2.1.2. În sensul punctului 2.1.1, entitățile relevante stabilesc proceduri de identificare …

(a)

urmează o metodologie de gestionare a riscurilor;

(b)

stabilesc nivelul de toleranță la risc în conformitate cu apetitul la risc al entităților relevante;

(c)

stabilesc și mențin criterii de risc relevante;

(d)

în conformitate cu o abordare care ține seama de toate riscurile, identifică riscurile la adresa securității rețelelor și a sistemelor informatice, și le documentează, în special în ceea ce privește părțile terțe, și riscurile care ar putea conduce la perturbări ale disponibilității, integrității, autenticității și confidențialității rețelelor și sistemelor informatice, inclusiv identificarea punctului unic de defecțiuni;

(e)

analizează riscurile la adresa securității rețelelor și a sistemelor informatice, inclusiv amenințările, probabilitatea, impactul și nivelul de risc, luând în considerare informațiile privind amenințările cibernetice și vulnerabilitățile;

(f)

evaluează riscurile identificate pe baza criteriilor de risc;

(g)

identifică și prioritizează opțiunile și măsurile adecvate de tratare a riscurilor;

(h)

monitorizează în permanență punerea în aplicare a măsurilor de tratare a riscurilor;

(i)

identifică cine are responsabilitatea punerii în aplicare a măsurilor de tratare a riscurilor și momentul în care acestea ar trebui puse în aplicare;

(j)

documentează măsurile de tratare a riscurilor alese într-un plan de tratare a riscurilor și motivele care justifică acceptarea riscurilor reziduale într-un mod inteligibil.