2.1. Riskijuhtimisraamistik

a)

järgivad riskijuhtimismetoodikat;

b)

määravad vastavalt asjaomaste üksuste riskivalmidusele kindlaks riskitaluvuse taseme;

c)

määravad kindlaks asjakohased riskikriteeriumid ja haldavad neid;

d)

teevad kooskõlas kõiki ohte hõlmava lähenemisviisiga kindlaks ja dokumenteerivad võrgu- ja infosüsteemide turvalisust ähvardavad riskid, eriti selles osas, mis puudutab kolmandaid isikuid ja riske, mis võivad põhjustada võrgu- ja infosüsteemide käideldavuse, tervikluse, autentsuse ja konfidentsiaalsuse katkemise, tehes muu hulgas kindlaks nõrgad lülid;

e)

analüüsivad võrgu- ja infosüsteemide turvalisust ähvardavaid riske, kaasa arvatud ohte, tõenäosust, mõju ja riskitaset, võttes arvesse küberohuteadmust ja nõrkusi;

f)

hindavad kindlakstehtud riske riskikriteeriumide alusel;

g)

teevad kindlaks otstarbekad riskikäsitlusvõimalused ja -meetmed ning seavad need tähtsuse järjekorda;

h)

teevad pidevalt riskikäsitlusmeetmete rakendamise seiret;

i)

määravad kindlaks, kes vastutab riskikäsitlusmeetmete rakendamise eest ja millal tuleks neid meetmeid rakendada;

j)

dokumenteerivad valitud riskikäsitlusmeetmed riskikäsitluskavas ja selgitavad jääkriskide aktsepteerimise põhjuseid arusaadavalt.