1. Remdamasi išvadomis, padarytomis atlikus kibernetinio saugumo brandos vertinimą pagal 7 straipsnį, ir atsižvelgdama į Sistemoje nustatytą turtą ir kibernetinio saugumo riziką bei į kibernetinio saugumo rizikos valdymo priemones, kurių imtasi pagal 8 straipsnį, kiekvieno Sąjungos subjekto aukščiausias valdymo lygmuo nepagrįstai nedelsdamas ir bet kuriuo atveju ne vėliau kaip 2026 m. sausio 8 d. patvirtina kibernetinio saugumo planą. Kibernetinio saugumo planu siekiama padidinti bendrą atitinkamo Sąjungos subjekto kibernetinį saugumą ir taip juo prisidedama prie aukšto bendro kibernetinio saugumo lygio pasiekimo arba padidinimo Sąjungos subjektuose. Į kibernetinio saugumo planą įtraukiamos bent kibernetinio saugumo rizikos valdymo priemonės, kurių imtasi pagal 8 straipsnį. Kibernetinio saugumo planas peržiūrimas kas dvejus metus arba, prireikus – dažniau, po kibernetinio saugumo brandos vertinimų, atliktų pagal 7 straipsnį, arba po kiekvienos esminės Sistemos peržiūros.