2.1.2. Ai fini del punto 2.1.1, i soggetti pertinenti devono stabilire procedure per …

a)

seguire una metodologia di gestione dei rischi;

b)

stabilire il livello di tolleranza per i rischi conformemente alla propensione al rischio dei soggetti pertinenti;

c)

stabilire e mantenere criteri di rischio pertinenti;

d)

in linea con un approccio multirischio, individuare e documentare i rischi per la sicurezza dei sistemi informativi e di rete, in particolare in relazione a terzi, come pure i rischi che potrebbero causare perturbazioni in termini di disponibilità, integrità, autenticità e riservatezza dei sistemi informativi e di rete, compresa l'individuazione dei singoli punti di vulnerabilità (single points of failure);

e)

analizzare i rischi per la sicurezza dei sistemi informativi e di rete, compresi la minaccia, la probabilità, l'impatto e il livello di rischio, tenendo conto delle informazioni di intelligence relative alle minacce informatiche e delle vulnerabilità;

f)

valutare i rischi individuati sulla base dei criteri di rischio;

g)

individuare le opzioni e le misure adeguate per il trattamento dei rischi e attribuirvi la priorità;

h)

monitorare costantemente l'attuazione delle misure di trattamento dei rischi;

i)

individuare i soggetti competenti per l'attuazione delle misure di trattamento dei rischi e la tempistica per tale attuazione;

j)

documentare in un piano di trattamento dei rischi, in modo comprensibile, le misure di trattamento dei rischi scelte e le ragioni che giustificano l'accettazione di rischi residui.