2.1. Okvir za upravljanje rizicima

(a)

primjenjivati metodologiju upravljanja rizicima;

(b)

utvrditi razinu tolerancije na rizik u skladu sa svojom sklonošću preuzimanju rizika;

(c)

utvrditi i revidirati relevantne kriterije rizika;

(d)

u skladu s pristupom kojim se u obzir uzimaju sve opasnosti utvrditi i dokumentirati rizike za sigurnost mrežnih i informacijskih sustava, posebno u vezi s trećim stranama, i rizike koji bi mogli izazvati poremećaje u dostupnosti, cjelovitosti, autentičnosti i povjerljivosti mrežnih i informacijskih sustava, uključujući utvrđivanje jedinstvenih točaka kvara;

(e)

analizirati rizike za sigurnost mrežnih i informacijskih sustava, uključujući prijetnje, vjerojatnost, učinak i razinu rizika, uzimajući pritom u obzir saznanja o kibernetičkim prijetnjama i ranjivostima;

(f)

evaluirati utvrđene rizike na temelju kriterija rizika;

(g)

utvrditi odgovarajuće mogućnosti i mjere za postupanje s rizicima i odrediti njihov prioritet;

(h)

kontinuirano pratiti provedbu mjera za postupanje s rizicima;

(i)

utvrditi tko je odgovoran za provedbu mjera za postupanje s rizicima i kada ih treba provesti;

(j)

u planu postupanja s rizicima na razumljiv način potkrijepiti odabrane mjere za postupanje s rizicima i razloge za prihvaćanje preostalih rizika.