2.1. Rizikos valdymo sistema

a)

laikosi rizikos valdymo metodikos;

b)

nustato priimtinos rizikos lygį pagal atitinkamų subjektų norimą prisiimti riziką;

c)

nustato ir taiko atitinkamus rizikos kriterijus;

d)

laikydamiesi visus pavojus apimančio požiūrio, nustato ir dokumentuoja tinklų ir informacinių sistemų saugumui kylančią riziką, visų pirma susijusią su trečiosiomis šalimis, ir riziką, dėl kurios gali sutrikti tinklų ir informacinių sistemų prieinamumas, vientisumas, autentiškumas ir konfidencialumas, be kita ko, nustato kritinį funkcionavimo trikčių tašką;

e)

analizuoja tinklų ir informacinių sistemų saugumui kylančią riziką, įskaitant jos grėsmę, tikimybę, poveikį ir lygį, atsižvelgdami į žvalgybos informaciją apie kibernetines grėsmes ir pažeidžiamumą;

f)

vertina nustatytą riziką pagal rizikos kriterijus;

g)

nustato tinkamas rizikos priežiūros galimybes ir priemones ir jų prioritetus;

h)

nuolat stebi rizikos priežiūros priemonių įgyvendinimą;

i)

nustato, kas atsakingas už rizikos priežiūros priemonių įgyvendinimą ir kada jos turėtų būti įgyvendinamos;

j)

išsamiai dokumentuoja rizikos priežiūros plane pasirinktas rizikos priežiūros priemones ir priežastis, pateisinančias liekamosios rizikos pripažinimą.