2.1.2. A 2.1.1. pont alkalmazásában az érintett szervezetek eljárásokat dolgoznak ki a kockázatok …

a)

kockázatkezelési módszertant követnek;

b)

az érintett szervezet kockázatvállalási hajlandóságának megfelelően megállapítják a kockázati toleranciaszintet;

c)

megfelelő kockázati kritériumokat határoznak meg és tartanak fenn;

d)

az összes veszélyre kiterjedő megközelítéssel összhangban azonosítják és dokumentálják a hálózati és információs rendszerek biztonságát érintő kockázatokat, különösen a harmadik felekkel kapcsolatban, valamint azokat a kockázatokat, amelyek zavarokat okozhatnak a hálózati és információs rendszerek rendelkezésre állásában, integritásában, hitelességében és bizalmas jellegében, beleértve az egyetlen ponton bekövetkező meghibásodás azonosítását is;

e)

elemzik a hálózati és információs rendszerek biztonságát fenyegető kockázatokat, ezen belül a fenyegetés jellegét, a bekövetkezés valószínűségét, a kockázatok hatását és a kockázati szintet, figyelembe véve a kiberfenyegetésekkel kapcsolatos hírszerzést és a sebezhetőségeket;

f)

a kockázati kritériumok alapján elvégzik az azonosított kockázatok értékelését;

g)

azonosítják és rangsorolják a megfelelő kockázatkezelési lehetőségeket és intézkedéseket;

h)

folyamatosan nyomon követik a kockázatkezelési intézkedések végrehajtását;

i)

meghatározzák, hogy ki felelős a kockázatkezelési intézkedések végrehajtásáért, és hogy mikor kell azokat végrehajtani;

j)

a kockázatkezelési tervben átfogó módon dokumentálják a kiválasztott kockázatkezelési intézkedéseket és a fennmaradó kockázatok elfogadását alátámasztó okokat.