2.1.2. Edellä olevan 2.1.1 kohdan noudattamiseksi asianomaisen toimijan on laadittava menettelyt …

a)

noudatettava riskinhallintamenetelmiä;

b)

vahvistettava asianomaisen toimijan riskinottohalun mukainen riskitaso;

c)

vahvistettava asianmukaiset riskikriteerit ja ylläpidettävä niitä;

d)

tunnistettava ja dokumentoitava verkko- ja tietojärjestelmien turvallisuuteen kohdistuvat riskit kaikki vaarat kattavan lähestymistavan mukaisesti, erityisesti kolmansiin osapuoliin liittyvät riskit sekä riskit, jotka voivat johtaa verkko- ja tietojärjestelmien käytettävyyden, eheyden, aitouden ja luottamuksellisuuden häiriöihin, sekä tunnistettava myös yksittäiset toimintahäiriöt;

e)

analysoitava verkko- ja tietojärjestelmien turvallisuuteen kohdistuvat riskit, mukaan lukien niiden uhka, todennäköisyys, vaikutukset ja riskitaso, ottaen huomioon myös kyberuhkia koskevat tiedustelutiedot sekä haavoittuvuudet;

f)

arvioitava tunnistetut riskit riskikriteerien mukaisesti;

g)

yksilöitävä asianmukaiset riskinhallintavaihtoehdot ja -toimenpiteet ja asetettava ne tärkeysjärjestykseen;

h)

seurattava jatkuvasti riskinkäsittelytoimenpiteiden täytäntöönpanoa;

i)

yksilöitävä, kuka on vastuussa riskinkäsittelytoimenpiteiden toteuttamisesta, ja määritettävä, milloin ne olisi toteutettava;

j)

dokumentoitava valitut riskinkäsittelytoimenpiteet riskinkäsittelysuunnitelmassa ja esitettävä jäännösriskien hyväksymisen perustelut ymmärrettävällä tavalla.