5. Un opérateur de SPIS met en place des politiques détaillées en termes de sécurité physique et de sécurité des technologies de l’information et de la communication (TIC), des processus détaillés et des politiques détaillées relatives aux systèmes, ainsi que des systèmes d’information résistants, qui identifient, évaluent et gèrent de façon adéquate l’ensemble des vulnérabilités, incidents, menaces et risques potentiels dans l’environnement des TIC. Il réexamine ces politiques au moins une fois par an.