2.1.2. Para efeitos do ponto 2.1.1, as entidades pertinentes estabelecem procedimentos para a …

(a)

Seguem uma metodologia de gestão dos riscos;

(b)

Estabelecem o nível de tolerância ao risco de acordo com a sua apetência pelo risco;

(c)

Estabelecem e mantêm critérios de risco pertinentes;

(d)

Em consonância com uma abordagem que contemple todos os riscos, identificam e documentam os riscos para a segurança dos sistemas de rede e informação, em especial no que se refere a terceiros, e os riscos suscetíveis de conduzir a perturbações na disponibilidade, integridade, autenticidade e confidencialidade dos sistemas de rede e informação, incluindo a identificação de falhas pontuais;

(e)

Analisam os riscos para a segurança dos sistemas de rede e informação, incluindo a ameaça, a probabilidade, o impacto e o nível de risco, tendo em conta as informações sobre ciberameaças e as vulnerabilidades;

(f)

Avaliam os riscos identificados com base nos critérios de risco;

(g)

Identificam as opções e medidas adequadas de tratamento dos riscos e definem a respetiva prioridade;

(h)

Acompanham continuamente a aplicação das medidas de tratamento dos riscos;

(i)

Especificam a pessoa ou pessoas responsáveis pela aplicação das medidas de tratamento dos riscos e o momento em que deve ocorrer tal aplicação;

(j)

Documentam, de forma compreensível, as medidas de tratamento dos riscos escolhidas num plano de tratamento dos riscos, bem como as razões que justificam a aceitação dos riscos residuais.