terceros o a aquellos riesgos que puedan generar alteraciones en la disponibilidad, integridad, autenticidad y confidencialidad de los sistemas de redes y de información, incluida la detección de puntos únicos de fallo;

e)

analizarán los riesgos que se planteen para la seguridad de los sistemas de redes y de información, especialmente la amenaza, la probabilidad, el impacto y el nivel de riesgo, teniendo en cuenta la inteligencia sobre ciberamenazas y las vulnerabilidades;

f)

evaluarán los riesgos detectados a partir de los criterios de riesgo;

g)

determinarán y priorizarán las opciones y medidas adecuadas de tratamiento de riesgos;

h)

supervisarán constantemente la aplicación de las medidas de tratamiento de riesgos;

i)

determinarán quién es responsable de la aplicación de las medidas de tratamiento de riesgos y cuándo deben aplicarse estas;

j)

informarán de manera comprensible de las medidas de tratamiento de riesgos elegidas en un plan de tratamiento de riesgos y de las razones que justifiquen la aceptación de los riesgos residuales.